DNS, Routing und Split Tunneling

Entscheiden, was durch den Tunnel geht, und wer deine Namensanfragen beantwortet.

AllowedIPs ist die Routing-Entscheidung

Entgegen seinem Namen erledigt AllowedIPs in [Peer] zwei Aufgaben: auf dem Hinweg entscheidet es, was in den Tunnel geroutet wird, auf dem Rückweg, was die Gegenstelle dir senden darf.

Keines von beiden ist richtiger. Split Tunneling erreicht das Büro und belässt Videokonferenzen auf deiner eigenen Verbindung; ein vollständiger Tunnel schickt alles ans andere Ende, und genau das willst du, wenn du ihm mehr vertraust als dem örtlichen WLAN.

Das DNS

Die Zeile DNS in [Interface] benennt den Resolver, der verwendet wird, solange der Tunnel steht.

Wenn du Split Tunneling nutzt, um interne Maschinen über ihren Namen zu erreichen, muss diese Zeile in der Regel den Resolver dieses Netzwerks angeben — sonst lassen sich Namen, die es nur innen gibt, nicht auflösen, obwohl die Adressen dahinter einwandfrei erreichbar sind. Das ist mit Abstand der häufigste Grund, weshalb Split Tunneling als „verbunden, aber nichts geht“ beschrieben wird.

Paart kann das auch pro Domain entscheiden statt für die ganze Maschine — die Namen des Kunden über dessen Resolver, alles andere über deinen. Siehe Split DNS: der richtige Resolver für jedes Netzwerk.

Was Split Tunneling nicht leistet

Verkehr außerhalb der eingerichteten Bereiche gelangt gar nicht erst in den Tunnel. Das ist gerade der Sinn der Sache — es bedeutet aber auch, dass das andere Ende diesem Verkehr keinerlei Schutz bietet, denn es bekommt ihn nie zu sehen.