Split DNS: der richtige Resolver für jedes Netzwerk

Ein VPN ersetzt normalerweise den Resolver für die ganze Maschine. Split DNS schickt jede Domain an das Netzwerk, das sie kennt, und lässt den Rest in Ruhe.

Das Problem: ein Resolver für die ganze Maschine

Eine WireGuard-Konfiguration nennt in ihrer DNS-Zeile genau einen Resolver, und solange der Tunnel steht, benutzt das System ihn. Das passt, wenn der Tunnel das einzige Netzwerk ist, das dich interessiert.

Es passt nicht mehr, sobald du dein eigenes weiterhin brauchst. server.customer.local über HTTPS zu erreichen setzt voraus, dass dieser Name auflöst — und es gibt ihn nur im DNS des Kunden. Richtest du die ganze Maschine auf diesen Resolver aus, lösen deine eigenen internen Namen nicht mehr auf, denn der DNS des Kunden hat nie von ihnen gehört.

Was Split DNS macht

Split DNS entscheidet pro Domain, welcher Resolver antwortet. Die Domains des Kunden gehen an den Resolver des Kunden; alles andere benutzt weiter den, den du sonst verwendest.

Du erreichst interne Ressourcen über ihre echten Hostnamen — was auch dafür sorgt, dass ihre HTTPS-Zertifikate gültig sind — ohne die Namensauflösung in deinem eigenen Netzwerk aufzugeben.

Warum das zählt, sobald mehrere Netzwerke verbunden sind

Bei einem Tunnel ist es ein tragbarer Kompromiss, alles auf den entfernten Resolver zu richten. Bei mehreren Kundennetzwerken gleichzeitig ist es keiner mehr: Kein Resolver kennt all diese Namen, und welchen du auch wählst, für die anderen ist er der falsche.

Genau hier hört die Auflösung pro Domain auf, eine Bequemlichkeit zu sein, und wird zur einzigen Anordnung, die funktioniert. Split DNS gibt es auf Mac, iPhone und iPad.

Es ist nicht dasselbe wie Split-Tunneling

Die beiden werden leicht verwechselt und beantworten verschiedene Fragen.

• Split-Tunneling entscheidet, welcher Verkehr durch den Tunnel geht. Das ist AllowedIPs.
• Split DNS entscheidet, welcher Resolver einen Namen beantwortet. Das ist die DNS-Zeile, pro Domain angewandt statt auf alles.

Meist brauchst du beides, und das eine ohne das andere zu haben ist der häufigste Grund, warum ein Tunnel als „verbunden, aber nichts geht" beschrieben wird — die Adressen sind erreichbar, die Namen lösen schlicht nie auf. Siehe DNS, Routing und Split-Tunneling, um die Routing-Hälfte einzustellen.