Split DNS : le bon résolveur pour chaque réseau

Un VPN remplace d’ordinaire ton résolveur pour toute la machine. Le split DNS envoie chaque domaine au réseau qui le connaît, et laisse le reste tranquille.

Le problème : un seul résolveur pour toute la machine

Une configuration WireGuard nomme un seul résolveur sur sa ligne DNS, et tant que le tunnel est monté, le système l’utilise. Cela convient quand le tunnel est le seul réseau qui t’intéresse.

Cela cesse de convenir dès que tu as encore besoin du tien. Atteindre server.customer.local en HTTPS suppose que ce nom se résolve — et il n’existe que sur le DNS du client. Pointe toute la machine vers ce résolveur et tes propres noms internes cessent de se résoudre, parce que le DNS du client n’en a jamais entendu parler.

Ce que fait le split DNS

Le split DNS décide par domaine quel résolveur répond. Les domaines du client vont au résolveur du client ; tout le reste continue d’utiliser celui dont tu te sers d’habitude.

Tu atteins les ressources internes par leurs vrais noms d’hôte — ce qui est aussi ce qui fait valider leurs certificats HTTPS — sans renoncer à la résolution de noms sur ton propre réseau.

Pourquoi cela compte dès que plusieurs réseaux sont connectés

Avec un seul tunnel, tout pointer vers le résolveur distant est un compromis tenable. Avec plusieurs réseaux clients connectés en même temps, cela cesse d’en être un : aucun résolveur ne connaît tous ces noms, et celui que tu choisis est le mauvais pour les autres.

C’est le moment où la résolution par domaine cesse d’être un confort pour devenir le seul arrangement qui fonctionne. Le split DNS est disponible sur Mac, iPhone et iPad.

Ce n’est pas la même chose que le tunnel partiel

Les deux se confondent facilement et répondent à des questions différentes.

• Le tunnel partiel décide quel trafic passe par le tunnel. C’est AllowedIPs.
• Le split DNS décide quel résolveur répond à un nom. C’est la ligne DNS, appliquée par domaine plutôt qu’à tout.

Il te faut généralement les deux, et avoir l’un sans l’autre est la raison la plus fréquente pour laquelle un tunnel est décrit comme « connecté mais rien ne marche » — les adresses sont joignables, mais les noms ne se résolvent simplement jamais. Voir DNS, routage et tunnel partiel pour régler la moitié routage.