Einer der häufigsten Mechanismen in der Steuerung des Datenverkehrs in VPN Verbindungen ist das sogenannte "Split Tunneling". Was verbirgt sich dahinter? Man möchte einfach nicht sämtlichen Datenverkehr in den VPN Tunnel packen, der nicht von den VPN Endpunkten verarbeitet werden soll. Einfaches Beispiel:

Normal würde ein VPN Client sich als Default Route für alle Datenpakete einrichten, egal in welche Netze sie gehen. Sprich, würde man ein herkömmliche Internetseite aufrufen, wird der Aufruf an die Firewall / VPN Endpunkt der VPN Verbindung geschickt, die diesen Verkehr dann abarbeiten muss - sofern konfiguriert. Dies kann erwünscht sein, wenn man man z.B. die Filterfunktionen der Firewall nutzen möchte. Bedeutet aber auch, dass im Endeffekt die Firewall - und vor allem die Internetverbindung dahinter - nicht nur mit dem "normalen" Aufkommen aus dem internen Netzwerk fertig werden muss, sondern auch sämtlichen, aggregierten Verkehr aus allen VPN Verbindungen.

Abhilfe schafft hier eben das sogenannte Split-Tunneling. Hierbei wird vom VPN Client eine Route in die benötigten Zielnetze (also die Netzsegmente am anderen Ende des Tunnels) gesetzt. So wird "nur" der Verkehr in den Tunnel gepackt, welcher auch wirklich für die entsprechenden Netze bestimmt ist. Der restliche Datenverkehr benutzt das sogenannte "Default Gateway" um verschickt zu werden.

Damit Split-Tunneling aber so richtig effektiv funktioniert, ist ein weiterer Baustein notwendig: Split-DNS.

Doch warum Split DNS? Das ist recht einfach erklärt: in internen (nicht öffentlichen) Netzwerken, werden natürlich ebensolche IP Adressen verwendet. Wenn man sich nun von extern über einen VPN Tunnel verbindet, so haben wir gerade die Möglichkeit besprochen, dass wir mit Split Tunneling nur den für die interne Netzwerkumgebung relevanten (bestimmten) Verkehr in den Tunnel packen. Ohne einer akkuraten Namensauflösung, also einer, die zwischen internen und öffentlichen Adressen unterscheidet, ist der Tunnel dann aber noch nicht komfortable benutzbar. So sind zwar durch das Split Tunneling an nur die internen Bereiche durch den Tunnel erreichbar - während eben alle anderen IP Adressen außerhalb am Tunnel vorbei ins Internet gehen - allerdings wird dc.fqdn.intern nicht zu einer gewünschten Auflösung führen. Daher wird nicht der "normale" DNS benutzt, sondern die Auflösung des hinter dem Tunnel angebundenen Netzwerks für bestimmte Domänen Namen. Somit sind dann alle Bereiche per Namensauflösung entsprechend erreichbar.