Site icon bintorosoft.com

VPN verbindet, aber Internet geht nicht: Split Tunnel Diagnose

Red Snapper

„VPN verbindet, aber Internet geht nicht“ ist ein typisches Fehlerbild, das auf den ersten Blick paradox wirkt – und fast immer mit Split Tunnel zu tun hat. Denn Split Tunneling bedeutet: Nur bestimmte Netze (meist interne Subnetze) laufen durch den VPN-Tunnel, der restliche Traffic – insbesondere Internet und SaaS – soll lokal über den normalen Internetzugang gehen. Wenn danach plötzlich kein Internet mehr funktioniert, ist der Split-Tunnel-Mechanismus entweder nicht wirklich aktiv, oder er ist durch Routing-, DNS- oder Policy-Effekte „kaputtkonfiguriert“. Häufig steckt dahinter keine „VPN-Störung“, sondern eine Kombination aus falsch gepushten Routen (Default Route versehentlich im Tunnel), DNS-Resolvern, die nur intern erreichbar sind, einer fehlenden NAT-/Egress-Policy am Gateway, MTU/MSS-Problemen oder sogar einer Proxy-/PAC-Policy, die im VPN-Kontext anders greift. Das Gute: Diese Fälle lassen sich sehr systematisch diagnostizieren, weil Internetzugang ein klar definierter Datenpfad ist. Dieser Leitfaden zeigt Ihnen praxisnah, wie Sie Split Tunnel Diagnose betreiben: welche Checks auf Client und Gateway wirklich relevant sind, wie Sie die häufigsten Fehler in Minuten eingrenzen und welche Fixes nachhaltig funktionieren – ohne Sicherheitsrisiken durch „einfach alles full-tunneln“ oder pauschale Ausnahmen.

Split Tunnel kurz erklärt: Was soll eigentlich passieren?

Beim Split Tunnel gibt es zwei logische Pfade:

Damit das sauber funktioniert, müssen Routing und DNS zusammenpassen. Wenn Sie z. B. interne DNS-Server pushen, muss der Client diese auch erreichen können (über VPN). Gleichzeitig darf externer DNS nicht „kaputt“ gehen, sonst wirkt Internet „tot“, obwohl Routing ok wäre. DNS-Grundlagen sind in RFC 1034 und RFC 1035 beschrieben.

Erster Schritt: Ist es wirklich ein Internetproblem oder ein DNS-Problem?

Viele melden „Internet geht nicht“, meinen aber: „Webseiten öffnen nicht“. Das ist häufig DNS. Trennen Sie deshalb sofort IP-Erreichbarkeit von Namensauflösung.

Quick Tests auf dem Client

# Windows
ping 1.1.1.1
nslookup www.example.com

macOS/Linux


ping -c 3 1.1.1.1

dig www.example.com

Interpretation:

Typische Ursache 1: Default Route wurde versehentlich über VPN gesetzt

Der häufigste Split-Tunnel-Fehler ist ein unbeabsichtigtes „Quasi-Full-Tunnel“: Der Client bekommt eine Default Route (0.0.0.0/0) oder eine sehr breite Route (z. B. 0.0.0.0/1 und 128.0.0.0/1) über den VPN-Tunnel. Dann läuft Internettraffic durch den VPN-Pfad – aber das Gateway ist dafür nicht konfiguriert (kein NAT/Egress, Policy blockt), und Internet „stirbt“.

So prüfen Sie das

# Windows
route print

macOS


netstat -rn


Linux


ip route

Suchen Sie nach:

Fix:

Typische Ursache 2: DNS-Server wurden auf interne Resolver gesetzt, die nicht erreichbar sind

Ein sehr häufiger Fehler: Das VPN pusht interne DNS-Server (z. B. 10.10.10.10). Bei Split Tunnel ist das grundsätzlich okay – aber nur, wenn der Client diese DNS-Server über den Tunnel erreichen kann und die Firewall DNS erlaubt. Wenn nicht, wird jede Namensauflösung langsam oder unmöglich. Das wirkt wie „Internet tot“.

So prüfen Sie DNS-Resolver

Fix:

Typische Ursache 3: Proxy/PAC/WPAD oder Secure Web Gateway greift falsch

In Unternehmen sind Proxy-Konfigurationen verbreitet: PAC-Dateien, WPAD oder feste Proxies. Wenn das VPN aktiv ist, können sich Regeln ändern (z. B. anderes DNS-Suffix, andere Erkennung), und der Client versucht plötzlich, den Proxy über einen Pfad zu erreichen, der nicht funktioniert.

Typische Ursache 4: Firewall/Policy am Gateway blockt Internet-Egress

Wenn Internettraffic doch über den Tunnel läuft (absichtlich oder versehentlich), muss das Gateway ihn ins Internet weiterleiten dürfen. Dazu braucht es:

Wenn diese Bausteine fehlen, ist Internet „tot“, sobald der Client den Default Route in den Tunnel bekommt.

Typische Ursache 5: MTU/MSS-Probleme – Internet geht „manchmal“ oder nur teilweise

Manchmal „geht Internet“, aber bestimmte Seiten oder große Downloads brechen ab. Dann ist häufig MTU/Fragmentierung schuld. VPN erzeugt Overhead, und in bestimmten Zugangsnetzen (PPPoE, Mobilfunk, zusätzliche Encapsulation) ist die effektive MTU kleiner. Path MTU Discovery ist in RFC 1191 (IPv4) und RFC 8201 (IPv6) beschrieben.

Typische Ursache 6: IPv6-Leaks oder IPv6-Route-Verwirrung

Viele Split-Tunnel-Setups denken nur in IPv4. Wenn der Client IPv6 aktiv nutzt, kann es passieren, dass:

Ergebnis: Webseiten laden „komisch“ oder gar nicht. Fix: IPv6-Strategie definieren (IPv6 korrekt tunneln oder bewusst kontrolliert deaktivieren/steuern), DNS-Policy entsprechend setzen.

Systematischer Diagnoseablauf: Split Tunnel in 15 Minuten prüfen

Mit dieser Reihenfolge vermeiden Sie Trial-and-Error:

Konkrete Checks je Betriebssystem

Windows

macOS

Linux

Typische Fixes – ohne die Sicherheit zu verschlechtern

Wenn Sie den Fehler gefunden haben, sind diese Maßnahmen in der Praxis die saubersten:

Best Practices: Split Tunnel so bauen, dass es stabil bleibt

Outbound-Links zur Vertiefung

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version