# Problem mit Split-VPN, DNS und Routing (Beispiel: Moodle)

Bei Nutzung des **Split-VPN** kann es zu Verbindungsproblemen kommen, wenn interne Clients einen **externen DNS-Server** verwenden und dadurch eine **externe IP-Adresse** für einen eigentlich internen Dienst erhalten.

## Hintergrund

Beim **Split-VPN** wird nur bestimmter Netzwerkverkehr über das VPN geroutet (z. B. interne Netze).  
Der restliche Verkehr wird direkt über das lokale Netzwerk bzw. das Internet gesendet.

Wenn ein Client jedoch **externen DNS** verwendet, kann Folgendes passieren:

1. Die Domain wird **auf eine externe IP-Adresse aufgelöst**.
2. Der Client versucht diese externe Adresse zu erreichen.
3. Diese Adresse ist **aus dem internen Netz nicht erreichbar**.
4. Die Verbindung schlägt daher fehl, obwohl der Dienst intern verfügbar ist.

## Beispiel: Moodle

Die Adresse `moodle.bszn-da.de` kann auf zwei verschiedene IP-Adressen zeigen:

- **Intern:** `172.31.200.11`
- **Extern:** `130.83.90.135`

Wird ein **interner DNS-Server** verwendet, erhält der Client die interne Adresse und kann den Dienst direkt erreichen.

Wird jedoch ein **externer DNS-Server** genutzt, erhält der Client die externe Adresse.  
Da diese aus dem internen Netz **nicht erreichbar ist**, schlägt die Verbindung fehl.

## Ping-Tests

### Auflösung über internen DNS


[09:52] moodle.bszn-da.de → 172.31.200.11 (intern)
6 Pakete, 0% loss | min/avg/max = 2.5 / 6.7 / 18.3 ms


### Auflösung über externen DNS


[10:27] moodle.bszn-da.de → 130.83.90.135 (docker2.da.schule.hessen.de, extern)
8 Pakete, 0% loss | min/avg/max = 31.4 / 40.7 / 58.0 ms


### Direkte Tests


[10:28] Direkt → 172.31.200.11 (intern)
7 Pakete, 0% loss | min/avg/max = 2.8 / 4.0 / 5.0 ms

[10:28] Direkt → 130.83.90.135 (extern) — kein Ergebnis


## Ursache

Der Fehler entsteht durch die Kombination aus:

- **Split-VPN**
- **externem DNS**
- einer **externen Adresse, die intern nicht erreichbar ist**

Der Client versucht den Dienst über eine Adresse zu erreichen, die aus dem aktuellen Netzwerkpfad **nicht geroutet werden kann**.

## Lösungsmöglichkeiten

Folgende Maßnahmen verhindern das Problem:

- Verwendung des **internen DNS-Servers**
- **Split-DNS** für interne Dienste
- Eintrag der internen Adresse in der **Hosts-Datei**

172.31.200.11 moodle.bszn-da.de

- Sicherstellen, dass interne Clients **interne Adressen bevorzugt nutzen**

Damit wird verhindert, dass interne Systeme versuchen, einen intern gehosteten Dienst über eine nicht erreichbare externe Adresse aufzurufen.