Direkt zum Hauptinhalt

Problem mit Split-VPN, DNS und Routing (Beispiel: Moodle)

Problem mit Split-VPN, DNS und Routing (Beispiel: Moodle)

sdfsdfBei Nutzung des Split-VPN kann es zu Verbindungsproblemen kommen, wenn interne Clients einen externen DNS-Server verwenden und dadurch eine externe IP-Adresse für einen eigentlich internen Dienst erhalten.

Hintergrund

Beim Split-VPN wird nur bestimmter Netzwerkverkehr über das VPN geroutet (z. B. interne Netze).
Der restliche Verkehr wird direkt über das lokale Netzwerk bzw. das Internet gesendet.

Wenn ein Client jedoch externen DNS verwendet, kann Folgendes passieren:

    Die Domain wird auf eine externe IP-Adresse aufgelöst. Der Client versucht diese externe Adresse zu erreichen. Diese Adresse ist aus dem internen Netz nicht erreichbar. Die Verbindung schlägt daher fehl, obwohl der Dienst intern verfügbar ist.

    Beispiel: Moodle

    Die Adresse moodle.bszn-da.de kann auf zwei verschiedene IP-Adressen zeigen:

      Intern: 172.31.200.11 Extern: 130.83.90.135

      Wird ein interner DNS-Server verwendet, erhält der Client die interne Adresse und kann den Dienst direkt erreichen.

      Wird jedoch ein externer DNS-Server genutzt, erhält der Client die externe Adresse.
      Da diese aus dem internen Netz nicht erreichbar ist, schlägt die Verbindung fehl.

      Ping-Tests

      Auflösung über internen DNS

      [09:52] moodle.bszn-da.de → 172.31.200.11 (intern) 6 Pakete, 0% loss | min/avg/max = 2.5 / 6.7 / 18.3 ms

      Auflösung über externen DNS

      [10:27] moodle.bszn-da.de → 130.83.90.135 (docker2.da.schule.hessen.de, extern) 8 Pakete, 0% loss | min/avg/max = 31.4 / 40.7 / 58.0 ms

      Direkte Tests

      [10:28] Direkt → 172.31.200.11 (intern) 7 Pakete, 0% loss | min/avg/max = 2.8 / 4.0 / 5.0 ms

      [10:28] Direkt → 130.83.90.135 (extern) — kein Ergebnis

      Ursache

      Der Fehler entsteht durch die Kombination aus:

        Split-VPN externem DNS einer externen Adresse, die intern nicht erreichbar ist

        Der Client versucht den Dienst über eine Adresse zu erreichen, die aus dem aktuellen Netzwerkpfad nicht geroutet werden kann.

        Lösungsmöglichkeiten

        Folgende Maßnahmen verhindern das Problem:

          Verwendung des internen DNS-Servers Split-DNS für interne Dienste Eintrag der internen Adresse in der Hosts-Datei

          172.31.200.11 moodle.bszn-da.de

            Sicherstellen, dass interne Clients interne Adressen bevorzugt nutzen

            Damit wird verhindert, dass interne Systeme versuchen, einen intern gehosteten Dienst über eine nicht erreichbare externe Adresse aufzurufen.

            nach oben