{"id":65512,"date":"2026-05-23T15:59:46","date_gmt":"2026-05-23T13:59:46","guid":{"rendered":"https:\/\/www.burks.de\/burksblog\/?p=65512"},"modified":"2026-05-23T16:09:49","modified_gmt":"2026-05-23T14:09:49","slug":"split-tunnel","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2026\/05\/23\/split-tunnel","title":{"rendered":"Split Tunneling"},"content":{"rendered":"

\"vpn\"\/<\/a>
\nA modern cybersecurity infographic illustrating the difference between Split Tunneling and Full VPN Tunneling. On the left side, show a laptop connected to a VPN tunnel where only traffic to a home network and private servers passes through the encrypted tunnel, while normal internet traffic bypasses it directly to the web. Label this \u201cSplit Tunnel\u201d. On the right side, show a \u201cFull Tunnel\u201d where all internet traffic, including websites and cloud services, is routed completely through the VPN tunnel, changing the user\u2019s public IP address. Use glowing blue VPN tunnels, network diagrams, internet cloud icons, routers, and data streams. Professional IT illustration style, dark background with neon blue and cyan highlights, highly detailed, clean layout, futuristic networking concept art, cinematic lighting –ar 16:9 –v 7 (ChatGPT)<\/sup><\/p>\n

Ich hatte neulich ein interessantes IT-Problem: Ich bin mit einem Ubuntu Laptop in einem Firmennetz online, wenn ich Wireguard einschalte, komme ich nicht aber mehr online. Kann es sein, dass der Admin des Firmennetzes VPN bzw. Wireguard zu meiner eigenen Fritz!Box unterbindet?<\/i><\/p>\n

Daraus ergab sich eine l\u00e4ngere „Unterhaltung“ mit viel Gefummel, und das Problem konnte ich noch nicht l\u00f6sen. Ich wei\u00df aber, wie es ginge, habe nur keine Lust dazu. Da ich aber im November au\u00dferhalb Europas sein werden, k\u00f6nnte es sein, dass ich doch etwas machen muss, weil dort das Internet streng zensiert wird.<\/p>\n

\"vpn\"\/<\/a>
\nMidjourney erzeugt bei identischem Prompt nur symbolischen Unfug ohne Erkenntniswert.<\/sup><\/p>\n

Ja, das ist gut m\u00f6glich. Viele Firmennetze blockieren oder filtern VPN-Verbindungen \u2014 besonders unbekannte oder private VPNs wie eine eigene FRITZ!Box-WireGuard-Verbindung.<\/p>\n

Typische Ursachen:
\n\u2192 Die Firewall blockiert den WireGuard-Port (standardm\u00e4\u00dfig UDP 51820).
\n\u2192 UDP-Traffic wird generell eingeschr\u00e4nkt.
\n\u2192 Das Firmennetz erlaubt nur HTTP\/HTTPS \u00fcber Proxy.
\n\u2192 Deep Packet Inspection erkennt und blockiert VPN-Traffic.
\n\u2192 Das Firmennetz verhindert \u201eSplit Tunneling\u201c oder private Tunnel absichtlich aus Sicherheitsgr\u00fcnden.<\/p>\n

Dass \u201egar nichts mehr geht\u201c, sobald WireGuard aktiv ist, deutet oft auf eines dieser Probleme hin:
\n\u2192 Der Tunnel baut sich nicht korrekt auf
\n\u2192 dann routet Ubuntu trotzdem alles durch das VPN und verliert Internetzugang.
\nDNS wird \u00fcber den Tunnel geschickt, funktioniert aber nicht
\n\u2192 Webseiten wirken \u201eoffline\u201c, obwohl IP-Verbindungen evtl. noch gehen.
\nDie Firma blockiert genau den UDP-Verkehr zur Fritzbox
\n\u2192 Handshake kommt nie zustande.<\/p>\n

\"KI\"\/<\/p>\n

Ping geht, aber DNS nicht. Also liegt das Problem vermutlich daran. Was haltet ihr von den Ratschl\u00e4gen der KI?<\/p>\n

Wenn Ping auf IPs geht, aber DNS nicht:
\n\u2192 DNS-Problem im Tunnel.<\/p>\n

Oft hilft bei Firmennetzen:
\n\u2192 WireGuard auf einen anderen UDP-Port legen (z. B. 53, 123 oder 443 UDP)
\n\u2192 Auf der Fritzbox einen alternativen Port konfigurieren
\n\u2192 PersistentKeepalive = 25
\n\u2192 Split Tunneling statt AllowedIPs = 0.0.0.0\/0
\nBeispiel: AllowedIPs = 192.168.178.0\/24<\/p>\n

<\/p>\n
\nresolvectl status\n\nGlobal\n         Protocols: -LLMNR -mDNS -DNSOverTLS DNSSEC=no\/unsupported\n  resolv.conf mode: stub\n\nLink 2 (wlp0s12f0)\n    Current Scopes: DNS\n         Protocols: +DefaultRoute -LLMNR -mDNS -DNSOverTLS DNSSEC=no\/unsupported\nCurrent DNS Server: 8.8.4.4\n       DNS Servers: 8.8.8.8 8.8.4.4\n\nLink 4 (wg_config)\n    Current Scopes: DNS\n         Protocols: +DefaultRoute -LLMNR -mDNS -DNSOverTLS DNSSEC=no\/unsupported\nCurrent DNS Server: 192.168.178.1\n       DNS Servers: 192.168.178.1 fd93:9136:e393:0:7642:7fff:fe2c:f103\n        DNS Domain: fritz.box ~.\n<\/pre>\n<\/div>\n
<\/p>\n
Das erkl\u00e4rt das Verhalten ziemlich eindeutig. Dein WireGuard-Tunnel setzt den DNS auf deine FRITZ!Box:
\nCurrent DNS Server: 192.168.178.1<\/p>\n
Sobald WireGuard aktiv wird, versucht Ubuntu also:
\n\u2192 alle DNS-Anfragen an deine Fritzbox zuhause zu schicken durch den VPN-Tunnel
\n\u2192 Wenn der Tunnel aber im Firmennetz nicht richtig funktioniert oder UDP teilweise blockiert wird, erreicht dein Laptop die Fritzbox-DNS nicht mehr zuverl\u00e4ssig.<\/p>\n
Darum:
\n\u2192 DNS \u2192 kaputt
\n\u2192 Webseiten \u2192 \u201eoffline\u201c
\n\u2192 SERVFAIL von 127.0.0.53<\/p>\n
Der entscheidende Punkt:
\nDein normales WLAN (wlp0s12f0) hat funktionierende Google-DNS:
\n\u2192 8.8.8.8
\n\u2192 8.8.4.4<\/p>\n
Aber WireGuard \u00fcberschreibt das mit:
\n192.168.178.1
\n„Das ist typisch bei Fritzbox-WireGuard-Konfigurationen.“<\/p>\n
ChatGPT empfiehlt split tunneling<\/a>: Das sei in Firmennetzen fast immer die stabilere L\u00f6sung. Das h\u00fclfe mir aber nicht gegen Internet-Zensur…<\/p>\n
\"vpn\"\/<\/a>
\nIdentischer Prompt, Gemini-Version<\/sup><\/p>\n
\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>