Wozu wird Split-Horizon-DNS verwendet?

Dadurch kann ein Domainname sowohl auf eine private Adresse innerhalb des Netzwerks als auch auf eine öffentliche Adresse außerhalb des Netzwerks aufgelöst werden. Dies verhindert, dass interner Datenverkehr ins Internet und zurück geleitet wird, und hält interne Hostnamen aus dem öffentlichen DNS fern.

Ist Split-Horizon-DNS dasselbe wie Split-Brain-DNS?

Ja, die beiden Begriffe werden im Allgemeinen für dasselbe Verfahren verwendet. „Split-Horizon“ ist der gebräuchlichere Begriff in Diskussionen von Anbietern und in Normen, während „Split-Brain“ manchmal informell verwendet wird.

Wie konfiguriert man Split-Horizon-DNS?

Erstellen Sie eine interne und eine externe Version der Zone und konfigurieren Sie den Server so, dass er je nach Herkunft der Anfrage die passende Version auswählt. Dies kann mithilfe von Ansichten auf einem Server oder mit separaten internen und externen Servern erfolgen. Testen Sie die Funktion von beiden Netzwerken aus, um sicherzustellen, dass jede Zielgruppe die beabsichtigte Antwort erhält.

Funktioniert Split-Horizon-DNS mit DNSSEC?

Das ist möglich, erhöht jedoch die Komplexität, da jede Ansicht möglicherweise eine eigene Signatur und Schlüsselverwaltung benötigt. Wenn die interne Ansicht nicht signiert ist, während die externe signiert ist, müssen die validierenden Resolver einheitlich konfiguriert werden. Nicht übereinstimmende Daten zwischen den Ansichten können zu Validierungsfehlern führen.

Ist Split-Horizon-DNS eine Sicherheitsmaßnahme?

Es verringert die Sichtbarkeit interner Namen und Adressen, ist jedoch kein Ersatz für Zugriffskontrollen. Jeder, der Anfragen von einer internen Adresse aus senden kann, hat Zugriff auf die interne Ansicht, sodass Firewalls und Authentifizierung weiterhin erforderlich sind.

Glossar
Was ist Split-Horizon-DNS?

DNS-Glossar

Was ist Split-Horizon-DNS?

Split-Horizon-DNS (Split-Horizon Domain Name System) ist eine DNS-Bereitstellungsmethode, bei der je nach Herkunft der Abfrage unterschiedliche Antworten für denselben Namen zurückgegeben werden. In der Regel werden dabei interne Clients mit privaten Adressen und externe Clients mit öffentlichen Adressen versorgt, wobei separate Ansichten oder separate Server zum Einsatz kommen.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

Split-horizon DNS is a DNS deployment method that returns different answers for the same domain name depending on whether the query originates from internal or external clients, typically serving private addresses to internal users and public addresses to external users. Organizations use split-horizon DNS to allow employees to reach services by private addresses on the corporate network while customers access the public endpoints using the same domain name, avoiding unnecessary internet routing and keeping internal hostnames hidden from public DNS zones. The primary operational risk involves zone drift, where internal and external records fall out of sync through separate manual edits, causing users to see inconsistent behavior on and off the network, which can be mitigated through automation, change control, and regular view comparison.

Split-horizon DNS is configured using separate DNS views on a single server or separate internal and external servers, with administrators matching client queries against access rules based on source IP address to determine which zone records to return.
The deployment reduces reconnaissance exposure by keeping RFC 1918 private address ranges and internal hostnames out of public DNS zones, though it functions as visibility control rather than a true security control and requires firewalls and authentication as complementary measures.
Common misconfigurations include VPN clients querying the wrong resolver, cached answers crossing between views, public resolver bypass when devices use third-party encrypted DNS, and certificate mismatches when internal and external endpoints present different SSL certificates for the same shared name.

Split-Horizon-DNS auf einen Blick

Attribute	Value
Full name	Split-horizon DNS
Category	DNS deployment method
Protocol and port	DNS, port 53 over UDP and TCP
OSI layer	Application layer (layer 7)
Primary use	Serving different DNS answers to internal and external clients for the same domain name
Related terms	DNS, authoritative DNS server, recursive resolver, DNS zone, DNS views, private DNS

So funktioniert Split-Horizon-DNS

Bei einer Split-Horizon-Bereitstellung werden zwei Sätze von Antworten für eine Domain vorgehalten, zwischen denen bei Eingang einer Abfrage ausgewählt wird. Dies kann mit separaten Servern oder mit einem einzigen Server, der Ansichten unterstützt, realisiert werden.

Definieren der Ansichten: Der Administrator erstellt eine interne und eine externe Version der Zone. Die interne Version enthält private Adressen und ausschließlich interne Hosts, während die externe Version nur öffentliche Einträge enthält.
Abgleich mit dem Client: Wenn eine Anfrage eintrifft, prüft der Server deren Quelle – meist die IP-Adresse des Clients – und gleicht sie mit den Zugriffsregeln für die jeweilige Ansicht ab. Einige Server können den Abgleich auch anhand der Zieladresse oder eines Signaturschlüssels vornehmen.
Antwort aus der entsprechenden Ansicht: Der Server antwortet ausschließlich mit den Datensätzen der ausgewählten Ansicht. Ein interner Client, der nach einem Dienstnamen fragt, erhält möglicherweise eine private Adresse, während ein externer Client, der nach demselben Namen fragt, eine öffentliche Adresse erhält.
Nicht zugeordnete Abfragen auflösen: Abfragen, die keiner internen Regel entsprechen, werden der externen Ansicht oder einer Standardansicht zugeordnet, sodass unbekannte Quellen niemals interne Daten sehen.

Separate Server erzielen dasselbe Ergebnis, indem interne Resolver im privaten Netzwerk und öffentliche autoritative Server im Internet platziert werden. Interne und externe Zonendaten müssen manuell oder automatisiert synchronisiert werden, da die oben genannten Schritte dies nicht gewährleisten.

Warum Split-Horizon-DNS in Unternehmensnetzwerken wichtig ist

Mit Split-Horizon-DNS können Unternehmen einen einzigen Namensraum sowohl für private als auch für öffentliche Dienste nutzen. Mitarbeiter greifen über die private Adresse im Unternehmensnetzwerk auf eine Anwendung zu, während Kunden über denselben Namen auf das öffentliche Frontend zugreifen. Ohne diese Funktion könnten interne Nutzer ins Internet und wieder zurück geleitet werden, oder Unternehmen müssten separate Domainnamen verwalten, was die Nutzer verwirrt und die Verwaltung von Zertifikaten erschwert.

Das Design begrenzt zudem die Sicherheitsrisiken. RFC 1918 reserviert private IPv4-Adressbereiche, die im öffentlichen Internet nicht routbar sind, und indem diese Adressen und internen Hostnamen aus öffentlichen Zonen ferngehalten werden, wird eingeschränkt, was Außenstehende durch Erkundung in Erfahrung bringen können. Es handelt sich um eine Sichtbarkeitskontrolle, nicht um eine Zugriffskontrolle, sodass Firewalls und Authentifizierung weiterhin erforderlich sind.

Operative Risiken entstehen durch Abweichungen. Wenn interne und externe Zonen getrennt bearbeitet werden, geraten die Einträge aus dem Gleichgewicht, und Nutzer erleben innerhalb und außerhalb des Netzwerks unterschiedliche Verhaltensweisen. Remote-Benutzer über VPNs fragen möglicherweise den falschen Resolver ab und erhalten öffentliche Antworten, obwohl sie private benötigen – oder umgekehrt. Caches verkomplizieren dies zusätzlich, wenn ein Resolver beide Zielgruppen bedient. Durch falsch konfigurierte Ansichten können zudem interne Einträge an externe Clients weitergegeben werden. Automatisierung, Änderungskontrolle und regelmäßige Vergleiche beider Ansichten reduzieren diese Fehler.

Wie sich Split-Horizon-DNS im Vergleich zu verwandten Begriffen darstellt

Split-Horizon-DNS vs. privates DNS

Split-Horizon-DNS liefert je nach Fragesteller unterschiedliche Antworten für denselben Namen, während privates DNS ein Namensraum oder Dienst ist, der Namen nur für interne Clients auflöst und nicht öffentlich zugänglich ist. Was ist privates DNS?

Attribute	Split-horizon DNS	Private DNS
Answers for a shared name	Internal and external clients get different answers for the same name	Only internal clients get answers; external clients get none from this service
Public records for the same domain	Maintained in the external view or on external servers	Not required
Main risk	Ansichten, die nicht mehr synchron sind	Internal names failing to resolve outside the private network
Typical use	One name reached by both internal and public users	Internal-only services and hosts

Split-Horizon-DNS vs. bedingte DNS-Weiterleitung

Split-Horizon-DNS passt die für einen Namen zurückgegebene Antwort je nach Client an, während die bedingte Weiterleitung Abfragen für bestimmte Domänen an festgelegte Server weiterleitet, ohne die Antworten zu verändern. Was ist bedingte DNS-Weiterleitung?

Attribute	Split-horizon DNS	Conditional DNS forwarding
What it controls	Which answer is returned	Which server is asked
Decision based on	Query source, such as client address	Domain name in the query
Where it is configured	On the authoritative server or its views	On a recursive or forwarding server

Häufige Probleme mit Split-Horizon-DNS

Ein Eintrag wird zur externen Zone hinzugefügt, nicht jedoch zur internen, oder umgekehrt. Interne Benutzer erhalten dann NXDOMAIN oder veraltete Adressen für Namen, die von zu Hause oder über das Internet funktionieren.

Zugriffsregeln auf Basis der Client-Adresse können dazu führen, dass VPN-Clients, Gast-WLAN oder Cloud-Workloads in die falsche Ansicht gelangen. Benutzer sehen private Adressen, die sie nicht erreichen können, oder öffentliche Adressen, die nach außen und wieder zurück geleitet werden.

Geräte, die mit einem öffentlichen Resolver konfiguriert sind, oder Browser, die verschlüsseltes DNS eines Drittanbieters nutzen, umgehen die internen Server. Interne Namen können nicht aufgelöst werden oder geben die öffentliche Adresse zurück.

Interne und externe Endpunkte hinter einem Namen können unterschiedliche Zertifikate vorweisen. Bei Clients treten Vertrauensfehler auf, wenn die interne Adresse ein Zertifikat bereitstellt, das den gemeinsamen Namen nicht abdeckt.

Ein gemeinsamer Caching-Resolver oder Forwarder vor beiden Ansichten kann eine Antwort aus einer Ansicht speichern und sie der anderen Zielgruppe bereitstellen. Zu den Symptomen gehören zeitweise falsche Adressen, die verschwinden, sobald der Cache abläuft.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Sprechen Sie mit uns

Das intelligente Netzwerk

Was ist Split-Horizon-DNS?

Sind Sie bereit, Ihre DDI zu vereinfachen?

Split-Horizon-DNS auf einen Blick

So funktioniert Split-Horizon-DNS

Warum Split-Horizon-DNS in Unternehmensnetzwerken wichtig ist

Wie sich Split-Horizon-DNS im Vergleich zu verwandten Begriffen darstellt

Split-Horizon-DNS vs. privates DNS

Split-Horizon-DNS vs. bedingte DNS-Weiterleitung

Häufige Probleme mit Split-Horizon-DNS

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

FAQ zu Split-Horizon-DNS

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel