Lege gezielt fest, welche Apps dein VPN verwenden

Auf einem Laptop kann eine geschützte Browsersitzung nötig sein, während eine andere Anwendung ihre gewöhnliche Verbindung braucht. Split-Tunneling kann beides ermöglichen. Der Name verrät jedoch nicht, welcher Datenverkehr welchen Weg nimmt. Ein Häkchen bedeutet in einem Client „Diese Apps durch das VPN leiten“ und in einem anderen „Diese Apps ausschließen“. Beginne mit einer kurzen Liste des gewünschten Verhaltens und teste anschließend jede betroffene Anwendung. Sammle nicht allein deshalb viele Ausnahmen, weil die Optionen vorhanden sind. Jede Ausnahme sollte ein bekanntes Problem lösen, das du beschreiben und später erneut beurteilen kannst.

Lege die VPN-Split-Tunneling-Regeln vor der App-Auswahl fest

Notiere die Anwendung, die Aufgabe und den vorgesehenen Verbindungsweg. Beispielsweise soll ein Browser für Recherchen den Tunnel nutzen, während ein anderes Programm aus einem dokumentierten Kompatibilitätsgrund direkten Zugang braucht. Das ist eine mögliche Anordnung, keine allgemeingültige Empfehlung. Auf einem vom Arbeitgeber verwalteten Gerät haben die Zugriffsregeln der Administration Vorrang vor deinen persönlichen Wünschen.

Überlege, ob überhaupt eine Ausnahme erforderlich ist. Wenn lediglich ein Drucker verschwindet, löst der Ausschluss eines ganzen Browsers womöglich das falsche Problem. Geräteerkennung, Berechtigungen und lokaler Netzwerkzugriff verdienen eine eigene Prüfung. Der Beitrag zum Zugriff auf Drucker und Casting-Geräte erläutert diesen engeren Fall. Eine Ausnahme für direkten Internetverkehr und die Erlaubnis, ein benachbartes Gerät zu erreichen, sind unterschiedliche Entscheidungen.

Halte bei jeder geplanten Änderung eine verantwortliche Person und einen Grund fest. Bei deinem eigenen Telefon bist du selbst verantwortlich. An einem gemeinsam genutzten Computer verhindert die Notiz, dass jemand die Verbindungsanzeige als Aussage über jedes Programm versteht. Ergänze das Datum: Eine Ausnahme für einen vorübergehenden Ausfall sollte nicht unbemerkt zur dauerhaften Regel werden.

Prüfe genau, in welche Richtung die Auswahl wirkt

Die App-Auswahl folgt häufig einem von zwei Modellen. Eine Einschlussliste benennt Programme, die den Tunnel nutzen sollen. Eine Ausschlussliste benennt Programme, die ihn umgehen sollen. Eine Liste mit denselben drei App-Namen kann somit gegensätzliche Regeln ausdrücken. Lies den erklärenden Satz im Client, statt dich nur auf markierte Einträge zu verlassen.

Die Android-Dokumentation zur VPN-Entwicklung beschreibt Listen zugelassener und ausgeschlossener Anwendungen als Alternativen. Sie weist außerdem darauf hin, dass Änderungen eine neu aufgebaute Verbindung erfordern. Daraus folgt nicht, wie jeder Endkunden-Client seine Einstellungen gestaltet. Es erklärt aber, weshalb eine geänderte Liste möglicherweise erst nach erneutem Verbinden wirkt.

Bei einer Einschlussliste musst du neue Installationen beachten: Ein neues Programm könnte außerhalb der Auswahl liegen. Bei einer Ausschlussliste solltest du prüfen, ob alte Ausnahmen fortbestehen, obwohl ihr ursprünglicher Zweck entfällt. Keines der Modelle ist automatisch besser. Wähle das Modell, das du zuverlässig pflegen kannst, und überprüfe das Verhalten nicht aufgeführter Anwendungen. Verlasse dich nicht auf einen Funktionsnamen, der auf verschiedenen Plattformen unterschiedlich übersetzt wurde.

Betrachte Client und Betriebssystem gemeinsam

Ein Abonnement liefert Zugangsdaten und Verbindungsziele. Welche Routing-Optionen du hast, hängt auch von der Software ab, die diese Daten importiert. Zwei Clients mit demselben Abonnement können unterschiedliche Einstellungen anbieten. Selbst eine gleichnamige App kann sich auf Telefon und Desktop unterscheiden. Die Checkliste zur Client-Kompatibilität hilft dir festzustellen, ob das installierte Programm deine gewünschten Regeln tatsächlich unterstützt.

Unter Android kann die Systemeinstellung zum Blockieren von Verbindungen außerhalb des VPN ausgeschlossene Anwendungen beeinflussen. Laut Dokumentation können Programme außerhalb des erlaubten Tunnelwegs ihre Netzwerkverbindung verlieren, statt direkt verbunden zu werden. Bei strengen Regeln kann das genau das beabsichtigte Ergebnis sein. Es ist kein Beleg für ein abgelaufenes Abonnement.

Schalte diese Sperre nicht stillschweigend aus, nur damit eine Ausnahme funktioniert. Entscheide zuerst, ob direkter Datenverkehr für dieses Gerät und diese Aufgabe akzeptabel ist. Falls nicht, wähle eine andere unterstützte Lösung. Bewahre einen Screenshot oder eine kurze Notiz der ursprünglichen Einstellungen auf, ohne Abonnement-URLs, Konfigurationsschlüssel oder persönliche Kontodaten einzuschließen.

Teste die Anwendung statt einer Browseranzeige

Bereite zwei unverfängliche Testaufgaben vor: eine innerhalb und eine außerhalb der geplanten Tunnelregel. Beende unnötige Hintergrundaktivitäten, verbinde das VPN und starte betroffene Apps neu, sofern ihre Dokumentation dies empfiehlt. Eine Prüfung der öffentlichen Adresse im ausgewählten Browser liefert einen Nachweis über dessen Anfrage. Sie belegt nicht den Verbindungsweg eines getrennten Mailprogramms, Spiels oder Dateisynchronisierungsprozesses.

Bietet eine Anwendung Diagnoseinformationen, nutze diese zur Prüfung ihrer eigenen Verbindung. Andernfalls notiere das beobachtbare Ergebnis und frage den Support nach einem passenden Test. Installiere keine unbekannte Analyseerweiterung und gib keine Zugangsdaten weiter, nur um eine Adressanzeige zu erhalten. Eine erfolgreiche Anmeldung allein belegt keinen bestimmten Weg, denn derselbe Dienst kann Verbindungen über beide Wege annehmen.

Wiederhole den Test nach dem Trennen und erneuten Verbinden über die normalen Bedienelemente des Clients. Öffnet eine Anwendung zur Anmeldung einen Browser, beziehe diesen Übergang ein: Die Anmeldeseite kann in einem anderen Programm laufen als die Anwendung selbst. Gleiche Anleitungen für Android mit dem Client und Gerät ab, die du tatsächlich verwendest.

Unterscheide Routing, Identität und Filterung

Der Ausschluss eines Programms ändert einen Netzwerkweg. Er erzeugt keine andere Person und löscht keine bestehende Kontositzung. Ein Dienst kann Aktivitäten weiterhin dem angemeldeten Konto zuordnen. Wenn ein Browser außerhalb des Tunnels arbeitet, werden seine Cookies, gespeicherten Einstellungen oder Kontoverläufe nicht automatisch von früherer Nutzung getrennt.

Auch DNS und Filterung brauchen eigene Aufmerksamkeit. Eine Anwendung kann einen Resolver des Betriebssystems, des VPN oder ihrer eigenen Einstellungen verwenden. Eine Routing-Ausnahme kann mit diesen Entscheidungen je nach Client unterschiedlich zusammenspielen. Wenn du auf DNS-basierte Sperren angewiesen bist, überprüfe das erwartete Verhalten in der ausgeschlossenen Anwendung. Gehe nicht davon aus, dass jede Funktion der Verbindungsanzeige folgt.

Halte in deinen Notizen den beabsichtigten Weg, die Beobachtung und die offene Frage auseinander. „Die Video-App funktioniert direkt“ ist beispielsweise eine Beobachtung. „Alle ihre Hintergrundanfragen umgehen den Tunnel“ ist eine wesentlich stärkere Aussage. Falls diese stärkere Aussage wichtig ist, bitte um eine dokumentierte Konfiguration und einen Test, der sie tatsächlich überprüft. Mache aus einer praktischen Symptomverbesserung keine Sicherheitsgarantie.

Pflege wenige Regeln, die du erklären kannst

Überprüfe die Liste nach einem Gerätewechsel, einer Neuinstallation oder einem Client-Wechsel. Entferne Ausnahmen, deren Zweck entfallen ist, und teste die verbleibenden Aufgaben erneut. Eine kurze Liste mit klaren Gründen lässt sich leichter pflegen als eine umfangreiche Sammlung aus einer allgemeinen Fehlerbehebungsanleitung.

Wenn du den Lumeraya-Support kontaktierst, nenne Gerät, Betriebssystemversion, Client, Auswahlmodus und das erwartete Verhalten einer einzelnen Anwendung. Beschreibe, ob sie vollständig ausfällt oder lediglich einen unerwarteten Verbindungsweg verwendet. Halte geheime Konfigurationsdaten aus öffentlich sichtbaren Screenshots heraus.

Eine gute Split-Tunneling-Einrichtung endet mit verständlichen Ergebnissen: Du weißt, welche Programme eingeschlossen sind, welche ausgeschlossen bleiben und was noch nicht geprüft wurde. Belasse normalen Datenverkehr auf dem geschützten Standardweg, sofern eine Ausnahme keinen konkreten Zweck hat. Prüfe diesen Zweck bei veränderten Bedingungen erneut, statt das gestern funktionierende Häkchen als dauerhafte Beschreibung deines Geräts zu betrachten.