Beim NAS-Fernzugriff betrifft Split-Tunneling vor allem die Routing-Ebene des VPN-Clients: Nur Ziele im Heimnetz werden durch den verschlüsselten Tunnel geleitet, während gewöhnlicher Internetverkehr die direkte Verbindung nutzt. Eine unmittelbare Gefahr für die Daten auf dem NAS besteht durch diese Routenwahl normalerweise nicht, eine falsche Konfiguration kann den Fernzugriff jedoch ungewollt am VPN vorbeiführen oder interne Dienste unerreichbar machen. Prüfe zuerst bei bestehender VPN-Verbindung die zugewiesene Client-Adresse, das Heimnetz-Subnetz und die aktiven Routen. Ändere vorerst weder Speicherpool noch Freigaberechte und richte keine Portfreigabe zum NAS ein.
Wann ein Split-Tunnel für den NAS-Zugriff sinnvoll ist
Ein Split-Tunnel passt, wenn das VPN hauptsächlich als geschützter Weg zu NAS, Router und anderen Geräten im Heimnetz dient. Videostreams, Webseiten, Updates und andere öffentliche Internetverbindungen müssen dann nicht erst zum heimischen VPN-Server und von dort wieder ins Internet laufen.
Diese Aufteilung bietet sich besonders in drei Situationen an:
- Du möchtest unterwegs auf NAS-Freigaben zugreifen, während Browser und andere Apps die normale Internetverbindung behalten.
- Der Upload deines Heimanschlusses ist begrenzt und soll nicht den gesamten Datenverkehr des entfernten Geräts transportieren.
- Ein öffentlicher Dienst soll weiterhin die IP-Adresse des Aufenthaltsorts sehen und nicht die öffentliche Adresse deines Heimanschlusses.
Die sinnvolle Auswahl erfolgt nach dem Ziel des VPN. Soll das VPN ausschließlich einen sicheren Zugang ins Heimnetz schaffen, ist eine Route zu den internen Netzen meist ausreichend. Soll es dagegen auch den Internetverkehr in einem fremden WLAN schützen oder über den Heimanschluss ausleiten, wird ein Full-Tunnel benötigt.
Split-Tunnel und Full-Tunnel erfüllen unterschiedliche Aufgaben
Beim Split-Tunnel entscheidet die Routing-Tabelle anhand der Zieladresse. Ein Paket an eine private NAS-Adresse wie 192.168.10.20 kann durch das VPN laufen, während ein Paket an einen öffentlichen Webserver direkt über WLAN oder Mobilfunk gesendet wird. Die Anwendung muss davon häufig nichts wissen.
Ein Full-Tunnel setzt dagegen eine Standardroute durch das VPN. Damit nimmt nahezu der gesamte Datenverkehr des Clients den Umweg über das Heimnetz. Das kann in einem nicht vertrauenswürdigen WLAN erwünscht sein, beansprucht aber Upload-Bandbreite am Heimanschluss und kann Latenz sowie Datendurchsatz beeinflussen.
Die Entscheidung lässt sich auf eine kurze Regel reduzieren:
- Nur NAS und Heimgeräte erreichen: Route ausschließlich für das Heimnetz oder die benötigten internen Teilnetze setzen.
- Gesamten Client über den Heimanschluss führen: Standardroute über das VPN verwenden.
- Nur einzelne Anwendungen tunneln: Prüfen, ob der verwendete VPN-Client anwendungsbasiertes Split-Tunneling unterstützt. Eine reine Netzroute kann nicht zwischen zwei Apps unterscheiden, die dasselbe Ziel aufrufen.
Die richtige Route richtet sich nach dem Heimnetz
Für einen netzbasierten Split-Tunnel benötigt der VPN-Client eine Route zum LAN hinter dem VPN-Server. Liegt das NAS beispielsweise unter 192.168.10.20 und verwendet das Heimnetz das Subnetz 192.168.10.0 mit einer Netzmaske von 255.255.255.0, wird üblicherweise das gesamte Netz 192.168.10.0/24 durch den Tunnel geroutet. Dadurch sind neben dem NAS auch andere Geräte in diesem Segment erreichbar, sofern Firewall und Zugriffsrechte dies erlauben.
Eine Hostroute nur zur IP-Adresse des NAS schränkt den Umfang stärker ein. Sie kann sinnvoll sein, wenn wirklich nur dieses eine Ziel gebraucht wird. In der Praxis benötigt ein NAS-Zugriff jedoch mitunter weitere interne Ziele, etwa einen lokalen DNS-Server, einen Verzeichnisdienst oder eine Verwaltungsinstanz. Die kleinste Route ist nur dann die beste Wahl, wenn alle dafür nötigen Abhängigkeiten bekannt sind.
Bei WireGuard wird die Zielauswahl auf dem Client häufig über die für den Peer erlaubten IP-Netze gesteuert. Ein Eintrag für das Heimnetz führt nur dieses Netz in den Tunnel; eine IPv4-Standardroute würde hingegen den gesamten IPv4-Verkehr erfassen. Bei OpenVPN können Routen durch die Serverkonfiguration an den Client verteilt oder auf dem Client festgelegt werden. Die Bezeichnungen und Eingabefelder unterscheiden sich zwischen Betriebssystemen, Routern und VPN-Apps, das Routingprinzip bleibt jedoch gleich.
Vier Prüfungen vor der Umstellung
- Adressbereiche notieren: Ermittle das LAN-Subnetz des Heimnetzes, die lokale IP-Adresse des NAS und das Adressnetz der VPN-Clients. Diese Netze dürfen nicht versehentlich als dasselbe Netz geplant sein.
- Benötigte Ziele abgrenzen: Kläre, ob nur das NAS, das gesamte LAN oder zusätzlich weitere interne Netze erreichbar sein müssen. VLANs und getrennte Servernetze brauchen eigene Routen und passende Firewall-Regeln.
- DNS-Abhängigkeit prüfen: Wird das NAS über einen internen Hostnamen angesprochen, muss der Client diesen Namen über einen erreichbaren DNS-Server auflösen können. Eine Route zur NAS-Adresse allein löst kein DNS-Problem.
- IPv4 und IPv6 getrennt betrachten: Eine IPv4-Route steuert keinen IPv6-Verkehr. Nutzt Heimnetz oder Client IPv6, muss die gewünschte Tunnelstrategie auch dafür festgelegt werden. Andernfalls können Verbindungen einen anderen Weg nehmen als erwartet.
Diese Prüfung verändert weder das NAS noch seine Daten. Sichere vor Änderungen Screenshots oder einen Export der bisherigen VPN-Konfiguration, sofern die verwendete Software dies ermöglicht. So lässt sich die funktionierende Ausgangslage wiederherstellen.
Überlappende Netze sind der häufigste Planungsfehler
Verwendet das entfernte WLAN denselben privaten Adressbereich wie dein Heimnetz, kann der Client lokale und entfernte Ziele nicht zuverlässig allein anhand der Adresse unterscheiden. Befindet sich das NAS zu Hause beispielsweise im Netz 192.168.1.0/24 und das Hotel-WLAN nutzt ebenfalls 192.168.1.0/24, konkurrieren lokale und VPN-Routen miteinander. Welche Verbindung gewinnt, hängt von Routenlänge, Priorität und Client-Verhalten ab.
Eine dauerhaft saubere Lösung besteht darin, dem Heimnetz einen weniger verbreiteten privaten Adressbereich zu geben. Diese Änderung betrifft jedoch Router, feste IP-Zuweisungen, Firewall-Regeln, Freigaben und möglicherweise Backup-Ziele. Sie sollte geplant und nicht während eines Fernzugriffs durchgeführt werden. Als vorübergehende Lösung können einzelne Hostrouten funktionieren, sofern die Zieladresse nicht zugleich im fremden lokalen Netz verwendet wird.
DNS entscheidet, ob der NAS-Name weiterhin funktioniert
Der Zugriff per IP-Adresse und die Namensauflösung sind getrennte Ebenen. Funktioniert die NAS-IP über den Split-Tunnel, der bisher verwendete Hostname aber nicht, ist die Route zum NAS wahrscheinlich in Ordnung. Dann fehlt meist ein erreichbarer interner DNS-Dienst oder der Client fragt weiterhin ausschließlich den DNS-Server des fremden Netzes.
Für diesen Fall gibt es zwei saubere Ansätze. Beim Split-DNS werden nur Anfragen für die interne Namenszone an den heimischen DNS-Server geschickt. Alternativ kann der VPN-Client während der Verbindung einen internen DNS-Server für alle Namensanfragen verwenden, ohne deshalb den übrigen Internetverkehr zu tunneln. Welche Variante verfügbar ist, hängt vom VPN-Client und Betriebssystem ab.
Manuell gepflegte Hosteinträge können einen einzelnen Namen überbrücken, skalieren aber schlecht und werden nach einer Änderung der NAS-Adresse schnell falsch. Eine feste DHCP-Zuweisung für das NAS und eine passende interne DNS-Zuordnung sind für den Regelbetrieb belastbarer.
So kontrollierst du den tatsächlichen Datenweg
Die Erfolgskontrolle muss sowohl ein internes als auch ein öffentliches Ziel umfassen. Nur weil die NAS-Oberfläche erreichbar ist, steht noch nicht fest, dass gewöhnlicher Internetverkehr den Tunnel umgeht.
- Baue das VPN auf und öffne die Verbindungsdetails. Prüfe, ob die vorgesehene VPN-Client-Adresse vergeben wurde.
- Rufe das NAS über seine interne IP-Adresse auf. Nutze dabei zunächst keinen Hostnamen, damit DNS das Ergebnis nicht verfälscht.
- Kontrolliere in der Routing-Anzeige des Betriebssystems, ob das Heimnetz dem VPN-Adapter zugeordnet ist und die Standardroute weiterhin über WLAN, Ethernet oder Mobilfunk führt.
- Vergleiche die nach außen sichtbare IP-Adresse vor und nach dem Aufbau des VPN. Bei einem funktionierenden Split-Tunnel sollte der gewöhnliche Internetzugang weiterhin über die entfernte Verbindung erscheinen.
- Teste danach den internen NAS-Namen. Scheitert nur dieser Test, untersuche DNS statt Routing oder NAS-Berechtigungen.
- Übertrage eine kleine unkritische Datei und prüfe, ob Lesen und Schreiben gemäß den vorhandenen Freigaberechten funktionieren. Verwende dafür keine wichtige Originaldatei als Testobjekt.
Ein Traceroute kann den Pfad zusätzlich sichtbar machen, liefert aber nicht in jedem Netz eine vollständige Antwort, weil Zwischenstationen entsprechende Pakete blockieren können. Aussagekräftiger ist die Kombination aus Routing-Tabelle, erreichbarer interner IP und unveränderter öffentlicher IP-Adresse.
Firewall, Freigaberechte und Routing bleiben getrennte Ebenen
Eine vorhandene Route erlaubt noch keinen Zugriff. Der VPN-Server muss Pakete zwischen VPN-Netz und Heimnetz weiterleiten dürfen, und eine Firewall muss den benötigten Verkehr zulassen. Auf dem NAS gelten weiterhin Benutzerrechte, Freigabeberechtigungen und gegebenenfalls Regeln des NAS-Firewallsystems.
Der VPN-Zugang sollte nur die tatsächlich benötigten internen Netze und Dienste freigeben. Für Dateifreigaben ist keine öffentliche Weiterleitung des SMB-Ports erforderlich. Das NAS bleibt über seine private Adresse erreichbar, sobald der Client im VPN einen gültigen Weg dorthin hat und die Sicherheitsregeln den Zugriff erlauben.
Ein Kill Switch verdient besondere Aufmerksamkeit. Manche VPN-Clients blockieren bei aktivierter Schutzfunktion nach einem Tunnelabbruch den gesamten Datenverkehr, andere nur Verbindungen, die zum VPN gehören. Bei einem Split-Tunnel sollte das Verhalten absichtlich getestet werden: Nach einer kontrollierten Trennung darf das NAS nicht plötzlich über einen öffentlichen Ersatzweg erreichbar sein. Der normale Internetverkehr kann je nach gewünschter Richtlinie weiterlaufen oder ebenfalls gesperrt bleiben.
Welche Variante zu deinem Zugriff passt
Für gelegentliche Dateiübertragungen, die NAS-Verwaltung und interne Webdienste ist ein netzbasiertes Split-Tunneling meist die passende Aufteilung. Das Heimnetz oder eine bewusst begrenzte Hostroute läuft durch das VPN; öffentliche Ziele behalten den direkten Weg.
Ein Full-Tunnel ist vorzuziehen, wenn der gesamte Datenverkehr eines Reisegeräts über den Heimanschluss abgesichert werden soll, Anwendungen eine heimische öffentliche IP-Adresse benötigen oder die Sicherheitsrichtlinie keine direkte Internetverbindung am Aufenthaltsort erlaubt. Die zusätzliche Last auf Heimanschluss und VPN-Server gehört dann zur beabsichtigten Funktion.
Anwendungsbasiertes Split-Tunneling ist eine Sonderform. Es eignet sich, wenn beispielsweise nur eine Dateimanager-App den Tunnel verwenden soll. Diese Variante ist stärker vom Betriebssystem und VPN-Client abhängig und kann Hintergrunddienste übersehen, die außerhalb der ausgewählten App laufen. Für NAS-Dienste mit mehreren beteiligten Prozessen ist eine Zielnetzroute oft leichter nachvollziehbar.
Die robuste Minimalentscheidung lautet: Lege zuerst fest, welche internen Zielnetze erreichbar sein müssen, route nur diese Netze durch das VPN und bestätige den Weg mit einem internen sowie einem öffentlichen Testziel. Erst wenn dieser Zustand zuverlässig funktioniert, sollten zusätzliche VLANs, interne DNS-Zonen oder anwendungsbezogene Regeln ergänzt werden.