DNS

DNS-Anfragen umgehen auf dem Mac das VPN

Q: Warum sehe ich mehr als einen Resolver?

macOS kann viele Resolver nutzen. Resolver mit einer domain-Zeile antworten nur für diese Domain. Die Manpage von scutil erklärt das.

Mit aktivem VPN sollen DNS-Anfragen meist an die Server des VPN gehen. Manche Einstellungen schicken sie stattdessen an die Server des lokalen Netzwerks.

Gilt für: macOS 13 Ventura und neuer für die Schritte in den Systemeinstellungen. Die Terminal-Befehle funktionieren unter allen aktuellen macOS-Versionen.Geprüft: 29. Oktober 2026

Symptome

Das VPN ist verbunden, aber ein DNS-Test zeigt die Server des lokalen Anbieters.
Websites sehen den DNS-Server deines lokalen Netzwerks, obwohl das VPN aktiv ist.
Interne Namen funktionieren, aber andere Namen nutzen das DNS des lokalen Netzwerks.

Mögliche Ursachen

Manuelle DNS-Server für WLAN oder Ethernet. Server, die du für einen Netzwerkdienst eingetragen hast, können neben den Servern des VPN in Gebrauch bleiben.
Ein Split-Tunnel-VPN. Manche VPNs schicken nur bestimmte Domains oder Netzwerke durch den Tunnel. Andere Anfragen nutzen die lokalen Server.
Ein Profil für verschlüsseltes DNS oder eine DNS-App. Ein DNS-Einstellungsprofil oder eine andere DNS-App kann Anfragen an einen eigenen Server schicken.
Die Einstellungen der VPN-App. Viele VPN-Apps haben eigene DNS-Optionen. Diese Optionen entscheiden, welche Server macOS bekommt.

So prüfst du es

Verbinde das VPN. Zeig die DNS-Konfiguration an. Resolver #1 ist der Standard für die meisten Namen.
```
scutil --dns
```
Ausgabe Jeder Resolver mit seinen nameserver-Adressen, seiner if_index-Schnittstelle und bei manchen einer domain-Zeile.
Finde die Schnittstelle von Resolver #1. Eine VPN-Schnittstelle hat oft einen Namen wie utun.
```
ifconfig -l
```
Such nach DNS-Servern, die du für den physischen Dienst von Hand festgelegt hast.
```
networksetup -getdnsservers Wi-Fi
```
Such nach Profilen. Wähle unter macOS 15 und neuer „Apple-Menü“ > „Systemeinstellungen“ > „Allgemein“ > „Geräteverwaltung“.
Wähle unter macOS 13 und 14 Apple-Menü > „Systemeinstellungen“ > „Datenschutz & Sicherheit“ > „Profile“.

So behebst du es

Entferne DNS-Server, die du für WLAN oder Ethernet von Hand festgelegt hast, wenn du sie nicht brauchst.
```
networksetup -setdnsservers Wi-Fi empty
```
Erfordert ein Administratorpasswort.
Öffne die Einstellungen der VPN-App. Aktiviere ihre Option, das DNS des VPN zu nutzen, falls es eine gibt.
Entferne ein DNS-Profil, das du nicht brauchst. Wähle es unter „Geräteverwaltung“ oder „Profile“ aus und klicke dann auf die Taste „Entfernen“.
Trenne das VPN und verbinde es erneut. Führe scutil --dns noch einmal aus und vergleiche.
Frag den VPN-Anbieter oder deinen Administrator, welche DNS-Server der Tunnel nutzen soll.

Mit Kilobat

Kilobat listet die VPN-Schnittstellen neben den physischen auf.
```
kilobat interfaces --json
```
Bei einem privaten Namen sagt why, an welchen VPN-Resolver er ging und ob dieser antwortet. Außerdem vergleicht es den direkten Pfad mit dem Tunnel.
```
kilobat why intranet.corp.example
```

Fragen

Übernimmt ein VPN immer das gesamte DNS?

Nein. Das entscheidet das VPN. Ein Split-Tunnel-VPN kann nur bestimmte Domains an seine DNS-Server schicken.

Warum sehe ich mehr als einen Resolver?

macOS kann viele Resolver nutzen. Resolver mit einer domain-Zeile antworten nur für diese Domain. Die Manpage von scutil erklärt das.

Quellen

scutil(8), Manpage aus macOS 27.2
resolver(5), Man-Page aus macOS 27.2
Apple Support: DNS-Einstellungen auf dem Mac ändern
Apple Support: Reihenfolge der Netzwerkdienste auf dem Mac ändern
Apple Support: Konfigurationsprofile zur Standardisierung von Einstellungen auf Mac-Computern verwenden

Quellen geprüft am 29. Oktober 2026. Die Manpages sind die mit macOS installierten; öffne eine mit man <name> im Terminal.