DNS

Interne Namen lösen im VPN nicht auf

Q: Warum scheitert dig, wenn der Browser funktioniert?

dig fragt die Server in /etc/resolv.conf. Der Browser nutzt den Resolver von macOS, der auch die domainspezifischen Resolver nutzt.

macOS kann Anfragen für eine Domain an einen DNS-Server schicken und andere Anfragen an einen anderen. VPNs nutzen dieses Split-DNS für interne Namen.

Gilt für: alle aktuellen macOS-Versionen.Geprüft: 29. Oktober 2026

Symptome

Interne Namen wie intranet.corp.example scheitern, öffentliche Websites funktionieren aber.
Eine interne IP-Adresse funktioniert, ihr Name aber nicht.
dig oder nslookup scheitern, aber der Browser funktioniert, oder umgekehrt.

Mögliche Ursachen

Das VPN fügt keinen Resolver für die Domain hinzu. Das VPN muss macOS mitteilen, welche Domains an seine DNS-Server gehen.
Ein Testwerkzeug, das die Regeln von macOS umgeht. dig nutzt die Server in /etc/resolv.conf, nicht die domainspezifischen Resolver, die Apps nutzen.
Manuelle DNS-Server. Von Hand eingetragene DNS-Server für WLAN kennen keine internen Namen.
Ein Kurzname ohne Suchdomain. Ein Kurzname wie intranet braucht eine Suchdomain, um zu einem vollständigen Namen zu werden.

So prüfst du es

Verbinde das VPN. Zeig alle Resolver an. Such nach einem Resolver mit einer domain-Zeile für deine Firmendomain.
```
scutil --dns
```
Löse den Namen über den Resolver von macOS auf, nicht über dig.
```
dscacheutil -q host -a name intranet.corp.example
```
Zeig die Suchdomains des Dienstes an.
```
networksetup -getsearchdomains Wi-Fi
```

So behebst du es

Frag deinen Administrator, welche Domain und welchen DNS-Server das VPN nutzen soll.
Leg den Ordner für domainspezifische Resolver an, falls es ihn nicht gibt.
```
sudo mkdir -p /etc/resolver
```
Erfordert ein Administratorpasswort.
Leg eine Datei an, die nach der Domain benannt ist. Schreib für jeden Server eine nameserver-Zeile hinein.
```
sudo nano /etc/resolver/corp.example
```
Erfordert ein Administratorpasswort.
Gib die Adresse des internen DNS-Servers in einer Zeile ein.
```
nameserver 10.0.0.53
```
Sichere die Datei. Führe scutil --dns aus und such nach der neuen Domain.
Nutze vollständige Namen oder füge die Suchdomain unter „Systemeinstellungen“ > „Netzwerk“ > Dienst > „Details …“ > „DNS“ hinzu.
Entferne die Datei, wenn du sie nicht mehr brauchst.
```
sudo rm /etc/resolver/corp.example
```
Erfordert ein Administratorpasswort.

Mit Kilobat

Bei einem privaten Namen sagt why, an welchen VPN-Resolver er ging und ob dieser Resolver antwortet.
```
kilobat why intranet.corp.example
```

Fragen

Warum scheitert dig, wenn der Browser funktioniert?

dig fragt die Server in /etc/resolv.conf. Der Browser nutzt den Resolver von macOS, der auch die domainspezifischen Resolver nutzt.

Kann ich /etc/resolv.conf bearbeiten?

Nein. Laut Manpage von resolver pflegt macOS diese Datei automatisch. Nutze die Netzwerkeinstellungen oder /etc/resolver.

Quellen

resolver(5), Man-Page aus macOS 27.2
scutil(8), Manpage aus macOS 27.2
dig(1), Manpage aus macOS 27.2
Apple Support: DNS-Einstellungen auf dem Mac ändern

Quellen geprüft am 29. Oktober 2026. Die Manpages sind die mit macOS installierten; öffne eine mit man <name> im Terminal.