Het gedrag van DNS-query's en de resolutie van domeinnamen onderzoeken

Inleiding

In dit document wordt beschreven hoe besturingssystemen van clients omgaan met DNS-query's en wat de effecten zijn op de oplossing van domeinnamen met behulp van Cisco IOS® Secure Client.

---

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies. Lab-voorbeelden gebruiken Secure Firewall ASA / FTD-groepsbeleid en Cisco Secure Client op Windows, macOS, Linux en Apple iOS.

---

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Gesplitst versus standaard DNS

In dit document wordt uitgelegd hoe besturingssystemen van clients omgaan met DNS-query's en de effecten op de oplossing van domeinnamen bij het gebruik van Cisco Secure Client (voorheen Cisco AnyConnect) met split of full tunneling. VPN-koppen die worden besproken, zijn onder meer Cisco Secure Firewall ASA en FTD (voorheen ASA); instellingen voor groepsbeleid zoals split-dns, dns-server en split-tunnel-all-dns zijn op beide van toepassing, tenzij anders vermeld.

---

Als in een sectie expliciet wordt verwezen naar oudere clientreleases, is het gedrag dat wordt beschreven voor Secure Client 4.2 en hoger (inclusief huidige Secure Client 5.x-releases) van toepassing. Cisco AnyConnect 4.x heeft het einde van de levenscyclus bereikt; migreren naar Cisco Secure Client voor ondersteunde DNS- en tunnelfuncties.

Het DNS-resolutiegedrag is afhankelijk van drie factoren:

• VPN DNS-beleid: geconfigureerd op de kop (gesplitst DNS, tunnel-all-DNS of standaard DNS)
• Splittunnelmodus: Tunnel-all, split-include of split-exclude
• Clientbesturingssysteem: DNS-resolverarchitectuur (per interface versus wereldwijd)

---

Wanneer u de opdracht split-include tunneling uitvoert, zijn dit de drie DNS-opties die beschikbaar zijn in het groepsbeleid:

---

modus	Beschrijving
DNS splitsen	DNS-query's die overeenkomen met domeinnamen die zijn geconfigureerd op de kop (split-dns) worden via de tunnel naar de VPN-DNS-servers (dns-server) verzonden. Alle andere query's maken gebruik van de client OS resolver en de fysieke adapter DNS-servers.
Tunnel-all-DNS	Alleen DNS-verkeer naar de door de kop gedefinieerde DNS-servers is toegestaan. Geconfigureerd met split-tunnel-all-dns in het groepsbeleid.
Standaard DNS	Alle DNS-query's worden eerst verzonden naar de VPN-DNS-servers die door de kop zijn gedefinieerd. Bij een negatief (NXDOMAIN of geen antwoord) antwoord kan de resolver ook DNS-servers proberen op de fysieke adapter.

---

---

DNS testen — Belangrijk

---

---

True versus Best Effort Split DNS

AnyConnect Release 2.4 introduceerde gesplitste DNS-fallback (best-effort gesplitste DNS), wat geen echte gesplitste DNS is en ook werd gevonden in de oudere IPsec-client.

---

Best-effort (fallback) gedrag:

• Als het verzoek overeenkomt met een gesplitst DNS-domein, staat Secure Client toe dat het verzoek naar de kop wordt geleid.
• Als de VPN DNS-server de hostnaam niet kan oplossen, gaat de OS DNS-resolver verder en kan dezelfde query naar een DNS-server op de fysieke interface worden verzonden.
• Als het verzoek niet overeenkomt met een gesplitst DNS-domein, wordt het niet door Secure Client getunneld. Het kan een respons synthetiseren, zodat de resolver terugvalt op de fysieke interface van DNS-servers.

---

Dit is de reden waarom de legacy-functie DNS fallback voor split tunneling wordt genoemd, wat geen echte gesplitste DNS is. Secure Client zorgt ervoor dat alleen overeenkomende split-DNS-domeinquery's de tunnel binnenkomen, maar vertrouwt nog steeds op het gedrag van de OS-resolver voor de uiteindelijke resolutie.

---

Beveiligingsprobleem: een privé-domeinnaam kan naar een openbare DNS-server lekken wanneer de VPN DNS-server NXDOMAIN retourneert of niet oplost; en de resolver probeert het opnieuw op de fysieke adapter.

True split DNS: Cisco bug ID CSCtn14578

---

Opgelost op Microsoft Windows in AnyConnect 3.0 (4235) en bewaard in Secure Client 4.2+):

• Query's voor geconfigureerde split-DNS-domeinen zijn alleen toegestaan via het VPN-pad (tunnel DNS-servers/VPN-adapter, afhankelijk van platform en versie).
• Alle andere zoekopdrachten zijn alleen toegestaan via niet-VPN DNS-servers (fysieke adapter).

---

Tunnel-all en Tunnel-all DNS

Wanneer gesplitste tunneling is uitgeschakeld (alle tunnelconfiguratie), is DNS-verkeer strikt toegestaan via de tunnel.

De tunnel-all-DNS-configuratie (split-tunnel-all-dns inschakelen in het groepsbeleid) stuurt alle DNS-opzoekingen door de tunnel, terwijl een vorm van split tunneling ook is geconfigureerd en DNS-verkeer strikt is toegestaan via de tunnelinterface.

Dit is consistent op alle platforms met één waarschuwing op Microsoft Windows, wanneer de tunnel-all of tunnel-all-DNS is geconfigureerd, Secure Client DNS-verkeer toestaat naar de DNS-servers die zijn geconfigureerd op de beveiligde gateway (toegepast op de VPN-adapter). Deze beveiligingsverbetering is geïmplementeerd met true split DNS. Als dit problematisch is (bijvoorbeeld DNS-update/registratie moet niet-VPN DNS-servers bereiken), voert u de volgende stappen uit:

1. Als de huidige configuratie tunnel-all is, schakelt u split-exclude tunneling in. Elk single-host split-exclude netwerk is acceptabel, zoals een link-lokaal adres.
2. Zorg ervoor dat tunnel-all-DNS niet is ingeschakeld in het groepsbeleid (split-tunnel-all-dns uitschakelen).

---

Tunnel-all-DNS en Cisco Secure Client Umbrella Module

Wanneer split tunneling en tunnel-all-DNS beide zijn ingeschakeld, wordt DNS onderschept op kernelniveau en geblokkeerd als het niet de juiste VPN-interface verlaat. De module Secure Client Umbrella (voorheen AnyConnect Roaming Security) kan worden beïnvloed op netwerken waar versleutelde DNS niet beschikbaar is. Dit komt omdat de module standaard DNS via de LAN-interface kan proberen, terwijl tunnel-all-DNS DNS via de VPN vereist.

---

Standaard maakt de Umbrella-module gebruik van gecodeerde DNS (UDP-poort 443), die over het algemeen niet wordt geblokkeerd door tunnel-all-DNS. Het probleem treedt vooral op wanneer codering niet beschikbaar is en er geen DNS wordt gebruikt.

Aanbeveling: Voeg de Cisco Umbrella Resolver-adressen toe aan de lijst met split-include als u tunnel-all-DNS met de Umbrella-module gebruikt. Of raadpleeg het document Tunnel All DNS for Secure Client with Umbrella Module inschakelen (document-ID: 224809).

---

Probleem met DNS-prestaties opgelost in AnyConnect versie 3.0 (4235)

Dit Microsoft Windows-probleem komt het meest voor onder deze omstandigheden:

• Startpagina-routerinstelling waarbij DNS- en DHCP-servers hetzelfde IP-adres delen (Secure Client maakt een noodzakelijke route naar de DHCP-server.)
• Een groot aantal DNS-achtervoegsels/domeinen in het groepsbeleid.
• Een tunnel-all configuratie.
• Naamresolutie gebruikt een niet-gekwalificeerde hostnaam, dus de resolver probeert meerdere DNS-achtervoegsels op alle beschikbare DNS-servers.
• De native DNS-client probeert DNS-query's te verzenden via de fysieke adapter, die de Secure Client blokkeert onder tunnel-all.

---

Dit kan aanzienlijke vertraging in naamresolutie veroorzaken, vooral wanneer de kop veel DNS-achtervoegsels duwt. De resolver moet door achtervoegsels en servers lopen totdat hij een positieve reactie krijgt.

Dit probleem is opgelost in AnyConnect 3.0 (4235) en latere versies van Secure Client. Raadpleeg Cisco bug ID CSCtq02141 en Cisco bug ID CSCtn14578 voor meer informatie.

---

---

Workarounds (als een upgrade niet mogelijk is)

Schakel tunneling met gesplitste uitsluitingen voor een IP-adres in, zodat lokale DNS de fysieke adapter kan gebruiken. Een adres van link-local subnet 169.254.0.0/16 wordt vaak gebruikt omdat het verkeer naar die adressen waarschijnlijk niet de VPN doorkruist.

---

Nadat u tunneling met gesplitste uitsluitingen hebt ingeschakeld, schakelt u lokale LAN-toegang in op het clientprofiel of de client en schakelt u tunnel-all-DNS uit. Dit is een voorbeeld van een ASA/FTD-configuratie:

access-list acl_linklocal_169.254.1.1 standard permit host 169.254.1.1
group-policy gp_access-14 attributes
split-tunnel-policy excludespecified
split-tunnel-network-list value acl_linklocal_169.254.1.1
split-tunnel-all-dns disable
exit

---

Clientprofiel XML:

<LocalLanAccess UserControllable="true">true</LocalLanAccess>

---

U kunt dit ook inschakelen in de GUI voor beveiligde clients: Voorkeuren → Lokale (LAN)toegang toestaan bij gebruik van VPN

1. Gebruik volledig gekwalificeerde domeinnamen (FQDN's) in plaats van niet-gekwalificeerde hostnamen.
2. Gebruik een ander IP-adres voor de DNS-server op de fysieke interface (los van DHCP op hetzelfde subnet).

---

DNS met gesplitste tunneling op verschillende besturingssystemen voor clients

Verschillende besturingssystemen voor clients behandelen DNS anders met gesplitste tunneling (zonder gesplitste DNS) voor Secure Client; deze sectie beschrijft die verschillen.

---

Microsoft Windows (Windows 10 en Windows 11)

In Windows zijn de DNS-instellingen per netwerkinterface. Met split tunneling kunnen DNS-query's terugvallen op DNS-servers met fysieke adapter nadat ze op de VPN-tunneladapter zijn mislukt. Als gesplitste tunneling wordt gebruikt zonder gesplitste DNS, kan zowel de interne als de externe resolutie werken, omdat de resolver kan terugvallen op externe DNS-servers. Er was een belangrijke verandering in Secure Client for Windows in release 4.2 na de oplossing voor Cisco bug ID CSCuf07885. Dit gedrag is ongewijzigd in Secure Client 5.x.

---

---

Tunnel-all-configuratie (en gesplitste tunneling met Tunnel-all-DNS ingeschakeld)

Pre-Secure Client 4.2 (AnyConnect 4.1 en eerder):

• Alleen DNS-verzoeken aan DNS-servers die zijn geconfigureerd volgens het groepsbeleid (tunnel-DNS-servers) zijn toegestaan.
• Het stuurprogramma voor de beveiligde client reageert op alle andere verzoeken zonder een dergelijke naam.
• DNS-resolutie kan alleen gebruikmaken van tunnel-DNS-servers.

---

Secure Client 4.2 en hoger:

• DNS-verzoeken naar DNS-servers zijn toegestaan als ze afkomstig zijn van de VPN-adapter en door de tunnel worden verzonden.
• Alle andere verzoeken ontvangen geen naam; resolutie alleen via de VPN-tunnel.
• Voorafgaand aan Cisco bug ID CSCuf07885, beperkte Secure Client het doel van DNS-servers. Na deze oplossing wordt beperkt welke netwerkadapters DNS-verzoeken kunnen initiëren.

---

Opsplitsingsconfiguratie (Tunnel-all-DNS uitgeschakeld, geen gesplitste DNS)

Het stuurprogramma voor de beveiligde client interfereert niet met de oorspronkelijke DNS-resolver. De resolutie houdt vast aan de netwerkadaptervolgorde; Secure Client is de voorkeursadapter wanneer de VPN is verbonden.

---

Een DNS-query wordt eerst via de tunnel verzonden; als deze niet is opgelost, kan de resolver de openbare interface proberen. De lijst met gesplitste toegang moet de subnettunnel-DNS-server(s) bevatten op releases vóór 4.2. Beginnend met Secure Client 4.2 worden de hostroutes voor tunnel-DNS-server(s) automatisch toegevoegd als split-include-netwerken (beveiligde routes), zodat de split-include ACL niet langer expliciete tunnel-DNS-serversubnetten vereist.

---

Configuratie met gesplitste excludes (Tunnel-all-DNS uitgeschakeld, geen gesplitste DNS)

Dezelfde resolver gedrag als de split-omvat, eerst tunnel, dan de publieke interface fallback. De lijst met gesplitste uitsluitingen mag geen subnet bevatten dat de DNS-server(s) van de tunnel dekt. De automatische hostroutes voor tunnel-DNS-servers, te beginnen met Secure Client 4.2, voorkomen veelvoorkomende split-exclude-misconfiguratie.

---

Split-DNS (Tunnel-all-DNS uitgeschakeld, Split-include geconfigureerd)

Split-DNS op Windows vereist split-include tunneling (split-tunnel-policy tunnelspecificatie). Het ondersteunt geen tunnelbeleid met alleen split-exclude voor split-DNS-configuratie.

Pre-Secure Client 4.2:

• Gesplitste DNS-domeinquery's: alleen DNS-servers mogen tunnelen; een dergelijke naam is niet toegestaan als deze naar andere servers wordt verzonden.
• Niet-gesplitste DNS-domeinquery's: alleen toegestaan voor andere DNS-servers; geen dergelijke naam indien geprobeerd via tunnel.

---

Secure Client 4.2 en hoger (true split DNS op Windows):

• Gesplitste DNS-domeinquery's: Toegestaan voor elke DNS-server alleen als ze afkomstig zijn van de VPN-adapter. Query's van de openbare interface ontvangen geen dergelijke naam om het tunnelgebruik te forceren.
• Niet-gesplitste DNS-domeinquery's: Toegestaan voor elke DNS-server alleen als ze afkomstig zijn van de fysieke adapter. Query's van de VPN-adapter ontvangen niet zo'n naam om de resolutie van de openbare interface af te dwingen.

---

Gesplitst DNS met gesplitst exclusief tunnelen (Secure Client 5.x)

Beveiligde Client 5.x-beheerdocumentatie voegt gesplitste DNS toe voor configuraties met gesplitste excludes. Raadpleeg de Beheerdershandleiding voor Secure Client 5.x — Configureer gesplitste DNS voor gesplitste uitsluitingstunneling voor kop- en beleidsvereisten. Handhavingsregels op besturingssysteemniveau zijn nog steeds van toepassing zodra gesplitste DNS actief is.

---

Gecodeerde DNS (DoH/DoT) op Windows

Toepassingen of besturingssysteemfuncties die DNS gebruiken via HTTPS (DoH) of DNS via TLS (DoT) kunnen het pad voor het oplossen van Windows-stub omzeilen dat door Secure Client wordt gefilterd. Als gesplitste DNS voor specifieke apps niet blijkt te werken, maar in een browser werkt, controleert u of die apps gecodeerde of aangepaste DNS gebruiken. Standaard split-DNS-tests moeten de OS-resolver (browser, ping) gebruiken, niet NSLookup / dig.

---

macOS

Op macOS zijn de DNS-instellingen globaal (niet per interface). Als gesplitste tunneling wordt gebruikt zonder gesplitste DNS, kunnen DNS-query's vaak niet naar verwachting DNS-servers buiten de tunnel bereiken, kunt u alleen interne namen oplossen, niet externe namen via het openbare pad. Dit is gedocumenteerd in Cisco bug ID CSCtf20226 en Cisco bug ID CSCtz86314.

---

Workarounds:

• Geef onder het groepsbeleid een externe DNS-server-IP op en gebruik FQDN's voor interne query's.
• Als externe namen via de tunnel kunnen worden opgelost, schakelt u gesplitste DNS uit in Geavanceerd > Gesplitste tunnelverwerking door DNS-namen uit het groepsbeleid te verwijderen en gebruikt u FQDN's voor interne query's.

---

Gesplitste DNS op macOS wordt vanaf AnyConnect 3.1 ondersteund, onder de volgende voorwaarden:

• DNS splitsen ingeschakeld voor beide IP-protocollen (vereist ASA 9.0+/equivalent FTD), of;
• Gesplitst DNS ingeschakeld voor het ene IP-protocol en Client Bypass Protocol ingeschakeld voor het andere zonder adrespool voor het omzeilde protocol (of geen IPv6-pool op ASA-versies vóór 9.0).

---

---

Tunnel-all-configuratie (en gesplitste tunneling met Tunnel-all-DNS ingeschakeld)

Wanneer een beveiligde client is verbonden, blijven alleen DNS-tunnelservers in de DNS-systeemconfiguratie. Verzoeken gaan alleen over naar DNS-tunnelservers.

---

Gesplitst-inclusief / Gesplitst-exclusief (Tunnel-all-DNS uitgeschakeld, geen Gesplitst-DNS)

Secure Client interfereert niet met de native resolver. Tunnel DNS-servers hebben de voorkeur boven publieke resolvers, dus de eerste querypoging gaat over de tunnel. Omdat DNS wereldwijd is op macOS, gebruiken query's niet altijd op betrouwbare wijze publieke DNS buiten de tunnel (Cisco bug ID: CSCtf20226).

Vanaf Secure Client 4.2 worden hostroutes voor DNS-tunnelservers automatisch toegevoegd als veilige routes.

---

Split-DNS (Tunnel-all-DNS uitgeschakeld, Split-include geconfigureerd)

True split DNS (vergelijkbaar met Windows) is van toepassing wanneer:

• Split-DNS is ingeschakeld voor zowel IPv4 als IPv6;
• Split-DNS is ingeschakeld voor het ene protocol en er bestaat geen clientadrespool voor het andere protocol.

---

True split DNS betekent dat gesplitste DNS-domeinen alleen via de tunnel worden opgelost en niet naar externe resolvers worden gelekt.

Als split-DNS is ingeschakeld voor slechts één protocol en een clientadres is toegewezen voor het andere protocol, wordt alleen DNS-fallback voor split tunneling afgedwongen: met Secure Client kunnen overeenkomende query's via de tunnel worden uitgevoerd (andere query's kunnen worden geweigerd om failover te forceren), maar kunnen lekkage van split-DNS-domeinquery's die via de openbare adapter in de clear worden verzonden, niet volledig worden voorkomen.

Platformondersteuning (Secure Client admin guide): Volledig gesplitst DNS wordt ondersteund op Windows en macOS. Linux heeft beperkte ondersteuning (zie de sectie Linux).

---

Linux

Tunnel-all-configuratie (en gesplitste tunneling met Tunnel-all-DNS ingeschakeld)

Wanneer een beveiligde client is aangesloten, worden alleen tunnel-DNS-servers onderhouden in de DNS-systeemconfiguratie.

---

Gesplitst-inclusief / Gesplitst-exclusief (Tunnel-all-DNS uitgeschakeld, geen Gesplitst-DNS)

Secure Client interfereert niet met de native resolver. Tunnel DNS-servers hebben de voorkeur; de eerste poging tot resolutie gaat over de tunnel.

---

Split-DNS (Tunnel-all-DNS uitgeschakeld, Split-include geconfigureerd)

Als split-DNS is ingeschakeld, wordt alleen DNS-fallback voor split tunneling afgedwongen op Linux:

• Secure Client maakt split-DNS-domeinquery's via de tunnel mogelijk.
• Andere vragen kunnen weigering krijgen om failover naar publieke DNS aan te moedigen.
• De beveiligde client kan niet volledig split-DNS-domeinquery's afdwingen, omdat deze nooit via de openbare adapter in de clear worden verzonden.

In de gids voor het beheer van de beveiligde client wordt een beperkt gesplitst DNS op Linux vermeld: alleen DNS-verzoeken met tunnels vallen volledig onder het gesplitste DNS-beleid; sommige query's buiten de tunnel kunnen niet voldoen aan het gesplitste DNS-beleid.

---

Linux VM's en containers

Secure Client ondersteunt een aangepast attribuut van tunnel-vanaf-elke-bron, zodat pakketten met elk bronadres kunnen worden gerouteerd in split-include- of split-exclude-modus binnen VM-instanties of Docker-containers. Raadpleeg de Beheerdershandleiding voor Secure Client 5.x voor configuratiegegevens.

---

Apple iOS (iPhone en iPad)

iOS-gedrag verschilt van macOS en is niet identiek aan Windows. Als gesplitste tunneling is geconfigureerd zonder gesplitste DNS, gebruiken DNS-query's meestal de algemene DNS-server die voor het apparaat is gedefinieerd - niet hetzelfde terugvalpatroon als Windows.

---

Praktische impact: gesplitste DNS-domeinvermeldingen zijn vaak vereist voor een betrouwbare interne naamresolutie bij het gebruik van gesplitste tunneling zonder gesplitste DNS.

Historische oplossing: Cisco bug ID CSCtq09624 - (AnyConnect voor iOS 2.5.4038 en hoger.) Huidige Secure Client voor iOS voldoet aan dezelfde algemene vereiste; configureer gesplitste DNS voor interne domeinen bij gebruik van gesplitste/gesplitste en uitgesloten zonder te vertrouwen op Windows-achtige fallback.

Apple behandelt dit als ontworpen gedrag; verwacht geen .lokale resolutie via standaard gesplitste DNS op iOS. Op iOS verschilt Secure Client split-DNS-gedrag ook van andere platforms wanneer split tunneling wordt gecombineerd met bepaalde split-DNS-lijstconfiguraties. Raadpleeg het gedeelte Beveiligde clientbeheerdershandleiding DNS-resolutiegedrag splitsen met gesplitste tunnel voor iOS-specifieke beleidscombinaties (split-dns geen, standaard-domein, enzovoort).

---

Dynamic Split Tunneling en DNS (Secure Client 4.5+)

Dynamic split tunneling lost FQDN's op op verbindingstijd of op verzoek en past routering en filters aan voor verkeer naar gespecificeerde domeinen. Dit is opgenomen in of uitgesloten van de tunnel zonder statische IP-lijsten.

---

Feature	Beschrijving
Dynamische splitsing uitsluiten	Domeinen (example.com) worden tijdens runtime uitgesloten van de tunnel wanneer toepassingen deze namen oplossen.
Dynamische splitsing omvat	Domeinen zijn dynamisch opgenomen in de tunnel.
Verbeterde dynamische splitsing	Gecombineerde include/exclude domeinlijsten met voorrang regels (zoals het uitsluiten van example.com, maar met inbegrip van mail.example.com).

---

Dynamic split tunneling maakt gebruik van DNS-resolutie om routeringswijzigingen aan te brengen. Het wordt geconfigureerd via aangepaste Secure Client-attributen op de kop (bijvoorbeeld dynamisch-split-exclude-domeinen, dynamisch-split-include-domeinen).

---

Dynamic split tunneling is van toepassing op tunnel-all en split-exclude (dynamic exclude) of split-include (dynamic include) beleid. Het vervangt het gesplitste DNS-beleid niet, maar vult het aan: gesplitste DNS-besturingselementen die query's tunnelden; dynamische gesplitste tunnelbesturingselementen die IP-verkeer tunnelden op basis van opgeloste namen. Raadpleeg de configuratiedetails: Dynamic Split Tunneling configureren en de Beheerdershandleiding voor Secure Client 5.x.

---

Split exclude failover (Secure Client 5.x): Optioneel aangepast kenmerk SplitExcludeFailoverEnabled routeert verkeer via de VPN wanneer het openbare pad geen connectiviteit heeft om doelen te splitsen-uitsluiten. Zie de beheerdershandleiding voor aangepaste attribuutinstellingen.

---

Historische clientversies (referentie)

De volgende tabel is alleen van toepassing op oudere implementaties waarop nog verouderde clients worden uitgevoerd:

---

Versie	relevantie
AnyConnect 2.4	Geïntroduceerde best-effort split DNS-fallback
AnyConnect 2.5 (iOS)	Cisco bug ID: CSCtq09624 iOS DNS-uitlijning
AnyConnect 3.0(4235)	True split DNS op Windows; DNS-prestatieverbeteringen
AnyConnect 3.1 (macOS)	DNS-ondersteuning splitsen met IPv4/IPv6-voorwaarden
AnyConnect 4.2	Cisco bug ID: CSCuf07885 adapter-gebaseerde handhaving; automatische tunnel DNS-hostroutes

---

Implementeer Secure Client 5.x op alle ondersteunde platforms voor de huidige oplossingen en functies.

---

Gerelateerde bug informatie

• Cisco bug ID: CSCtn14578 - True split DNS (geen fallback) - Windows, 3.0(4235)+
• Cisco-bug-ID: CSCtq02141 - DNS-vertraging wanneer ISP DNS op hetzelfde subnet staat als het openbare IP-adres
• Cisco bug ID: CSCuf07885 - Windows DNS: beperken door adapter, niet doelserver - 4.2+
• Cisco bug ID: CSCtf20226 - macOS split tunnel DNS in tegenstelling tot Windows
• Cisco bug ID: CSCtz86314 - macOS split DNS queries niet verzonden via tunnel
• Cisco bug ID: CSCtq09624 - iOS split tunnel DNS gedrag
• Cisco bug ID: CSCts89292 - iOS negeert .local DNS-domeinen
• Cisco bug ID: CSCsv34395 - FQDN-proxy naar DHCP-serverondersteuning

---

Gerelateerde informatie

• Het gedrag van DNS-zoekopdrachten en de resolutie van domeinnamen onderzoeken (Cisco.com) — Document ID 116016
• Cisco Secure Client 5.x Administrator Guide — VPN-toegang configureren/DNS splitsen
• ASA/AnyConnect Dynamic Split Tunneling configureren — Document ID 215383
• Alle DNS-tunnels inschakelen voor beveiligde client met overkoepelende module — document-ID 224809
• Interopereren tussen AnyConnect en de OpenDNS-roamingclient — Document ID 200395
• Cisco Technical Support en downloads

---

Revisiegeschiedenis

herziening	dateren	Opmerkingen
4.0	28 jul. 2026	Volledige inhoudelijke update: Secure Client branding, platform refresh, dynamic split tunneling, Umbrella/tunnel-all-DNS, typo en config fixes, gecorrigeerde gerelateerde links
3.0	23 mei 2024	Hercertificering (Cisco.com)
1.0	12 jun. 2014	Eerste vrijgave

---

Document is van toepassing op

• Cisco Secure Client (inclusief AnyConnect) — Windows, macOS, Linux, iOS
• Beleid voor Cisco Secure Firewall ASA en FTD Remote Access VPN Group

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
4.0	10-Aug-2026	Bijgewerkte introductie, spelling, grammatica, vaste URL's, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid en vaste CCW-fouten.
3.0	23-May-2024	hercertificering
1.0	12-Jun-2014	Eerste vrijgave