Návod
Jak nastavit dělené tunelování
Jak posílat některé aplikace nebo adresy mimo tunel, zatímco vše ostatní zůstane uvnitř, co každá výjimka stojí a jak ověřit, že dělení odpovídá vašemu nastavení. Text vychází z klientů z konce roku 2026 a Androidu 17.
Co tím vyřešíte
Dělené tunelování posílá vybranou skupinu aplikací nebo adres mimo tunel a vše ostatní v něm ponechává. Každá položka na seznamu představuje provoz, kterého se VPN na běžné síti už vůbec nedotýká. Při správném nastavení vyřeší tiskárnu nebo bankovní aplikaci, aniž by ovlivnilo cokoli dalšího; při volném nastavení jde o únik, který jste si nakonfigurovali sami. Níže uvádíme úzce vymezenou variantu.
Dva druhy pravidel
Podle aplikace
Pravidlo určuje program a jeho připojení obcházejí tunel. Nabízejí ho klienti pro Windows, macOS a Android; od Androidu 17 může klient předat seznam obrazovce spravované systémem, takže výjimky vynucuje operační systém, nikoli klient — klient, který tuto obrazovku otevírá z vlastního nastavení, ji používá. iOS běžným klientům dělení podle aplikací nenabízí; nejbližší možností je níže uvedený přepínač místní sítě.
Podle adresy nebo podsítě
Pravidlo určuje cíl a provoz k tomuto cíli obchází tunel z libovolného programu. Je hrubší a hůře se zpětně čte, protože adresové pravidlo pokrývá vše, co na dané adrese odpoví zítra. Je to správný nástroj pro zařízení ve vaší vlastní síti a nesprávný pro službu na internetu.
Co jde mimo tunel
- Zařízení ve vaší vlastní síti — tiskárna, NAS nebo mediální server — které vám směrování tunelu skryje. Nejprve zkuste přepínač místní sítě; jde o menší nastavení, které většinu těchto zařízení pokryje bez pravidla.
- Aplikace, která odmítá připojení z adres exitu, typicky bankovní aplikace. Pravidlo umožní této jediné aplikaci vidět vaši skutečnou adresu a ničemu dalšímu. Banka pak ví, kde se nacházíte, což je cena tohoto řešení.
- Ve výchozím nastavení nic dalšího. Každá položka je aplikace, jejíž provoz může síť, ke které jste připojeni, číst. Dlouhý seznam znamená VPN, která chrání prohlížeč a jen málo dalšího.
Výjimka je určena pro aplikaci, která přes tunel nefunguje. Neslouží k přístupu ke službě, která se rozhodla neposkytovat služby v zemi exitu; to je rozhodnutí dané služby a obcházení tohoto rozhodnutí přesahuje rozsah této stránky.
Nastavení pravidla
- Otevřete sekci klienta pro dělené tunelování, která bývá v nastavení připojení nebo v pokročilém nastavení. V Androidu 17 a novějším může klient otevřít systémovou obrazovku spravující stejný seznam; v obou případech existuje jeden seznam a vede k němu vlastní sekce klienta.
- Před přidáním čehokoli zkontrolujte režim. Většina klientů nabízí dva: uvedené aplikace obcházejí tunel, nebo ho používají pouze uvedené aplikace. Druhý režim je inverzní dělené tunelování a s prázdným seznamem znamená, že se netuneluje nic. Ověřte, že je režim nastaven podle vašeho záměru.
- Přidejte aplikaci, nikoli její složku, a přidejte jediný spustitelný soubor, který připojení vytváří. Sada s několika procesy může vyžadovat každý z nich; přidáním složky instalačního programu přidáte také jeho aktualizační program.
- Aplikaci úplně ukončete a klienta znovu připojte. Pravidla se uplatňují na nová připojení. Aplikace, která zůstala otevřená, si ponechá starou trasu a při kontrole poskytne zavádějící výsledek.
Inverzní režim
V inverzním režimu používají tunel pouze uvedené aplikace a vše ostatní ho obchází. Hodí se, když tunel potřebuje jedna aplikace a zbytek zařízení se má chovat, jako by na něm žádný klient nebyl; pro cokoli jiného je nevhodný, protože každá aplikace, kterou zapomenete uvést, zůstane na otevřené síti. Pokud ho používáte, nouzový vypínač u většiny klientů pokrývá pouze uvedené aplikace; ostatní v tunelu od začátku nebyly.
Přístup k místní síti
Většina klientů má jediný přepínač, který propustí adresy vaší vlastní sítě a vše ostatní ponechá v tunelu. Jde o dělené tunelování podle podsítě, které je vybrané za vás, a pokryje tiskárnu i NAS bez pravidla. V síti, kterou sami spravujete, to stojí jen málo; ve veřejné síti umožní každému zařízení v této síti přístup k vašemu zařízení. Proto je tato možnost ve výchozím nastavení vypnutá a před odchodem se vyplatí ji znovu vypnout.
Ověřte, že dělení odpovídá vašemu nastavení
- Ve vyjmuté aplikaci najděte její vlastní kontrolu adresy — podrobnosti relace v bankovní aplikaci, panel adres v torrentovém klientovi nebo libovolnou stránku otevřenou ve vyjmutém prohlížeči — a očekávejte svou vlastní adresu a zemi.
- V libovolné aplikaci, kterou jste nevyjmuli, spusťte kontrolu adresy a očekávejte adresu exitu. Udělejte to v prohlížeči, který jste do seznamu nepřidali, a pokud máte jinou aplikaci zobrazující její adresu, také v ní.
- Jednou spusťte celou sadu kontrol z návodu, jak ověřit funkčnost VPN, s nastavenými pravidly. Pravidlo, které pokrývá více, než jste zamýšleli, se tam projeví jako únik v něčem, co podle vašeho očekávání mělo zůstat uvnitř.
Co tyto kontroly dokazují
+Na běžné síti jsou uvedené aplikace a pouze tyto aplikace
+Vše ostatní, včetně dotazů, stále odchází přes exit
+Režim odpovídá vašemu záměru, nikoli jeho inverzní variantě
Co z nich neplyne
−Neříkají nic o tom, co poskytovatel uchovává z provozu, který zůstává uvnitř — na to odpovídají stránky o uchovávání dat
−Test úniků úmyslnou výjimku nevidí; vyjmutá aplikace se kontroluje ze svého vlastního prostředí, nebo vůbec
−Dnes nastavené pravidlo sleduje aplikaci i po jejích aktualizacích a aktualizovaná aplikace může otevírat připojení z procesu, který jste neuvedli
Když dělení nefunguje
Vyjmutá aplikace stále zobrazuje adresu exitu
Pravidlo se neuplatnilo a obvyklým důvodem je, že aplikace už běžela. Dělené tunelování se uplatňuje na připojení vytvořená po nastavení pravidla; aplikaci úplně ukončete, klienta znovu připojte a aplikaci znovu otevřete. V Androidu ověřte, zda je pravidlo v klientovi, nebo v systémovém nastavení, protože aplikace vyjmutá v jednom, ale nikoli v druhém, se řídí tím, co vynucuje operační systém.
Prohlížeč je nejobtížnější případ: jeho procesy na pozadí udržují připojení otevřená i po zavření okna, takže je třeba ukončit ho z jeho vlastní nabídky, nikoli pouze zavřít okno.
Aplikace, kterou jsem nevyjmul, zobrazuje mou vlastní adresu
Uplatňuje se něco širšího než pravidlo podle aplikace. Může jít o pravidlo podle adresy nebo podsítě, které náhodou pokrývá daný cíl, omylem nastavený inverzní režim, v němž se tunelují pouze uvedené aplikace, nebo přepínač místní sítě v síti, která přiděluje veřejné adresy. Projděte každé pravidlo, nejen seznam aplikací, a celou funkci vypněte, abyste ověřili, že se adresa vrátí k adrese exitu; potom pravidla znovu přidávejte po jednom.
K tiskárně nebo NAS se stále nelze připojit
Přístup k místní síti je menší nastavení než dělené tunelování a někdy jde o samostatnou možnost: propustí adresy vaší vlastní sítě a vše ostatní směruje jinam. Pokud ho klient nabízí, zapněte ho dříve, než ručně přidáte pravidlo pro podsíť. Pokud se k zařízení přistupuje podle názvu, nikoli adresy, může se název překládat přes DNS tunelu, které vaši síť nevidí; použijte místo něj adresu.
Stejné kroky, jiné stroje
Ostatní platformy
Každá platforma má vlastní návod, ne záložku na tomto. Kroky se rozcházejí, jakmile se otevře instalátor, a stránka, která odpovídá na tři platformy najednou, neodpovídá pořádně na žádnou.