Guide
Sådan opsætter du split tunneling
Sådan sender du bestemte apps eller adresser uden om tunnelen, mens alt andet forbliver i den, hvad hver undtagelse koster, og kontrollen der beviser, at opdelingen er den, du bad om. Skrevet med klienterne fra slutningen af 2026 og Android 17 for øje.
Det afklarer dette
Split tunneling sender et udvalgt sæt apps eller adresser uden om tunnelen og lader alt andet blive i den. Hvert element på listen er trafik, som VPN'et ikke længere berører, fuldstændigt, på det almindelige netværk. Korrekt opsat løser det problemet med printeren og bankappen uden at påvirke andet; løst opsat er det en lækage, du selv har konfigureret. Trinnene nedenfor er den snævre version.
To slags regler
Pr. app
Reglen angiver et program, og programmets forbindelser går uden om tunnelen. Windows, macOS og Android-klienter tilbyder det; siden Android 17 kan en klient overdrage listen til en skærm, som systemet administrerer, så undtagelserne håndhæves af operativsystemet i stedet for klienten — en klient, der åbner den skærm fra sine egne indstillinger, bruger den. iOS tilbyder ingen opdeling pr. app til almindelige klienter; det nærmeste er kontakten til lokalnetværket nedenfor.
Pr. adresse eller subnet
Reglen angiver en destination, og trafik til destinationen fra ethvert program går uden om tunnelen. Den er grovere og sværere at gennemskue bagefter, fordi en adresseregel dækker det, der måtte svare på adressen i morgen. Det er det rigtige værktøj til en enhed på dit eget netværk og det forkerte til en tjeneste på internettet.
Det, der går udenom
- En enhed på dit eget netværk — en printer, en NAS, en medieserver — som tunnelens routing skjuler for dig. Prøv først kontakten til lokalnetværket; det er den mindre indstilling og dækker de fleste af disse uden en regel.
- En app, der afviser forbindelser fra exit-adresser, typisk en banks. Reglen lader netop denne app se din rigtige adresse, mens ingen andre gør det. Banken ved så, hvor du er, og det er prisen.
- Intet andet som standard. Hver post er en app, hvis trafik det netværk, du er på, kan læse. En lang liste er en VPN, der beskytter browseren og kun lidt mere.
En undtagelse er beregnet til en app, der ikke fungerer gennem tunnelen. Den er ikke en måde at få adgang til en tjeneste, der har besluttet ikke at betjene exit-landet; det er tjenestens beslutning, og routing uden om den ligger uden for det, denne side dækker.
Indstilling af reglen
- Åbn klientens sektion for split tunneling, ofte under forbindelses- eller avancerede indstillinger. På Android 17 og nyere kan klienten åbne en systemadministreret skærm til den samme liste; uanset hvad er der én liste, og det er klientens egen sektion, der fører dig til den.
- Kontrollér tilstanden, før du tilføjer noget. De fleste klienter tilbyder to: De angivne apps går uden om tunnelen, eller kun de angivne apps bruger den. Den anden er omvendt split tunneling, og med en tom liste betyder den, at intet går gennem tunnelen. Sørg for, at tilstanden er den, du har til hensigt.
- Tilføj appen, ikke dens mappe, og tilføj den ene eksekverbare fil, der opretter forbindelsen. En programpakke med flere processer kan kræve hver enkelt; hvis du tilføjer installationsmappen, tilføjer du også dens opdateringsprogram.
- Luk appen helt, og opret forbindelse til klienten igen. Regler gælder for nye forbindelser. En app, der forblev åben, beholder sin gamle rute og giver et falsk resultat ved kontrollen.
Omvendt tilstand
I omvendt tilstand bruger kun de angivne apps tunnelen, og alt andet går uden om den. Det er den rigtige form, når én app har brug for tunnelen, og resten af maskinen skal fungere, som om ingen klient var installeret, og den forkerte form til alt andet, fordi enhver app, du glemmer at angive, er på det åbne netværk. Hvis du bruger den, dækker kill switch på de fleste klienter kun de angivne apps; resten var aldrig inde i tunnelen til at begynde med.
Adgang til lokalnetværket
De fleste klienter har én kontakt, der lader adresser på dit eget netværk slippe igennem, mens alt andet forbliver i tunnelen. Det er split tunneling efter subnet, valgt for dig, og det dækker printeren og NAS'en uden en regel. På et netværk, du selv driver, koster det ikke meget; på et offentligt netværk lader det alle enheder på netværket få adgang til din, hvilket er grunden til, at det er slået fra som standard, og at det er værd at slå fra igen, før du går.
Bekræft, at opdelingen er den, du bad om
- Find appens egen adressekontrol i den undtagne app — en banks sessionsdetaljer, en torrentklients adressepanel, enhver side åbnet i en undtaget browser — og forvent din egen adresse og dit eget land.
- Kør adressekontrollen i en app, du ikke har undtaget, og forvent exit-adressen. Gør det i en browser, du ikke har føjet til listen, og i endnu en app, hvis du har en, der viser dens adresse.
- Kør hele kontrolpakken én gang fra sådan kontrollerer du, at din VPN virker, med reglerne på plads. En regel, der dækker mere end tilsigtet, viser sig dér som en lækage i noget, du forventede skulle være inde i tunnelen.
Det beviser kontrollerne
+De apps, du har angivet, og kun dem, er på det almindelige netværk
+Alt andet går stadig ud gennem exit, inklusive opslag
+Tilstanden er den, du havde til hensigt, og ikke den omvendte
Det beviser de ikke
−De siger intet om, hvad udbyderen opbevarer af den trafik, der er inde i tunnelen — det besvares på siderne om opbevaring
−En lækagetest kan ikke se en tilsigtet undtagelse; den undtagne app kontrolleres fra selve appen eller slet ikke
−Et regelsæt, der oprettes i dag, følger appen gennem dens opdateringer, og en opdateret app kan åbne forbindelser fra en proces, du ikke har angivet
Når opdelingen ikke holder
Den undtagne app viser stadig exit-adressen
Reglen blev ikke aktiveret, og den sædvanlige årsag er, at appen allerede kørte. Split tunneling gælder for forbindelser, der oprettes, efter reglen er indstillet; luk appen helt, opret forbindelse til klienten igen, og åbn den på ny. På Android skal du kontrollere, om reglen findes i klienten eller i systemindstillingen, fordi en app, der er undtaget i den ene og ikke i den anden, følger det, operativsystemet håndhæver.
En browser er det vanskeligste tilfælde: Dens baggrundsprocesser holder forbindelser åbne, selv efter at et vindue er lukket, så den skal afsluttes fra sin egen menu, ikke fra vinduet.
En app, jeg ikke har undtaget, viser min egen adresse
Der er en bredere indstilling end en regel pr. app i kraft. En adresse- eller subnetregel, der tilfældigvis dækker destinationen, en omvendt tilstand, der er aktiveret ved en fejl, så kun de angivne apps går gennem tunnelen, eller en kontakt til lokalnetværket på et netværk, der udleverer offentlige adresser, vil hver især gøre det. Gennemgå alle regler, ikke kun applisten, og slå hele funktionen fra for at bekræfte, at adressen vender tilbage til exit-adressen; tilføj derefter reglerne igen én ad gangen.
Printeren eller NAS'en kan stadig ikke nås
Adgang til lokalnetværket er en mindre indstilling end split tunneling og nogle gange en separat indstilling: Den lader adresserne på dit eget netværk slippe igennem, mens alt andet routes gennem tunnelen. Hvis klienten har den, skal du slå den til, før du manuelt tilføjer en subnetregel. Hvis enheden nås via navn i stedet for adresse, kan navnet blive slået op gennem tunnelens DNS, som ikke kan se dit netværk; brug adressen i stedet.
En lækagetest består, men jeg har undtaget en app
Testen blev kørt i browseren, og browseren er inde i tunnelen. En tilsigtet undtagelse er usynlig for en lækagetest som følge af testens udformning: Den undtagne apps trafik er fuldstændigt på det almindelige netværk, og ingen side, du åbner et andet sted, vil rapportere den. Kontrollen af en undtagelse er den undtagne apps egen adresse, som det sidste afsnit beskriver, ikke testsidens.
Samme trin, andre maskiner
Resten af platformene
Hver platform har sin egen guide snarere end en fane på denne. Trinene skilles ad, så snart installationsprogrammet åbner, og en side, der besvarer tre platforme på én gang, besvarer ingen af dem ordentligt.