Poradnik
Jak skonfigurować tunelowanie dzielone
Jak kierować niektóre aplikacje lub adresy poza tunel, pozostawiając wszystko inne w tunelu, ile kosztuje każdy wyjątek oraz jakie sprawdzenie potwierdza, że podział działa zgodnie z zamierzeniem. Tekst dotyczy klientów z końca 2026 roku i systemu Android 17.
Co to rozstrzyga
Tunelowanie dzielone kieruje wybrany zestaw aplikacji lub adresów poza tunel, a wszystko inne pozostawia w jego obrębie. Każdy element na liście oznacza ruch, którego VPN w ogóle już nie obsługuje — odbywa się on w całości przez zwykłą sieć. Prawidłowa konfiguracja naprawia dostęp drukarki i aplikacji bankowej, nie ingerując w nic innego; niedokładna konfiguracja to wyciek ustawiony przez ciebie. Poniższe kroki opisują wąski wariant.
Dwa rodzaje reguł
Według aplikacji
Reguła wskazuje program, a połączenia tego programu omijają tunel. Oferują ją klienci systemów Windows, macOS i Android; od systemu Android 17 klient może przekazać listę do ekranu zarządzanego przez system, dzięki czemu wykluczenia są egzekwowane przez system operacyjny, a nie klienta — klient, który otwiera ten ekran z własnych ustawień, korzysta właśnie z niego. System iOS nie oferuje zwykłym klientom podziału według aplikacji; najbliższym odpowiednikiem jest opisany niżej przełącznik dostępu do sieci lokalnej.
Według adresu lub podsieci
Reguła wskazuje miejsce docelowe, a ruch do niego z dowolnego programu omija tunel. Jest mniej precyzyjna i trudniejsza do odczytania, ponieważ reguła adresowa obejmuje wszystko, co jutro odpowie pod tym adresem. To właściwe narzędzie dla urządzenia we własnej sieci i niewłaściwe dla usługi w internecie.
Co trafia poza tunel
- Urządzenie we własnej sieci — drukarka, NAS, serwer multimediów — ukryte przed tobą przez routing tunelu. Najpierw wypróbuj przełącznik dostępu do sieci lokalnej; to mniejsze ustawienie i bez reguły obejmuje większość takich urządzeń.
- Aplikacja, która odrzuca połączenia z adresów węzła wyjściowego, zwykle aplikacja banku. Reguła pozwala tej jednej aplikacji zobaczyć twój prawdziwy adres, a żadna inna tego nie robi. Bank wie wtedy, gdzie jesteś — to właśnie cena takiego wyjątku.
- Nic więcej domyślnie. Każdy wpis oznacza aplikację, której ruch może odczytać sieć, z której korzystasz. Długa lista oznacza VPN chroniący przeglądarkę i niewiele więcej.
Wyjątek dotyczy aplikacji, która nie działa przez tunel. Nie jest to sposób na dotarcie do usługi, która postanowiła nie obsługiwać węzła wyjściowego z danego kraju; to decyzja tej usługi, a omijanie jej routingu wykracza poza zakres tej strony.
Ustawianie reguły
- Otwórz sekcję tunelowania dzielonego w kliencie, często znajdującą się w ustawieniach połączenia lub ustawieniach zaawansowanych. W systemie Android 17 i nowszych klient może otworzyć ekran zarządzany przez system, zawierający tę samą listę; w obu przypadkach istnieje jedna lista i prowadzi do niej własna sekcja klienta.
- Sprawdź tryb przed dodaniem czegokolwiek. Większość klientów oferuje dwa tryby: wymienione aplikacje omijają tunel albo tylko wymienione aplikacje korzystają z tunelu. Drugi to odwrotne tunelowanie dzielone, a przy pustej liście oznacza, że nic nie jest tunelowane. Upewnij się, że tryb działa zgodnie z zamierzeniem.
- Dodaj aplikację, nie jej folder, i dodaj ten plik wykonywalny, który tworzy połączenie. Pakiet składający się z kilku procesów może wymagać dodania każdego z nich; dodanie folderu instalacyjnego doda także jego aktualizator.
- Całkowicie zamknij aplikację i połącz klienta ponownie. Reguły dotyczą nowych połączeń. Aplikacja, która pozostała otwarta, zachowuje starą ścieżkę i daje fałszywy wynik podczas sprawdzania.
Tryb odwrotny
W trybie odwrotnym tylko wymienione aplikacje korzystają z tunelu, a wszystko inne go omija. To właściwy wariant, gdy jedna aplikacja potrzebuje tunelu, a reszta urządzenia ma działać tak, jakby klient nie był zainstalowany; w każdym innym przypadku jest niewłaściwy, ponieważ każda aplikacja, której nie dodasz do listy, znajdzie się w otwartej sieci. Jeśli go używasz, wyłącznik awaryjny obejmuje na większości klientów tylko wymienione aplikacje; pozostałe od początku nie znajdowały się w tunelu.
Dostęp do sieci lokalnej
Większość klientów ma jeden przełącznik, który przepuszcza adresy własnej sieci, pozostawiając wszystko inne w tunelu. To tunelowanie dzielone według podsieci, skonfigurowane za ciebie, obejmujące drukarkę i NAS bez reguły. W sieci, którą samodzielnie zarządzasz, koszt jest niewielki; w sieci publicznej pozwala każdemu urządzeniu w tej sieci dotrzeć do twoich urządzeń, dlatego jest domyślnie wyłączony i warto wyłączyć go ponownie przed opuszczeniem tej sieci.
Potwierdź, że podział działa zgodnie z zamierzeniem
- W aplikacji objętej wyjątkiem znajdź jej własne sprawdzenie adresu — szczegóły sesji w aplikacji bankowej, panel adresu w kliencie torrentów, dowolną stronę otwartą w objętej wyjątkiem przeglądarce — i oczekuj własnego adresu oraz kraju.
- W dowolnej aplikacji, której nie objąłeś wyjątkiem, uruchom sprawdzenie adresu i oczekuj adresu węzła wyjściowego. Zrób to w przeglądarce, której nie dodano do listy, oraz w jeszcze jednej aplikacji, jeśli masz taką, która pokazuje swój adres.
- Uruchom pełny zestaw sprawdzeń raz zgodnie z instrukcją jak sprawdzić, czy VPN działa, przy włączonych regułach. Reguła obejmująca więcej, niż zamierzałeś, pojawi się tam jako wyciek w czymś, co miało pozostać w tunelu.
Co potwierdzają te sprawdzenia
+Wymienione aplikacje — i tylko one — korzystają ze zwykłej sieci
+Wszystko inne nadal wychodzi przez węzeł wyjściowy, także zapytania
+Wybrany jest zamierzony tryb, a nie jego odwrotność
Czego nie potwierdzają
−Nie mówią nic o tym, co dostawca przechowuje z ruchu znajdującego się w tunelu — na to odpowiadają strony dotyczące retencji
−Test wycieku nie wykryje zamierzonego wyjątku; aplikację objętą wyjątkiem sprawdza się z jej wnętrza albo nie sprawdza wcale
−Reguła ustawiona dziś podąża za aplikacją podczas jej aktualizacji, a zaktualizowana aplikacja może otwierać połączenia z procesu, którego nie dodano do listy
Gdy podział nie działa
Aplikacja objęta wyjątkiem nadal pokazuje adres węzła wyjściowego
Reguła nie zadziałała, a zwykle powodem jest to, że aplikacja była już uruchomiona. Tunelowanie dzielone dotyczy połączeń utworzonych po ustawieniu reguły; całkowicie zamknij aplikację, połącz klienta ponownie i otwórz ją jeszcze raz. W systemie Android sprawdź, czy reguła znajduje się w kliencie, czy w ustawieniach systemowych, ponieważ aplikacja wyłączona z tunelu w jednym miejscu, ale nie w drugim, podlega temu, co egzekwuje system operacyjny.
Przeglądarka jest najtrudniejszym przypadkiem: jej procesy działające w tle utrzymują połączenia po zamknięciu okna, więc trzeba zamknąć ją z jej własnego menu, a nie tylko okno.
Aplikacja, której nie objąłem wyjątkiem, pokazuje mój własny adres
Działa coś szerszego niż reguła według aplikacji. Może to być reguła według adresu lub podsieci, która przypadkiem obejmuje miejsce docelowe, omyłkowo włączony tryb odwrotny, w którym tunelowane są tylko wymienione aplikacje, albo przełącznik dostępu do sieci lokalnej w sieci przydzielającej publiczne adresy. Odczytaj każdą regułę, nie tylko listę aplikacji, i wyłącz całą funkcję, aby potwierdzić, że adres wraca do adresu węzła wyjściowego; następnie dodawaj reguły ponownie, po jednej.
Nadal nie mogę połączyć się z drukarką ani NAS-em
Dostęp do sieci lokalnej jest mniejszym ustawieniem niż tunelowanie dzielone i czasami osobnym ustawieniem: przepuszcza adresy własnej sieci, kierując wszystko inne przez routing. Jeśli klient je oferuje, włącz je przed ręcznym dodaniem reguły podsieci. Jeśli urządzenie jest osiągane po nazwie, a nie po adresie, nazwa może być rozwiązywana przez DNS tunelu, który nie widzi twojej sieci; użyj zamiast niej adresu.
Te same kroki, inne systemy
Pozostałe platformy
Każda platforma ma własny poradnik, a nie zakładkę w tym jednym. Kroki rozjeżdżają się już od momentu otwarcia instalatora, a strona odpowiadająca na trzy platformy naraz nie odpowiada porządnie na żadną z nich.