Как настроить раздельную маршрутизацию

Что это устанавливает

Раздельная маршрутизация отправляет выбранные приложения или адреса за пределы туннеля, оставляя всё остальное внутри него. Каждый элемент списка — это трафик, к которому VPN полностью перестаёт прикасаться в обычной сети. При правильной настройке она исправляет работу принтера и банковского приложения, не затрагивая ничего остального; при небрежной настройке это утечка, которую вы создали сами. Ниже приведён наиболее узкий вариант настройки.

Два вида правил

Для приложения

Правило указывает программу, и соединения этой программы обходят туннель. Такая возможность есть в клиентах для Windows, macOS и Android; начиная с Android 17 клиент может передать список экрану, которым управляет система, поэтому исключения применяет операционная система, а не клиент — клиент, который открывает этот экран из собственных настроек, использует именно его. Обычные клиенты для iOS не поддерживают раздельную маршрутизацию для отдельных приложений; ближайший аналог — переключатель доступа к локальной сети ниже.

Для адреса или подсети

Правило указывает пункт назначения, и трафик к нему из любой программы обходит туннель. Это более грубый и менее прозрачный вариант, поскольку правило для адреса охватывает всё, что завтра будет отвечать по этому адресу. Это подходящий инструмент для устройства в вашей собственной сети и неподходящий — для сервиса в интернете.

Что отправляется наружу

1. Устройство в вашей собственной сети — принтер, NAS, медиасервер, который маршрутизация туннеля скрывает от вас. Сначала попробуйте переключатель доступа к локальной сети: это более узкая настройка, которая охватывает большинство таких устройств без отдельного правила.
2. Приложение, отклоняющее соединения с адресов точки выхода, обычно банковское. Правило позволяет только этому приложению видеть ваш реальный адрес, а всё остальное его не видит. Банк тогда узнаёт, где вы находитесь, — такова цена этого решения.
3. Ничего другого по умолчанию. Каждая запись — это приложение, трафик которого может прочитать сеть, к которой вы подключены. Длинный список превращает VPN в средство защиты браузера и почти ничего больше.

Исключение предназначено для приложения, которое не работает через туннель. Это не способ получить доступ к сервису, решившему не обслуживать точку выхода из определённой страны; это решение сервиса, а обход его маршрутизацией выходит за рамки этой страницы.

Настройка правила

1. Откройте раздел раздельной маршрутизации в клиенте, обычно в настройках подключения или дополнительных настройках. В Android 17 и более поздних версиях клиент может открыть управляемый системой экран с тем же списком; в любом случае список один, и к нему ведёт собственный раздел клиента.
2. Проверьте режим до добавления чего-либо. Большинство клиентов предлагают два режима: перечисленные приложения обходят туннель или только перечисленные приложения используют его. Второй вариант — обратная раздельная маршрутизация; при пустом списке он означает, что через туннель не проходит ничего. Убедитесь, что выбран именно нужный режим.
3. Добавьте приложение, а не его папку, и укажите исполняемый файл, который устанавливает соединение. Для комплекса из нескольких процессов может потребоваться добавить каждый из них; добавление папки установки также добавит программу обновления.
4. Полностью закройте приложение и переподключите клиент. Правила применяются к новым соединениям. Оставшееся открытым приложение сохраняет старый маршрут и даст неверный результат при проверке.

Обратный режим

В обратном режиме только перечисленные приложения используют туннель, а всё остальное его обходит. Это подходящий вариант, когда туннель нужен одному приложению, а остальная система должна работать так, будто клиент не установлен; для любых других случаев он не подходит, поскольку каждое забытое приложение окажется в открытой сети. При его использовании аварийное отключение VPN в большинстве клиентов охватывает только перечисленные приложения: остальные изначально не находились внутри туннеля.

Доступ к локальной сети

В большинстве клиентов есть отдельный переключатель, который пропускает адреса вашей сети, оставляя всё остальное внутри туннеля. Это раздельная маршрутизация по подсети, настроенная за вас; она охватывает принтер и NAS без отдельного правила. В сети, которой вы управляете сами, это почти ничего не стоит; в публичной сети такой режим позволяет каждому устройству в ней обращаться к вашим устройствам. Поэтому по умолчанию он отключён, и его стоит снова отключить перед уходом.

Подтвердите правильность разделения

1. В исключённом приложении найдите его собственную проверку адреса — сведения о сеансе в банковском приложении, панель адреса в торрент-клиенте или любую страницу, открытую в исключённом браузере, — и ожидайте увидеть свой адрес и страну.
2. В любом приложении, для которого вы не создавали исключение, выполните проверку адреса и ожидайте увидеть адрес точки выхода. Сделайте это в браузере, который не добавляли в список, а также в другом приложении, если оно показывает свой адрес.
3. Один раз выполните полный набор проверок из инструкции как проверить работу VPN, не меняя правила. Правило, охватывающее больше трафика, чем вы хотели, проявится там как утечка в том, что, по вашим ожиданиям, должно было остаться внутри.