Раздельное туннелирование: как направить через VPN только нужный трафик

Не каждому приложению нужен один маршрут

Раздельное туннелирование VPN позволяет направлять выбранный трафик через сервер, а остальной оставлять на обычном подключении. Это бывает удобно, когда рабочий ресурс нужен через туннель, а локальный принтер и домашние устройства должны оставаться доступными.

Но исключение — это именно выход по другому маршруту. Оно не получает автоматически свойства VPN-соединения. Перед настройкой определите, какие программы должны идти через туннель и по какой причине. Базовая схема маршрутов описана в статье о работе VPN.

Правила по приложениям и адресам отличаются

Один клиент умеет выбирать приложения, другой — домены или IP-сети. Правило по домену может зависеть от того, как клиент обрабатывает DNS и дополнительные адреса сервиса. Правило по приложению нужно проверять для его вспомогательных процессов и обновляющих служб.

Например, сайт может загружать видео с другого домена. Исключение только главной страницы не означает, что все её ресурсы пойдут тем же путём. Это объясняет ситуацию, когда интерфейс открывается, а изображения или видео зависают.

Не добавляйте большой список исключений сразу. Начните с одной программы или ресурса и проверьте результат. Если задача решается двумя понятными правилами, десятки случайных доменов усложнят поддержку.

У правила есть область действия: VPN на роутере выбирает маршрут для домашних устройств, а браузерный VPN обычно работает только внутри браузера. Не переносите ожидания от одного способа на другой.

Как проверить выбранные правила

Запишите внешний адрес в обычном браузере, затем в приложении, которое вы исключили. Если приложение не позволяет показать IP, используйте его журнал или рекомендации разработчика. Браузерная проверка не доказывает маршрут отдельной программы.

После смены правила перезапустите затронутое приложение, чтобы новые соединения создавались с актуальными настройками. Старое длительное соединение может сохраняться, и тогда результат будет выглядеть противоречиво.

Отдельно оцените разницу между DNS и VPN. Отправка веб-трафика напрямую не всегда означает, что DNS тоже отправляется напрямую; возможна и обратная ситуация.

Совместимость с защитой от обрыва

Режим блокировки трафика без туннеля и исключения могут взаимодействовать по-разному. В одних клиентах исключённая программа продолжает работать напрямую, в других комбинация ограничена или имеет дополнительные условия.

Проверяйте документацию именно вашей версии приложения. Не отключайте защиту от обрыва только потому, что встретили чужую инструкцию для другой платформы. В документации Proton VPN показан один из вариантов реализации; это не обещание тех же возможностей в любом сервисе.

Как составить правила и не потерять нужный трафик

Сначала определите границы задачи

VPN для браузера может быть достаточен для одного веб-сервиса, но системный клиент задаёт другие границы. VPN для банковских операций не требует автоматически включать туннель для каждого приложения: учитывайте правила банка и доверие к сети. Корпоративный VPN обычно имеет требования организации, поэтому его исключения не меняют по совету из общей инструкции. Запишите, какие программы должны использовать какой выход, прежде чем редактировать правила.

Приложения и адреса не всегда совпадают

VPN для игр может включать отдельно игру, авторизацию и загрузчик обновлений. VPN для видеосвязи способен обращаться к нескольким адресам во время одного звонка. Поэтому маршрут через VPN проверяют в реальной задаче, а не только на стартовой странице. При правилах по IP учитывайте, что адреса сервиса могут меняться. При правилах по приложению уточняйте, входят ли в них дочерние процессы и отдельный браузер авторизации.

Имена и домашняя сеть

DNS через VPN не всегда автоматически повторяет исключения маршрутов. Для внутренних ресурсов DNS для VPN клиента должен разрешать нужные имена доступным способом. Локальная сеть VPN тоже требует проверки: принтер по IP может быть доступен, хотя обнаружение устройств не работает. VPN на роутере переносит часть правил на домашний шлюз, поэтому итоговую схему нужно читать с учётом и роутера, и приложения на устройстве.

Разрыв соединения и повторное подключение

Kill switch VPN может блокировать исключённые приложения иначе, чем вы ожидаете; это зависит от реализации. Два VPN одновременно дополнительно усложняют выбор маршрута, особенно если оба пытаются стать основными. Сначала оставьте одну понятную схему и выясните, как проверить VPN соединение для каждого важного приложения. Затем повторите проверку при разрыве и после сна. Проверка утечки ВПН полезна только при заранее определённом ожидаемом маршруте, иначе намеренное исключение легко принять за ошибку.

FAQ о раздельном подключении

Как выбрать VPN с раздельным туннелированием?

Проверьте не только наличие функции, но и способ выбора: приложения, адреса или домены. Сопоставьте его со своей задачей и поддерживаемой операционной системой.

Почему сайт работает, а его видео нет?

Видео может приходить с другого адреса или домена, который не попал под правило. Сначала посмотрите ошибку и журнал, затем уточняйте исключения по одному.

Сохраняется ли анонимность у исключённого приложения?

Оно может выходить напрямую с адресом вашего провайдера. Кроме того, VPN сам по себе не отменяет аккаунт и другие способы идентификации.

Нужно ли перепроверять правила после обновления?

Да, особенно если приложение сменило процессы, пути установки или сетевую схему. Краткая проверка маршрута после изменений помогает обнаружить это раньше, чем возникнет рабочая проблема.

Можно ли настроить так только один сайт?

Если клиент поддерживает подходящие доменные правила, можно попробовать такой режим. Но нужно учитывать сторонние домены, с которых сайт получает необходимые ресурсы.

Раздельное туннелирование VPN работает для всех процессов игры?

Раздельное туннелирование VPN может учитывать конкретный исполняемый файл, а игра, лаунчер и голосовой чат иногда запускаются отдельно. Проверьте каждый нужный процесс и правила клиента. После обновления путь к программе может измениться, поэтому сохранённое исключение стоит перепроверить.

Что проверить, если ВПН с раздельным туннелированием оставляет приложение без интернета?

ВПН с раздельным туннелированием нужно проверять вместе с блокировкой соединений вне туннеля. В отдельных режимах исключённому приложению запрещён прямой выход. Например, взаимодействие списков приложений и блокировки описано в документации Android. Сверьте режим системы с настройками клиента.

Раздельное туннелирование ВПН можно переносить между телефоном и компьютером?

Раздельное туннелирование ВПН на разных системах может опираться на разные признаки: приложения, адреса или домены. Перенос одного профиля не гарантирует перенос правил. На каждом устройстве отдельно проверьте нужный сервис и поведение после повторного подключения.