Getrennter Tunnel: auswählen, was durchs VPN geht
Normalerweise geht alles, was Ihr Gerät sendet, durch den Tunnel. Der getrennte Tunnel erlaubt Ihnen Ausnahmen — eine Banking-App, die ausländischen Adressen misstraut, ein Drucker im eigenen Netz, ein Arbeitswerkzeug, das nur lokal antwortet.
Das ist eine Funktion des bezahlten Tarifs. Im kostenlosen Tarif wird die Einstellung gar nicht angezeigt, und diese Anleitung passt dann nicht zu dem, was Sie sehen.
Es gibt sie auf dem Computer und auf dem Telefon. Die Bildschirme sehen ähnlich aus, und die Regeln, denen sie folgen, sind dieselben — aber der App-Filter greift an unterschiedlichen Stellen, und daraus folgt Wissenswertes (§5).
1. Zwei Listen, jede mit zwei Modi
Es gibt zwei voneinander unabhängige Filter:
- Apps — nach Programm auf dem Computer, nach installierter App auf dem Telefon;
- Websites — Domainnamen und IP-Bereiche.
Jeder hat einen Modus:
- Ausschließen — alles geht durchs VPN außer dem, was Sie aufgeführt haben;
- Einschließen — nur das Aufgeführte geht durchs VPN, alles andere geht direkt.
Eine leere Liste tut nichts. Sind beide Listen leer oder ist der Hauptschalter aus, wird wie gewohnt alles getunnelt.
2. Die entscheidende Regel: was direkt geht, gewinnt
Wenn beide Filter zur selben Verbindung eine Meinung haben, gewinnt die Ausnahme: sagt eine der Listen, diese Verbindung solle direkt gehen, dann geht sie direkt.
| Ihre Einstellung | Was passiert |
|---|---|
| eine ausgeschlossene Website aus einer App, die sonst getunnelt wird | direkt — die Website ist eine Ausnahme |
| eine eingeschlossene Website aus einer App, die Sie ausgeschlossen haben | direkt — die App ist ebenfalls eine Ausnahme, und die Ausnahme gewinnt |
| beide Listen auf Ausschließen | die Summe Ihrer Ausnahmen: alles getunnelt außer App X und Website Y |
| nichts aufgeführt | alles durchs VPN |
Die zweite Zeile überrascht viele, deshalb deutlich gesagt: ein „Einschließen“ holt nichts in den Tunnel zurück. Einschließen verengt, was das VPN trägt; es hebt keinen Ausschluss an anderer Stelle auf. Soll eine Website aus einer bestimmten App durchs VPN gehen, dann schließen Sie diese App nicht aus.
3. Auf dem Computer
Die Einstellung steht in den Einstellungen, als Link auf einen eigenen Bildschirm.
Oben der Hauptschalter, darunter die App-Liste mit ihrem Modus, dann die Website-Liste mit ihrem Modus, dann Übernehmen. Nichts wirkt, bevor Sie Übernehmen drücken.
Regeln pro App brauchen den vollen Tunnel. Eine Verbindung dem Programm zuzuordnen, das sie aufgebaut hat, kann nur der volle Tunnel — im Proxy-Modus ist die App-Liste wirkungslos, während die Website-Liste weiter funktioniert. Falls Sie unsicher sind, in welchem Modus Sie sind: die Einstellungen zeigen ihn unter Verbindungsmodus.
4. Auf dem Telefon
Menü → Einstellungen → Getrennter Tunnel.
Dieselben zwei Listen in derselben Reihenfolge: der Modus, dann die installierten Apps, dann die Websites.
Die Schaltfläche SAVE sitzt ganz unten, unter dem Website-Feld — und nur sie speichert Ihre Auswahl. Verlassen Sie den Bildschirm mit der Zurück-Geste, ist sie verworfen.
Einen laufenden Tunnel erreicht Ihre Änderung erst, wenn er neu aufgebaut wird: verbinden Sie sich nach dem Speichern neu.
5. Worin sich beide unterscheiden
Die Bildschirme stimmen überein, und die entscheidende Regel ist dieselbe. Die Maschinerie darunter ist es nicht.
| Computer | Telefon | |
|---|---|---|
| wo der App-Filter greift | als Routing-Regel innerhalb des Tunnels | an der Tunnelschnittstelle selbst, durch Android |
| braucht die App-Liste den vollen Tunnel? | ja — im Proxy-Modus wirkungslos | nein, immer verfügbar |
Auf dem Computer gelangt der Verkehr einer ausgeschlossenen App trotzdem in die Tunnelsoftware und wird von einer Regel wieder hinausgeschickt. Darum zählt der Modus: nur der volle Tunnel weiß, welches Programm eine Verbindung geöffnet hat, also tut die App-Liste im Proxy-Modus überhaupt nichts, während die Website-Liste weiterarbeitet.
Auf dem Telefon wendet Android die App-Liste selbst an, an der Schnittstelle, bevor irgendetwas von uns den Verkehr sieht. Eine ausgeschlossene App ist vom ersten Paket an außerhalb des Tunnels. Für Sie ist das Ergebnis dasselbe wie auf dem Computer — die App geht direkt —, aber es geschieht eine Ebene tiefer, und deshalb braucht das Telefon kein Gegenstück zur Modus-Bedingung des Computers.
6. Was sich für die Listen lohnt
- Dinge, die Ihren echten Standort sehen müssen — eine Bank, ein Behördendienst, eine lokale Lieferapp;
- Ihr eigenes Netz — ein Drucker, ein NAS, die Verwaltungsseite eines Routers. Als Adressen (
192.168.0.0/16,10.0.0.0/8), nicht als Namen; - große lokale Dienste, die Sie nicht geschützt brauchen, wenn Sie den Tunnel nicht für sie ausgeben wollen.
Und eines lohnt sich im Tunnel zu behalten: alles, wovon Ihr Anbieter nicht sehen soll, dass Sie es nutzen. Eine ausgeschlossene Verbindung ist eine gewöhnliche Verbindung — sichtbar für Ihr Netz, Ihren Anbieter und jeden anderen auf dem Weg, genau als wäre kein VPN da. Das ist der ganze Sinn dieser Funktion und ihr ganzer Preis.