Раздельный туннель: что идёт через VPN, а что мимо
Обычно всё, что отправляет устройство, идёт через туннель. Раздельный туннель позволяет сделать исключения — для банковского приложения, которое не доверяет зарубежным адресам, для принтера в домашней сети, для рабочего сервиса, отвечающего только внутри неё.
Это возможность платного тарифа. На бесплатном настройка вообще не показывается, и инструкция не совпадёт с тем, что у вас на экране.
Она есть и на компьютере, и на телефоне. Экраны похожи, и правило, по которому всё решается, одно и то же — но фильтр приложений применяется в разных местах, и из этого следуют вещи, которые стоит знать (раздел 5).
1. Два списка, у каждого два режима
Фильтра два, и они независимы:
- Приложения — программы на компьютере, установленные приложения на телефоне;
- Сайты — доменные имена и диапазоны адресов.
У каждого есть режим:
- Исключить — через VPN идёт всё, кроме перечисленного;
- Включить — через VPN идёт только перечисленное, остальное напрямую.
Пустой список не делает ничего. Оба списка пусты или главный переключатель выключен — значит всё идёт через туннель, как обычно.
2. Правило, которое решает: побеждает то, что идёт мимо
Когда оба фильтра имеют мнение об одном и том же соединении, побеждает исключение: если хотя бы один список говорит, что это соединение идёт напрямую, оно пойдёт напрямую.
| Что вы задали | Что получится |
|---|---|
| сайт исключён, а приложение в туннеле | напрямую — сайт является исключением |
| сайт включён, но из приложения, которое вы исключили | напрямую — приложение тоже исключение, а исключение побеждает |
| оба списка в режиме «исключить» | объединение ваших изъятий: всё в туннеле, кроме приложения X и сайта Y |
| ничего не перечислено | всё через VPN |
Вторая строка удивляет чаще всего, поэтому скажем прямо: «включить» не затаскивает что-либо обратно в туннель. Этот режим сужает то, что несёт VPN, но не отменяет исключение, сделанное в другом списке. Если хотите, чтобы сайт шёл через VPN из конкретного приложения, — не исключайте это приложение.
3. На компьютере
Настройка живёт в разделе Settings, отдельной ссылкой на свой экран.
Наверху главный переключатель, под ним список приложений со своим режимом, затем список сайтов со своим, затем Apply. Пока не нажат Apply, ничего не применяется.
Правила для приложений работают только в режиме полного туннеля. Понять, какая программа открыла соединение, умеет лишь он; в режиме прокси список приложений бездействует, а список сайтов продолжает работать. Какой режим у вас сейчас, видно в настройках, в строке Connection mode.
4. На телефоне
Меню → Settings → Split Tunneling.
Те же два списка в том же порядке: режим, затем установленные приложения, затем сайты.
Кнопка SAVE — в самом низу, под полем сайтов, и только она сохраняет выбор. Уход с экрана жестом «назад» его отбрасывает.
До работающего туннеля изменение доходит при следующей сборке: после сохранения переподключитесь.
5. Чем они отличаются
Экраны совпадают, и решающее правило одно и то же. Устройство под ними — разное.
| Компьютер | Телефон | |
|---|---|---|
| где применяется фильтр приложений | правилом маршрутизации внутри туннеля | на самом интерфейсе туннеля, средствами Android |
| нужен ли полный туннель для списка приложений | да — в режиме прокси он бездействует | нет, доступен всегда |
На компьютере трафик исключённого приложения всё равно попадает в туннельную программу, и наружу его отправляет правило. Отсюда и требование к режиму: понять, какая программа открыла соединение, умеет только полный туннель, поэтому в режиме прокси список приложений не делает ничего, а список сайтов продолжает работать.
На телефоне список приложений применяет сам Android, на интерфейсе, ещё до того как трафик увидит что-либо наше. Исключённое приложение оказывается вне туннеля с первого пакета. Для вас результат тот же, что и на компьютере — приложение идёт напрямую, — но происходит это уровнем ниже, и поэтому телефону не нужен аналог десктопного требования к режиму.
6. Что стоит вносить в списки
- то, чему нужно видеть ваше настоящее местоположение — банк, государственные сервисы, местная доставка;
- вашу собственную сеть — принтер, домашнее хранилище, страница настройки роутера. Адресами (
192.168.0.0/16,10.0.0.0/8), а не именами; - крупные местные сервисы, которые вам незачем защищать, если не хотите тратить на них туннель.
И одно, что стоит оставить в туннеле: всё, о чём вы не хотели бы, чтобы провайдер знал. Исключённое соединение — обычное соединение: его видит ваша сеть, ваш провайдер и все, кто стоит на пути, ровно как если бы VPN не было. В этом и смысл возможности, и вся её цена.