LogrusLogrus

Что пустить мимо VPN: правила трафика

Экран «Маршруты» → «Политики»: домены, IP-диапазоны и категории. Правила по приложениям — только на Android.

Зачем это нужно

Часть трафика удобнее отправлять напрямую, а не через туннель:

  • банк или госпортал, который обрывает соединения с зарубежных адресов;
  • локальные устройства — NAS, принтер, домашний роутер;
  • сервис, который и так работает быстрее через вашего провайдера.

Где это находится

Не в настройках. Откройте экран «Маршруты» и переключитесь на вкладку «Политики» — это и есть правила трафика.

Сверху выбирается режим:

  • «Всё через VPN» — по умолчанию. В туннель идёт всё, кроме того, что вы перечислили как исключение.
  • «Всё напрямую» — обратное: через VPN пойдёт только перечисленное. Приложение предупредит перед переключением, и предупреждение стоит прочитать: остальной трафик уйдёт с вашим настоящим IP, а правило, которое не сработало, промолчит. Kill switch этот режим защитить не может.

Свои правила

«+ правило» — введите домен (example.com, поддомены попадают автоматически) либо IP или диапазон (10.0.0.0/8) и выберите вердикт: через VPN, напрямую или блок.

Готовые категории

Ниже своих правил — категории, которые приходят с сервера и подбираются автоматически по определённой стране. Каждую можно включить или выключить:

  • Ads & trackers и Malware & phishing — блокировка, включены везде по умолчанию;
  • Russian services, Chinese services, Iranian services — домашние банки, госпорталы и маркетплейсы, которые не принимают зарубежные адреса; включаются в соответствующей стране и идут напрямую;
  • Streaming direct — стриминг мимо туннеля там, где локальный провайдер быстрее;
  • P2P / BitTorrent — наоборот, принудительно через туннель, даже если другое правило отправило бы напрямую.

Правила по приложениям — только Android

На Android в «Маршрутах» → «Политики» есть отдельный пункт «Приложения» с двумя режимами: «Исключить» (выбранные идут мимо VPN) и «Только выбранные» (в VPN идут лишь они).

На Windows, macOS, Linux и iOS выбора по приложениям нет — там правила задаются доменами и IP-диапазонами. Это ограничение системных API, а не недоделка интерфейса.

Когда правило начинает действовать

  • iOS и десктоп в режиме TUN — сразу, туннель рвать не нужно.
  • Десктоп в режиме SOCKS5 и правила по приложениям на Android — после переподключения. Приложение говорит об этом прямо на экране: «Правила по приложениям применятся после переподключения».

Kill switch и исключения

Kill switch защищает трафик, который должен был идти через туннель. Тот, что вы сами пустили мимо, при падении туннеля продолжит работать напрямую — так и задумано, иначе исключение теряет смысл.