Раздельное туннелирование: что это, зачем нужно и как настроить

Что такое раздельное туннелирование простыми словами

Представьте, что из вашего района в другой город ведёт туннель под рекой. Без раздельного туннелирования навигатор отправляет в туннель все машины подряд, даже ту, что едет в магазин через дорогу: она ныряет под реку, разворачивается на том берегу и возвращается обратно. С раздельным туннелированием навигатор смотрит на адрес и ведёт в магазин обычными улицами, а в туннель отправляет только тех, кому действительно туда надо.

С VPN всё так же. Туннель здесь означает зашифрованное соединение с сервером в другой стране. Каждое соединение, которое открывает телефон или компьютер, VPN-клиент может отправить в туннель, пустить напрямую через вашего провайдера или заблокировать. По-английски функция называется split tunneling, дословно «разделённый туннель». В русских интерфейсах её называют раздельным туннелированием, маршрутизацией, исключениями или прокси для приложений.

Пока функция выключена, через VPN идёт всё. Это самый простой и самый закрытый режим: провайдер видит только соединение с VPN-сервером. Когда вы её включаете, часть трафика выходит в интернет с вашего настоящего IP-адреса, ровно так, как без VPN.

Зачем это нужно в России

Российский сервис видит не вас, а IP-адрес VPN-сервера. Если сервер за границей, вход выглядит как вход из другой страны, и дальше всё зависит от правил конкретного сервиса.

• Банки считают вход из непривычной страны признаком мошенничества. Они просят дополнительное подтверждение, ограничивают операции или не пускают совсем.
• Госуслуги и другие государственные сайты в отдельные периоды закрывают доступ с зарубежных адресов.
• Маркетплейсы, такси и доставка определяют город по IP и показывают не тот регион.
• Онлайн-кинотеатры по условиям лицензий показывают часть каталога только зрителям из России.

Есть и довод попроще. Российский сайт, открытый через зарубежный сервер, проделывает лишний путь туда и обратно, поэтому напрямую он обычно грузится быстрее. Видеозвонок с коллегой из соседнего офиса тоже не обязан ходить через другую страну.

Почему банки и Госуслуги реагируют на VPN по-разному и что делать, когда не помогает ничего, кроме выключения VPN, мы разобрали в статье «Банки и Госуслуги не работают с VPN».

Два способа: по приложениям и по адресам

Разделить трафик можно по тому, кто его отправляет, или по тому, куда он идёт. Устроены эти способы по-разному и доступны на разных платформах.

Исключения по приложениям

Вы выбираете программы, и их трафик идёт мимо VPN или, наоборот, только он идёт через VPN. На Android это встроено в саму систему: VPN-приложение при подключении передаёт Android список, и система обращается с исключёнными приложениями так, будто VPN не запущен. Список бывает либо разрешающим («только эти через VPN»), либо запрещающим («все, кроме этих»), но не тем и другим сразу. Задаётся он в момент подключения, поэтому после правки нужно переподключиться.

Режим «все, кроме выбранных» удобен для банков и госсервисов. Вы отмечаете три-четыре приложения, а всё, что установите потом, автоматически пойдёт через VPN. Режим «только выбранные» подходит, когда VPN нужен одному-двум приложениям, но риск у него обратный: новое приложение по умолчанию работает без VPN, и об этом легко забыть.

На Windows и macOS программы исключает сам клиент: он смотрит, какой процесс открыл соединение. Умеют это не все клиенты и обычно только в режиме, когда VPN перехватывает весь трафик компьютера. На iPhone и iPad обычное VPN-приложение исключить программу не может. Apple разрешает выбор приложений только на устройствах, которыми управляет организация через MDM, то есть на корпоративных.

Правила по сайтам и IP-адресам

Клиент смотрит на адрес назначения каждого соединения, домен вроде bank.ru или IP-адрес. Если адрес попадает в список «напрямую», соединение идёт мимо туннеля, всё остальное уходит через VPN. Так работает маршрутизация в клиентах на ядрах Xray и sing-box, и она доступна на всех платформах, включая iPhone.

Правилам всё равно, какое приложение открыло соединение. Браузер откроет gosuslugi.ru напрямую, а зарубежный сайт в соседней вкладке через VPN. Платить за это приходится списками адресов: они никогда не бывают полными, и иногда что-то приходится дописывать вручную.

На практике способы удобно совмещать. На Android можно исключить банковские приложения целиком, а для браузера включить правила для российских сайтов.

Что значит «Раздельное туннелирование выключено»

Эту надпись показывает на главном экране Amnezia VPN, поэтому её так часто ищут. Она означает, что весь трафик устройства идёт через VPN. Так приложение работает по умолчанию, пока вы не задали исключения, и с подключением всё в порядке. Когда исключения настроены, надпись меняется на «Раздельное туннелирование включено».

В Amnezia две отдельные настройки. «Раздельное туннелирование сайтов» работает по адресам и предлагает два режима: «Адреса из списка не должны открываться через VPN» и «Только адреса из списка должны открываться через VPN». «Раздельное туннелирование приложений» работает по программам, причём на Windows доступен только режим исключения. Менять настройки можно лишь при отключённом VPN, иначе приложение покажет предупреждение.

Если Amnezia пишет «Сервер по умолчанию не поддерживает раздельное туннелирование», причина в конфигурации сервера. Судя по исходному коду приложения, сообщение появляется, когда в конфиге WireGuard или AmneziaWG уже задан ограниченный список адресов (параметр AllowedIPs не равен 0.0.0.0/0). Разделение тогда заложено в сам конфиг, и приложение блокирует свои настройки.

Тот же механизм работает в любом клиенте WireGuard. Разделение там задаётся строкой AllowedIPs: значение 0.0.0.0/0, ::/0 отправляет в туннель весь трафик, список подсетей отправляет только их. Доменов WireGuard не понимает, поэтому «российские сайты напрямую» в нём собирают из длинных списков IP-адресов, и такие списки быстро устаревают. В официальном приложении WireGuard для Android в настройках туннеля можно ещё и выбрать приложения.

В Incy, Happ, Hiddify и v2RayTun такой надписи нет. Раздельное туннелирование там включается разделом маршрутизации или списком приложений. Если вы ничего не настраивали и сервис не прислал свой профиль маршрутизации вместе с подпиской, через VPN тоже идёт всё.

Как устроены правила: geosite, geoip и порядок проверки

Перечислять вручную тысячи российских доменов никто не станет, поэтому клиенты на ядре Xray (Incy, Happ, v2RayTun, v2rayNG) используют геофайлы: geosite.dat со списками доменов по категориям и geoip.dat с диапазонами IP-адресов по странам. Happ и Incy по умолчанию берут их из проекта Loyalsoldier/v2ray-rules-dat на GitHub. Домены там собраны из открытого списка v2fly/domain-list-community, IP-адреса взяты из базы MaxMind GeoLite2.

• geosite:category-ru — российские домены: всё в зонах .ru, .su и .рф плюс сайты российских компаний на других доменах. Например, туда входит yastatic.net, с которого Яндекс раздаёт картинки и скрипты.
• geosite:category-gov-ru и geosite:category-bank-ru — узкие списки государственных сайтов и банков. Пригодятся, если не хотите пускать напрямую всё российское.
• geoip:ru — IP-адреса, которые по базе принадлежат России. Ловит сервисы на зарубежных доменах, но с российскими серверами, и приложения, которые обращаются к серверу по IP.
• geoip:private — адреса домашней сети: роутер, принтер, телевизор. Их почти всегда пускают напрямую, иначе локальные устройства станут недоступны.

Кроме категорий, в правило можно вписать конкретный адрес. Запись domain:example.ru ловит домен со всеми поддоменами, full:example.ru только сам домен, а IP-адреса пишутся как есть или подсетью, например 192.168.0.0/16.

Порядок правил и DNS

Правила проверяются сверху вниз, и срабатывает первое совпадение. Если не подошло ни одно, соединение уходит в выход по умолчанию, обычно через VPN. Поэтому узкое правило ставят выше широкого. Допустим, вы хотите, чтобы один сайт в зоне .ru всё-таки шёл через VPN: его правило должно стоять раньше, чем geosite:category-ru с действием «напрямую». В конструкторе профилей Happ порядок по умолчанию как раз такой: сначала блокировка, потом «через прокси», потом «напрямую».

Для правил по IP клиенту нужно знать адрес сервера, а приложения обычно обращаются по имени. Как его узнавать, задаёт параметр domainStrategy. При значении AsIs клиент сверяет только домены и ничего не резолвит. IPIfNonMatch сначала проверяет доменные правила, а если ни одно не подошло, узнаёт IP через DNS и проходит по правилам ещё раз. IPOnDemand резолвит домен сразу, как только дошёл до правила по IP. Для связки geosite и geoip обычно выбирают IPIfNonMatch.

DNS клиенты тоже делят. Адреса «прямых» сайтов клиент узнаёт у DNS-сервера, к которому обращается напрямую, остальные через DNS внутри туннеля. В профилях Happ и Incy за это отвечают поля Domestic DNS и Remote DNS.

Пример для конфигурации Xray

Если клиент позволяет править конфигурацию вручную, правила для российских сайтов выглядят примерно так. Тег direct должен совпадать с исходящим соединением напрямую (протокол freedom). Всё, что не совпало ни с одним правилом, уходит в первое исходящее соединение в списке, то есть в VPN.

"routing": {
  "domainStrategy": "IPIfNonMatch",
  "rules": [
    { "type": "field", "ip": ["geoip:private"], "outboundTag": "direct" },
    { "type": "field", "domain": ["geosite:category-ru"], "outboundTag": "direct" },
    { "type": "field", "ip": ["geoip:ru"], "outboundTag": "direct" }
  ]
}

Hiddify работает на ядре sing-box, и правила там устроены иначе: вместо geosite и geoip используются наборы правил (rule-set). Для России их включает один пункт меню, о нём в следующем разделе.

Где включается раздельное туннелирование в Incy, Happ, Hiddify и v2RayTun

Названия пунктов меняются от версии к версии, поэтому ниже описано, что умеет каждый клиент и где искать настройку. Описание актуально на октябрь 2026 года. Если вы подключаетесь к Byte VPN, кабинет рекомендует Incy для iPhone и Android, Happ для macOS и Android TV, Hiddify для Windows.

Incy

Incy умеет оба способа. Профили маршрутизации с правилами по доменам и IP и отдельными DNS для прямых и туннельных адресов есть на всех платформах, они собраны в разделе «Маршрутизация» настроек. Выбор приложений есть на Android, пункт называется «Прокси по приложениям». Профиль добавляют по ссылке (кнопка «+ Добавить» → «Вставить»), QR-коду или deeplink, и он начинает работать после загрузки геофайлов. С 27 октября 2026 года Incy нет в российском App Store, подробности в инструкции для iPhone. Судя по документации, формат профилей у Incy тот же, что у Happ. Версия для компьютеров пока в стадии pre-alpha, и разработчики сами предупреждают о шероховатостях.

Happ

В Happ правила маршрутизации привязаны к подписке, у каждой свой набор профилей. Собрать профиль удобно в конструкторе routing.happ.su: там есть списки DirectSites и DirectIp для прямых адресов, ProxySites и ProxyIp для туннеля, BlockSites и BlockIp для блокировки. Изменения вступают в силу только после переподключения. Список приложений (Per App Proxy) есть в версии для Android, в том числе на Android TV, и в версиях для Windows, macOS и Linux. Остальные возможности клиента собраны в нашем разборе Happ.

Hiddify

В Hiddify для России есть готовый вариант: «Настройки» → «Маршрутизация» → «Регион» → «Россия (ru)». По исходному коду клиента этот пункт пускает напрямую все домены в зоне .ru и адреса из наборов geoip-ru и geosite-ru, которые клиент сам скачивает и обновляет. «Прокси для приложений» с режимами «Все», «Прокси» и «В обход» в стабильной версии 4.1.1 есть только на Android. Редактор собственных правил, в том числе по имени программы, разработчики готовят, но в стабильную версию он пока не попал. Остальные настройки описаны в статье о Hiddify.

v2RayTun

В v2RayTun правила маршрутизации редактируются в самом приложении в формате Xray: домены, IP-адреса и выход direct, proxy или block. В документации разработчиков есть пример правила Direct Russia, которое отправляет напрямую домены в зоне .ru, geosite:category-ru и geoip:ru. Раздел может находиться в разных местах: версии для Android, iOS и компьютеров пишутся отдельно.

Когда раздельное туннелирование не помогает

Приложение проверяет, включён ли VPN

Исключение убирает трафик приложения из туннеля, но VPN в системе остаётся включённым, и приложение может это заметить, например по списку сетевых подключений устройства. Если сервис отказывается работать именно поэтому, правила не помогут, и на время работы с ним VPN придётся выключать.

Исключение не делает VPN невидимым и в другом смысле. В апреле 2026 года на Хабре описали проблему многих клиентов на ядрах Xray и sing-box: они держат на телефоне локальный прокси без пароля, и любое приложение, в том числе исключённое из VPN, может через него узнать адрес сервера. По словам автора, разработчики v2RayTun и Happ пообещали это исправить. В настройках Incy есть отдельная защита локального прокси от приложений, которые сканируют порты. Обновления клиентов лучше не откладывать.

Сервис живёт на российских и зарубежных адресах одновременно

Списки geosite и geoip составляют люди и базы данных, и они отстают от жизни. Российский сервис может грузить картинки или скрипты из зарубежной сети доставки контента, а зарубежный сайт может стоять на российских серверах. Тогда страница открывается наполовину: текст есть, картинок нет, или вход проходит, а оплата падает.

Помогает ручное правило для конкретного домена. Найти этот домен проще всего в журнале соединений клиента: логи есть в Happ, Incy и Hiddify. Откройте сервис, посмотрите, какие адреса ушли через прокси, и добавьте нужный в список «напрямую».

Включена блокировка соединений без VPN

На Android есть системная настройка, которая запрещает любой трафик мимо VPN. Она не делает исключений и для приложений, которые вы сами вывели из туннеля: в документации Mullvad прямо сказано, что исключённые приложения при ней не работают. Где эта настройка и как её проверить, рассказываем в инструкции для Android.

Что выбрать в вашей ситуации

Начните с правил для российских сайтов: они работают на любом устройстве и закрывают большую часть случаев. Исключения по приложениям добавляйте, когда правил не хватило.

Пошаговые инструкции разделены по устройствам. Для Android: исключения в Incy, Happ и Hiddify и проверка, что они работают. Для iPhone и iPad: профили маршрутизации с примерами для российских сервисов. Для Windows: регион «Россия» в Hiddify, режимы TUN и системного прокси, браузеры.