Раздельное туннелирование AmneziaVPN: настройка, режимы и практические сценарии

Что такое раздельное туннелирование и зачем оно нужно

Раздельное туннелирование (split tunneling) — это функция VPN-клиента, которая позволяет разделить трафик устройства на два потока: один направляется через зашифрованный туннель, другой — напрямую через интернет-провайдера. Вместо привычного принципа «всё или ничего» вы получаете гибкий контроль над тем, какие сайты, приложения или IP-адреса используют VPN, а какие работают в обход него.

Основная задача этой функции — решить конфликт между ресурсами, которые требуют реального IP-адреса или недоступны через VPN, и сервисами, которые, наоборот, нуждаются в защищённом канале. Например, банковские приложения и государственные порталы часто блокируют подключения с IP-адресов VPN-серверов, а стриминговые платформы могут ограничивать контент по геолокации. Раздельное туннелирование позволяет одновременно пользоваться и теми, и другими без постоянного переключения VPN.

В контексте AmneziaVPN эта функция особенно актуальна для пользователей из стран с интернет-цензурой, таких как Россия, Иран или Китай. Некоторые ресурсы отслеживают использование VPN и могут ограничивать доступ, если видят подозрительный IP. С помощью split tunneling можно направить через VPN только те сервисы, которые заблокированы, а остальной трафик оставить напрямую — это снижает риск обнаружения и блокировки VPN-сервера.

Кроме того, раздельное туннелирование помогает оптимизировать скорость и нагрузку. Тяжёлый трафик, например загрузку больших файлов или торренты, можно пустить напрямую, чтобы не перегружать VPN-канал, а через туннель передавать только чувствительные данные — рабочие мессенджеры, браузеры или корпоративные приложения.

Как устроено раздельное туннелирование в AmneziaVPN

В AmneziaVPN раздельное туннелирование реализовано через две независимые оси настройки. Первая ось — по какому критерию фильтруется трафик: по приложениям или по IP-адресам/подсетям. Вторая ось — логика списка: «только выбранные» (include) или «все, кроме выбранных» (exclude).

В режиме «только выбранные» через VPN идёт только трафик, соответствующий элементам списка, а всё остальное — напрямую. В режиме «все, кроме выбранных» — наоборот: весь трафик идёт через VPN, кроме тех приложений или адресов, которые вы добавили в список исключений.

Важно понимать, что разделение по IP-адресам работает на уровне сетевых правил и не зависит от того, какое приложение обращается к адресу. Если вы добавите в список IP-подсети Discord, то и сайт web.telegram.org, и приложение Telegram будут подчиняться этому правилу, поскольку оба обращаются к одним и тем же адресам. Это удобно, но требует внимательности: крупные сервисы, такие как YouTube, используют тысячи IP-адресов, и указание только одного домена не даст нужного эффекта.

Разделение по приложениям, в свою очередь, фильтрует трафик по источнику — конкретной программе. На Android и Windows это работает через список установленных приложений или исполняемых файлов, а на iOS, macOS и Linux такая возможность ограничена или отсутствует. Подробнее о доступности на разных платформах — в следующем разделе.

Доступность функции на разных операционных системах

Возможности раздельного туннелирования в AmneziaVPN существенно различаются в зависимости от операционной системы. Это связано с ограничениями, которые накладывают сами платформы на VPN-клиенты.

Android — самая гибкая платформа. Здесь доступны оба варианта: и по IP-адресам, и по приложениям. Для каждого варианта можно выбрать любой из двух режимов — «только выбранные» или «все, кроме выбранных». Это позволяет, например, направить через VPN только браузер и мессенджер, а все остальные приложения оставить напрямую.

Windows — также поддерживает оба варианта, но с ограничением: для приложений доступен только режим исключений (выбранные приложения работают без VPN). Режим «только выбранные приложения через VPN» недоступен. Для IP-адресов оба режима работают в полном объёме.

iOS, macOS, Linux — здесь доступно только разделение по IP-адресам/подсетям. Настройка по приложениям невозможна из-за ограничений операционных систем. На iOS это особенно заметно: система не позволяет VPN-клиентам перехватывать трафик отдельных приложений.

Эти различия важно учитывать при планировании настройки. Если вам нужно разделение по приложениям, выбирайте Android или Windows. Если вы пользуетесь macOS или Linux, придётся полагаться на IP-адреса и подсети, что, впрочем, тоже даёт достаточную гибкость.

Настройка раздельного туннелирования по IP-адресам и подсетям

Разделение по IP-адресам — это универсальный метод, который работает на всех платформах, где доступна функция. Он позволяет точно указать, какие сетевые назначения должны идти через VPN, а какие — напрямую.

Для начала вам нужно определить IP-адреса или подсети интересующих вас сервисов. Просто указать домен, например youtube.com, недостаточно — приложение разово резолвит домен в текущий IPv4-адрес, который не обновляется автоматически. Для корректной работы крупных сервисов потребуется полный список их IP-подсетей.

Удобный способ получить такой список — сервис iplist.opencck.org. Он позволяет выбрать нужные ресурсы (например, Instagram, Discord или YouTube), сгенерировать файл в формате Amnezia (ip-list.json) и импортировать его в приложение. Важно выбирать формат Amnezia и тип данных IPv4 (CIDR).

После импорта выберите режим: «Только адреса из списка должны открываться через VPN» или «Адреса из списка не должны открываться через VPN». Первый режим рекомендуется для большинства сценариев, так как он минимизирует объём трафика через VPN и снижает риск утечки IP-адреса сервера.

Если вы хотите исключить из VPN локальные сети (например, для доступа к принтеру или роутеру), добавьте в список исключений стандартные частные диапазоны: 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 169.254.0.0/16, 100.64.0.0/10, 224.0.0.0/4. Это позволит сохранить прямой доступ к локальным устройствам.

Настройка раздельного туннелирования по приложениям

Разделение по приложениям — более интуитивный способ для обычных пользователей, поскольку не требует знания IP-адресов. Вы просто выбираете из списка установленных программ те, которые должны работать через VPN или, наоборот, в обход него.

На Android процесс выглядит так: откройте настройки раздельного туннелирования, выберите режим «по приложениям», задайте логику списка («только выбранные» или «все, кроме выбранных») и отметьте нужные приложения. После сохранения изменений обязательно переподключите VPN, чтобы правила применились.

На Windows доступен только режим исключений: вы добавляете исполняемые файлы (.exe) приложений, которые должны работать без VPN. Чтобы найти нужный файл, можно использовать встроенный «Монитор ресурсов» или стороннюю утилиту AppNetworkCounter, которая показывает все процессы, выходящие в интернет, и путь к их исполняемым файлам.

Важный нюанс: некоторые приложения, особенно из Microsoft Store или игры с античитом (Valorant, League of Legends), не поддаются разделению по приложениям. В таких случаях используйте разделение по IP-адресам — оно работает на более низком уровне и не зависит от того, как приложение упаковано.

Также имейте в виду, что на Android некоторые сервисы, например чат-бот Gemini, могут не отображаться в списке приложений. В этом случае добавьте в разделение приложение Google и используйте сервис через него.

Практические сценарии использования

Раздельное туннелирование открывает множество сценариев, которые делают работу с VPN комфортнее и безопаснее. Рассмотрим наиболее типичные.

Сценарий 1: Одновременный доступ к заблокированным и локальным ресурсам. Вы живёте в России и хотите пользоваться Instagram и Discord, но при этом не хотите, чтобы банковское приложение или госуслуги видели VPN-IP. Настройте разделение по IP-адресам: добавьте в список «только через VPN» подсети Instagram и Discord, а всё остальное оставьте напрямую. Теперь вы можете одновременно слушать подкаст на YouTube и оформлять доставку на Ozon — оба сервиса будут работать корректно.

Сценарий 2: Игры без VPN, Discord через VPN. Многие онлайн-игры (Steam, Epic Games) требуют высокой скорости и низкой задержки, а VPN может ухудшить эти показатели. При этом Discord часто блокируется или работает нестабильно. Решение: настройте разделение по IP-адресам, чтобы только Discord шёл через VPN, а игровой трафик — напрямую. Для этого скачайте список IP-подсетей Discord с iplist и выберите режим «Только адреса из списка должны открываться через VPN».

Сценарий 3: Защита чувствительных приложений в публичном Wi-Fi. В кафе или аэропорту вы хотите, чтобы только банковское приложение и рабочий мессенджер шли через VPN, а остальной трафик — напрямую. На Android используйте разделение по приложениям с режимом «только выбранные». Это снизит нагрузку на VPN и обеспечит защиту именно там, где она нужна.

Сценарий 4: Исключение локальной сети. Если вы подключаетесь к VPN, но хотите сохранить доступ к домашнему принтеру или NAS-хранилищу, добавьте частные подсети (192.168.0.0/16 и т.д.) в список исключений. Тогда весь интернет-трафик пойдёт через VPN, а локальные устройства останутся доступными.

Типичные ошибки и способы их решения

Даже при правильной настройке раздельного туннелирования могут возникать проблемы. Рассмотрим самые частые ошибки и способы их устранения.

Ошибка 1: Трафик идёт «не туда». Чаще всего это связано с перепутанной логикой списка. Вы включили режим «только выбранные», ожидая, что через VPN пойдёт всё, кроме выбранного, или наоборот. Проверьте, какой режим активен, и при необходимости переключите его.

Ошибка 2: Изменения не применились. Правила маршрутизации применяются только при установке VPN-соединения. Если вы изменили список, но не переподключились, старые правила останутся в силе. Всегда отключайте и заново включайте VPN после правок.

Ошибка 3: Сайт не открывается через VPN. Если вы добавили только домен (например, youtube.com), этого недостаточно — нужны полные IP-подсети. Используйте iplist для генерации корректного списка.

Ошибка 4: Приложение не работает без VPN. Некоторые приложения (из Microsoft Store, с античитом) не поддерживают разделение по приложениям. Переключитесь на разделение по IP-адресам — оно работает на более низком уровне.

Ошибка 5: Раздел split tunneling отсутствует в меню. Убедитесь, что у вас актуальная версия клиента с официального сайта amnezia.org. На iOS функция может быть недоступна из-за ограничений системы.

Раздельное туннелирование и безопасность: как избежать утечек

Раздельное туннелирование — это не только удобство, но и инструмент безопасности. В странах с интернет-цензурой власти могут отслеживать использование VPN и блокировать IP-адреса VPN-серверов. Если весь ваш трафик идёт через VPN, сервер легко обнаружить по характерным паттернам. Раздельное туннелирование позволяет направлять через VPN только те ресурсы, которые действительно нуждаются в обходе блокировок, снижая риск обнаружения.

Однако важно помнить о потенциальных утечках. Если вы используете режим «только выбранные», убедитесь, что в список включены все IP-адреса нужного сервиса. В противном случае часть трафика может уйти напрямую, раскрывая ваш реальный IP. Для крупных сервисов, таких как YouTube, используйте полные списки подсетей с iplist.

Ещё один аспект — DNS-запросы. Даже если трафик приложения идёт через VPN, DNS-запросы могут обрабатываться системным резолвером и раскрывать посещаемые домены. AmneziaVPN предлагает собственный DNS-сервер (AmneziaDNS), который можно включить в настройках. Это гарантирует, что DNS-запросы также будут проходить через зашифрованный канал.

Наконец, на Android рекомендуется настраивать разделение и по IP-адресам, и по приложениям одновременно. Это снижает вероятность утечки IP-адреса VPN-сервера, так как даже если приложение российского сервиса попытается обратиться к VPN-адресу, оно будет заблокировано правилами разделения.

Ограничения и важные нюансы

Раздельное туннелирование в AmneziaVPN имеет ряд ограничений, о которых стоит знать заранее.

IPv4 и IPv6. AmneziaVPN поддерживает только IPv4. Если сайт или приложение использует IPv6, его трафик не попадёт под правила разделения и может уйти напрямую. Убедитесь, что ваше устройство не использует IPv6 для критичных сервисов, или отключите IPv6 в настройках системы.

Amnezia Free. В бесплатной версии Amnezia Free раздельное туннелирование по IP-адресам недоступно. Эта функция доступна только в Amnezia Premium или Self-hosted.

Сервер не участвует в разделении. Решение о маршрутизации принимается только на клиентском устройстве. Сервер получает уже отфильтрованный трафик и не знает, что осталось за пределами туннеля. Поэтому одна и та же конфигурация WireGuard или AmneziaWG, импортированная на разные устройства, может вести себя по-разному в зависимости от настроек разделения на каждом устройстве.

Широкие подсети. IP-подсети крупных сервисов могут захватывать адреса несвязанных сайтов. Например, подсети YouTube могут включать адреса игровых серверов. Если вы заметили, что какой-то ресурс неожиданно работает через VPN, проверьте, не попадает ли он в ваши списки.

Торренты. На большинстве локаций AmneziaVPN торрент-трафик ограничен. Если вы хотите скачивать торренты, добавьте торрент-клиент в разделение по приложениям (режим «без VPN») или выберите локацию в Швейцарии, где ограничений нет.

Пошаговый алгоритм настройки для новичков

Если вы впервые сталкиваетесь с раздельным туннелированием, вот простая пошаговая инструкция, которая поможет настроить функцию без лишних сложностей.

Шаг 1. Определите цель. Решите, что именно вы хотите направить через VPN: конкретные сайты (например, Instagram и Discord) или приложения (браузер, мессенджер). От этого зависит выбор режима.

Шаг 2. Выберите платформу. Если у вас Android или Windows, вы можете использовать оба варианта. На iOS, macOS или Linux — только по IP-адресам.

Шаг 3. Соберите список адресов. Для разделения по IP-адресам зайдите на iplist.opencck.org, выберите нужные ресурсы, формат Amnezia и IPv4 (CIDR), скачайте файл ip-list.json.

Шаг 4. Импортируйте список. В настройках раздельного туннелирования выберите режим «Только адреса из списка должны открываться через VPN» и импортируйте файл. При импорте можно заменить существующий список или добавить к нему.

Шаг 5. Настройте приложения (если нужно). На Android или Windows добавьте нужные приложения в разделение по приложениям. На Windows используйте AppNetworkCounter, чтобы найти исполняемые файлы.

Шаг 6. Сохраните и переподключитесь. После всех изменений обязательно отключите и снова включите VPN, чтобы правила применились.

Шаг 7. Проверьте. Откройте сайт проверки IP (например, 2ip.ru) в приложении, которое должно идти через VPN, и убедитесь, что IP принадлежит вашему VPN-серверу. Затем проверьте приложение, которое должно работать напрямую, — там должен быть ваш реальный IP.

Вопросы и ответы