Раздельное туннелирование Exitru: домены, IP и наборы правил
Выбираем, что идёт через VPN, а что напрямую. Подробно разбираем режимы, доменные и адресные правила, наборы, проверку маршрута и перенос между устройствами.
Раздельное туннелирование позволяет направлять выбранные сайты и адреса через VPN, а остальные — напрямую, либо делать наоборот. В Exitru сначала создают набор правил, затем назначают его режиму. Ниже разберём оба варианта, точные домены, поддомены, IP-адреса, CIDR и проверку действующего маршрута.
Начните с маршрута, который нужен вам
Допустим, банковское приложение должно выходить напрямую, а выбранные видеосервисы — через VPN. Есть два способа выразить это правило. Выбор зависит от того, куда должен идти весь остальной трафик, а не от того, какой переключатель выглядит привычнее.
| Режим | Совпало с назначенным набором | Не совпало |
|---|---|---|
| Только для выбранного | Через VPN | Напрямую |
| Кроме выбранного | Напрямую | Через VPN |
| Выключено | Наборы не участвуют | Весь трафик через VPN |
В режиме «Только для выбранного» создайте список сервисов, которым нужен VPN. В режиме «Кроме выбранного» создайте список прямых исключений, например для своего банка. Одновременно назначенные наборы объединяются: это не очередь, где верхняя строка отменяет нижнюю.
«Выключено» означает выключенное разделение, а не выключенный VPN. Если туннель подключён, этот режим возвращает обычный маршрут через него. Перед проверкой убедитесь, что не перепутали эти два состояния.
Шаг 1. Откройте разделение трафика
В Windows откройте «Настройки» → «Разделение трафика». На экране есть вкладки «Режим», «Списки» и «Разведка». Расположение на мобильных платформах отличается; ищите настройку разделения трафика, а не отдельный сервер с таким названием.
Реальный интерфейс Windows 1.0.45. Названия наборов, локации и числа в съёмочном сценарии демонстрационные. Настройки приложения не заменяются самой интерактивной схемой на сайте.
Если приложение сообщает, что разделение недоступно для текущего протокола, сборки или аккаунта, сохранённый выбор ещё не означает действующее разделение. Сначала прочитайте сообщение «Сейчас работает так». Не рассчитывайте на прямое исключение, пока оно не подтверждено.
Шаг 2. Создайте небольшой понятный набор
На вкладке «Списки» выберите «Новый набор» и дайте ему название по назначению: «Через VPN» или «Банк напрямую». Название помогает вам ориентироваться, но не задаёт действие само по себе. Один и тот же домен меняет маршрут в зависимости от режима, которому назначен набор.
Добавляйте только те правила, смысл которых можете объяснить. Для первой проверки достаточно одного домена. Большой импортированный список усложнит поиск ошибки: вы не узнаете, какое из сотен правил дало результат.
Готовые наборы можно посмотреть перед включением. Читайте их состав и назначение. Наличие слова «банки» в названии не гарантирует, что в набор включены все адреса вашего приложения или что сервис не изменит их позже.
Домен и домен с поддоменами — разные правила
Правило «Домен» для example.com относится только к этому имени. api.example.com под него не попадает. Правило «Домен и поддомены» для example.com включает и само имя, и имена ниже него: api.example.com, cdn.example.com и другие поддомены.
При этом otherexample.com не является поддоменом example.com. Совпадение идёт по границам частей имени, а не просто по похожему окончанию текста. Верхний уровень вроде com слишком широк и не подходит как обычное правило домена с поддоменами.
Вводите имя без https://, номера страницы и пути /watch. Эти правила не выбирают отдельную страницу сайта. Например, example.com/work не означает «весь рабочий раздел». Сначала определите хост example.com, затем решите, нужны ли поддомены.
В названии типа правила интерфейс может показывать *.example.com, но это описание охвата поддоменов, а не приглашение вводить произвольные регулярные выражения. Кириллическое имя может отображаться в нормализованной ASCII-форме xn--…: проверьте, что получилось именно нужное имя.
IP-адрес и подсеть CIDR
IP-правило относится к одному адресу, например 192.0.2.10. Оно полезно, когда сервис открывают по адресу, а не по имени. CIDR задаёт диапазон: 192.0.2.0/24 — пример IPv4-подсети. Число после косой черты определяет длину сетевого префикса; формат описан в RFC 4632.
Адреса 192.0.2.0/24 и 2001:db8::/32 в этой статье — документационные примеры. Они не дают доступ к какому-то готовому ресурсу. Для своих правил используйте подтверждённые адреса сервиса и проверяйте IPv4 и IPv6 отдельно.
Не заменяйте доменное правило IP-адресом, полученным один раз из DNS, без причины. Сервис может менять адреса, использовать несколько дата-центров и общий CDN. Широкая подсеть может захватить чужие сайты; точный адрес может перестать совпадать после обновления DNS.
Не добавляйте 0.0.0.0/0 или ::/0 ради одного приложения: это охват всего семейства адресов. Чем шире правило, тем больше трафика оно затрагивает. Режим и адресные правила нужно проверять вместе.
Пример A. Только выбранные сайты через VPN
Создайте набор «Через VPN» и добавьте домен сервиса, с которого хотите начать. Если он использует поддомены, выберите соответствующий тип. Назначьте набор режиму «Только для выбранного» через «Наборы этого режима» и проверьте, что его имя показано в выбранном режиме.
Подключите VPN и запустите встроенную проверку. Затем откройте сервис новым соединением. Остальной трафик в этом режиме идёт напрямую, когда разделение действительно работает. Это осознанный выбор: не предполагается, что все неназванные сервисы автоматически защищены туннелем.
Не добавляйте только youtube.com и не считайте задачу законченной для любого видеоприложения. Сервисы используют отдельные API, медиадомены и CDN. Начните с готового проверенного набора или исследуйте реальные домены в «Разведке», проверьте результат и только потом расширяйте список.
Пример B. Банк напрямую, остальное через VPN
Создайте набор «Банк напрямую», добавьте нужные подтверждённые домены и назначьте его режиму «Кроме выбранного». В этом режиме совпавшее идёт напрямую, а всё остальное — через VPN. Не назначайте сюда набор «Через VPN»: название не меняет действие режима.
Если банк требует несколько имён или фиксированные адреса, внесите их после проверки. Не копируйте чужой список из случайной переписки вслепую. Для банковского приложения особенно важно, чтобы прямое исключение не оказалось широкой подсетью общего облака.
Переключаясь между двумя режимами, проверьте назначенные именно этому режиму наборы. Приложение запоминает назначения по режимам на устройстве; полный набор этих локальных предпочтений не следует считать автоматически перенесённым на другой телефон.
Почему сайт открывается не по ожидаемому маршруту
Exitru использует сведения о DNS и адресе назначения, чтобы сопоставлять доменные правила. Старое соединение и закэшированный ответ могут пережить изменение списка. Новые правила действуют для новых соединений; закройте проверяемое приложение или соединение и повторите запрос.
Браузер может использовать собственный DNS-over-HTTPS. Этот протокол переносит DNS через HTTPS, как описано в RFC 8484. Такой запрос не равен обычному запросу к системному резолверу; проверяйте, дошёл ли запрос до резолвера Exitru, и не делайте вывод по одному внешнему IP.
Другие частые причины — неверный тип домена, неназначенный набор, ограничение текущего протокола или включённая блокировка трафика вне VPN. Последняя конфликтует с прямым выходом: приложение сообщает, когда из-за неё разделение не работает и весь трафик идёт через туннель.
Если в режиме «Только для выбранного» не включено ни одного набора, текущая реализация показывает предупреждение и оставляет весь трафик в VPN. Не используйте пустой набор как способ отключить туннель. Если сборка не понимает одно из назначенных правил, действующее состояние тоже нужно смотреть в предупреждении, а не угадывать.
Шаг 3. Проверьте действующий результат
Встроенная проверка находится на вкладке режима и требует включённого VPN. Она сопоставляет ответы для нескольких имён с действующим набором. Смотрите не только итоговую надпись, но и пояснения: совпало ли правило, какой маршрут определён и дошёл ли запрос до нужного резолвера.
Успех для нескольких проверенных имён не доказывает охват каждого запроса сложного приложения. Проверьте и основной сервис, и отдельные действия: вход, воспроизведение, загрузку файлов. Если часть не работает, выясните используемые имена вместо расширения исключения на весь интернет.
Windows позволяет добавлять правила по программам, в том числе выбрать .exe с диска или работающую программу. Такие правила зависят от доступной системе информации о процессе. Имена программ, возможности Android и возможности Apple нельзя считать одинаковыми: доменные и адресные правила проще переносить между платформами.
Импорт, экспорт и передача набора
В своём наборе выберите «Поделиться». В зависимости от размера доступны код, ссылка и файл. Большой набор может не помещаться в код — используйте файл вместо попытки уменьшить его случайным удалением нужных правил.
Ссылка с правилами не зашифрована. Получатель увидит список доменов и адресов. Не добавляйте в него секреты и не публикуйте внутренние рабочие имена без необходимости. Отправка через мессенджер — это ваш выбор получателя и канала, а не автоматическая приватная синхронизация Exitru.
При импорте сначала просмотрите правила. Приложение создаёт новый набор и не должно молча перезаписывать ваш существующий список. После сохранения назначьте его нужному режиму самостоятельно. Повторный импорт может создать ещё одну копию; проверьте список перед включением.
Правила по программам требуют отдельной проверки на другом устройстве: там программа может отсутствовать или называться иначе. Передача набора не является передачей подписки, серверных ключей или работающего VPN-подключения.
Сохраните простую проверяемую схему
Начните с одного режима и маленького набора. Подтвердите действующее состояние, проверьте новые соединения и только затем расширяйте правила. Если проблема остаётся, напишите в поддержку, указав режим, платформу, версию и результат встроенной проверки. Не публикуйте личные списки доменов вместе с обращением без необходимости.
Ещё не установили приложение? Оно доступно на странице загрузок. Для готовой сети нужен тариф Exitru; для своего VPS есть отдельное руководство.
Частые вопросы · FAQ
Набор сам определяет, что идёт через VPN?
Нет. Набор задаёт совпадения, а действие задаёт режим. Поэтому список исключений для «Кроме выбранного» нельзя без проверки использовать как VPN-список в другом режиме.
Импорт сразу меняет маршрут?
Импорт создаёт новый набор. Просмотрите его и назначьте нужному режиму сами; перенос файла не является подтверждением действующего маршрута.
Почему после сохранения старое видео продолжает идти прежним путём?
Уже открытое соединение может сохранить прежний маршрут. Проверяйте новые соединения и встроенную проверку, а не только продолжающееся воспроизведение.
