Раздельное туннелирование в HAPP на iOS: настройка, правила и ограничения

Что такое раздельное туннелирование и зачем оно нужно

Раздельное туннелирование (Split Tunneling) — это функция VPN-клиентов, которая позволяет направлять часть интернет-трафика через зашифрованный туннель, а остальную часть — напрямую, в обход VPN. В приложении HAPP, работающем на ядре Xray, эта возможность реализована через гибкие правила маршрутизации.

Основная цель раздельного туннелирования — совместить доступ к заблокированным или географически ограниченным сервисам с нормальной работой локальных и национальных ресурсов. Например, вы можете смотреть YouTube через зарубежный сервер, а «Госуслуги» или банковское приложение — через прямое соединение, чтобы не получать блокировку из-за «иностранного» IP-адреса.

На iOS раздельное туннелирование имеет свою специфику: Apple ограничивает приложения в доступе к списку запущенных процессов, поэтому пофайловый выбор приложений (Per-App Proxy) здесь недоступен. Вместо этого используются правила маршрутизации по доменам, IP-адресам и категориям GeoSite. Это не делает функцию менее полезной — просто настройка выполняется иначе, чем на Android или Windows.

Как HAPP управляет трафиком: основы маршрутизации

HAPP использует встроенное ядро Xray, которое обрабатывает каждое соединение по цепочке правил маршрутизации. Правило состоит из трёх частей: тип (по какому признаку проверять), значение (например, домен или IP) и политика (действие). Политик три: PROXY — направить через VPN-сервер, DIRECT — отправить напрямую, BLOCK — заблокировать соединение.

Ключевой момент: правила проверяются сверху вниз, и как только найдено совпадение, применяется соответствующее действие, а остальные правила игнорируются. Поэтому порядок правил критически важен. Если вверху списка стоит общее правило, перехватывающее весь трафик, нижние правила для конкретных сайтов не сработают.

В HAPP доступны следующие типы правил:

• DOMAIN / DOMAIN-SUFFIX — для конкретных доменов (например, example.com или .ru).
• GEOSITE — готовые списки доменов по категориям (например, geosite:youtube или geosite:ru).
• GEOIP — списки IP-адресов стран или сервисов (например, geoip:ru).
• PROCESS-NAME — маршрутизация по имени процесса (доступно на ПК, но не на iOS).
• Per-App Proxy — выбор приложений галочками (доступно на Android, но не на iOS).

На iOS из-за ограничений системы доступны только правила по адресам: домены, IP и GeoSite. Это означает, что разделение трафика на iPhone и iPad выполняется на уровне сетевых адресов, а не отдельных приложений.

Ограничения iOS: почему нет Per-App Proxy

На iOS и iPadOS Apple не предоставляет сторонним приложениям доступ к списку запущенных процессов или возможность перехватывать трафик отдельных приложений. Это сделано для защиты конфиденциальности и безопасности пользователей. Поэтому функция Per-App Proxy, которая есть в HAPP на Android, на iOS отсутствует.

Однако это не значит, что раздельное туннелирование на iPhone невозможно. Вместо выбора приложений вы создаёте правила, которые направляют трафик по доменам или IP-адресам. Например, чтобы исключить банковское приложение из VPN, достаточно добавить правило для домена банка (например, sberbank.ru) с действием DIRECT. Практически это даёт тот же результат, что и исключение приложения.

Важно понимать: некоторые приложения используют системные компоненты (WebView, push-сервисы, CDN), которые обращаются к другим доменам. Поэтому для полного исключения может потребоваться несколько правил. Например, для YouTube нужно правило geosite:youtube, которое покрывает все технические домены (googlevideo.com и другие).

Типичные сценарии использования на iOS

Раздельное туннелирование на iOS решает несколько практических задач:

1. Российские сервисы напрямую, остальное через VPN. Это классический сценарий: вы держите VPN включённым постоянно, но «Госуслуги», банки и другие российские сайты работают без задержек и блокировок. Для этого создаётся правило GEOIP: ru и GEOSITE: ru с действием DIRECT, а общее правило по умолчанию — PROXY.

1. Только заблокированные сервисы через VPN. Если вы хотите, чтобы весь трафик шёл напрямую, а через VPN — только YouTube, Instagram и другие заблокированные сайты, установите общее правило DIRECT, а для нужных сервисов добавьте правила GEOSITE с действием PROXY.

1. Локальная сеть напрямую. При включённом VPN доступ к роутеру (192.168.1.1), принтеру или умному дому может пропасть. Решение — включить опцию «Bypass system proxy for local addresses» в настройках или добавить правило GEOIP: private с действием DIRECT.

1. Исключение банковских приложений. Чтобы банк не блокировал вход из-за зарубежного IP, добавьте правило для домена банка с действием DIRECT. Это особенно актуально для iOS, где нет Per-App Proxy.

Эти сценарии покрывают большинство потребностей пользователей iPhone и iPad.

Пошаговая настройка: весь интернет через VPN, кроме российских сайтов

Этот сценарий подходит тем, кто хочет держать VPN включённым постоянно, но чтобы российские сервисы работали без проблем. Вот как его настроить в HAPP на iOS:

1. Откройте приложение HAPP и перейдите в раздел «Настройки» (Settings) → «Правила маршрутизации» (Routing rules).
2. Нажмите «+» (Добавить), чтобы создать новый блок правил.
3. Переместите этот блок в самый верх списка — порядок важен.
4. Добавьте в блок условия:

• Тип: GEOIP → Значение: ru
• Тип: GEOSITE → Значение: ru

1. Установите политику для этого блока на DIRECT (Напрямую).
2. Убедитесь, что общее правило (Default) стоит как PROXY (Через VPN).
3. Нажмите «Сохранить».

После этого весь трафик, кроме российских IP-адресов и доменов, будет идти через VPN. Российские сайты, включая «Госуслуги», банки и «Кинопоиск», будут открываться напрямую, что исключает блокировки по геолокации.

Обратите внимание: если вы используете режим TUN (виртуальный сетевой адаптер), правило GEOIP: private также стоит добавить, чтобы локальная сеть продолжала работать.

Настройка: только выбранные сайты через VPN

Противоположный сценарий — весь трафик идёт напрямую, а через VPN проходят только определённые сайты. Это экономит трафик и снижает нагрузку на канал. Настройка выглядит так:

1. В настройках маршрутизации установите общее правило (Default) на DIRECT (Напрямую).
2. Нажмите «+», чтобы создать новый блок правил, и разместите его в самом верху.
3. Добавьте условия типа GEOSITE и впишите значения для нужных сервисов, например:

• youtube
• instagram
• netflix

1. Установите политику блока на PROXY (Через VPN).
2. Нажмите «Сохранить».

Теперь, когда вы открываете YouTube или Instagram, трафик автоматически направляется через VPN-сервер, а остальные сайты работают напрямую. Это удобно, если VPN нужен только для доступа к заблокированным ресурсам.

Для небольших сайтов, которых нет в базах GeoSite, используйте тип DOMAIN и впишите конкретный домен, например chatgpt.com. Помните, что крупные сайты используют десятки скрытых доменов (CDN), поэтому для них лучше применять GEOSITE.

Исключения для банков, госуслуг и локальной сети

Банковские приложения и государственные порталы часто блокируют доступ с зарубежных IP-адресов, чтобы защититься от мошенничества. Если вы используете VPN, такие сервисы могут перестать работать. Решение — добавить их в исключения (правила DIRECT).

На iOS, где нет Per-App Proxy, исключения задаются по доменам. Например, для СберБанка добавьте правило DOMAIN-SUFFIX: sberbank.ru с действием DIRECT. Для «Госуслуг» — gosuslugi.ru. Если банк использует несколько доменов, добавьте их все или используйте GEOSITE, если такая категория есть.

Локальная сеть — ещё один важный аспект. При включённом VPN доступ к роутеру, принтеру, NAS или умному дому может пропасть, потому что трафик к локальным адресам тоже уходит в туннель. Чтобы этого избежать:

1. В настройках HAPP включите опцию «Bypass system proxy for local addresses» (Обход системного прокси для локальных адресов).
2. Если используется режим TUN, добавьте правило GEOIP: private с действием DIRECT.

Эти меры гарантируют, что локальные устройства останутся доступными при активном VPN.

Диагностика: почему правила не работают

Иногда после настройки правил трафик идёт не туда, куда ожидалось. Вот типичные причины и способы их устранения:

1. Неправильный порядок правил. HAPP проверяет правила сверху вниз. Если вверху стоит общее правило (например, весь трафик через VPN), нижние правила для конкретных сайтов не сработают. Переместите нужный блок правил в самый верх списка.
2. Сайт использует скрытые домены. Если вы добавили правило DOMAIN для сайта, но видео или картинки не грузятся, скорее всего, контент доставляется с других доменов (CDN). Замените правило DOMAIN на GEOSITE с именем сервиса, чтобы охватить все технические адреса.
3. Не переподключились. Изменения правил применяются только после переподключения к VPN. Отключите и снова включите соединение.
4. Проблема с сервером. Если VPN-сервер не работает, может казаться, что правила сломались. Проверьте соединение с другим сервером или подпиской.

Для точной диагностики откройте логи HAPP и посмотрите, каким исходящим ушло соединение: direct или proxy. Это надёжнее, чем гадать по поведению сайта.

Частые вопросы о раздельном туннелировании на iOS

Можно ли на iPhone направить в туннель только одно приложение? Напрямую — нет, из-за ограничений iOS. Но вы можете добиться того же эффекта, добавив правила для доменов, которые использует приложение. Например, для YouTube — geosite:youtube.

Почему после добавления правила сайт всё равно открывается через VPN? Скорее всего, сработало более общее правило выше по списку, либо адрес разрешился в IP, который попал под другое правило. Проверьте порядок правил и используйте GEOSITE для крупных сервисов.

Экономит ли раздельное туннелирование трафик? Да, если через VPN идёт меньше данных. Например, если вы исключили российские сайты, их трафик не расходует зарубежный канал.

Безопасно ли раздельное туннелирование? Это компромисс: часть трафика идёт напрямую и видна вашей сети. Для банков это плюс (не блокируют вход), для приватности — минус. Решайте, что важнее в каждом конкретном случае.

Правила сохраняются после обновления приложения? Да, правила хранятся в профиле. Но при удалении и повторной установке Happ профиль придётся импортировать заново — ссылка-подписка восстанавливает всё за секунду.

Вопросы и ответы