Настройка раздельного туннелирования в HAPP: полное руководство по правилам маршрутизации

Что такое раздельное туннелирование и зачем оно нужно

Раздельное туннелирование (split tunneling) — это функция VPN-клиентов, которая позволяет направлять через защищённый туннель только часть интернет-трафика, оставляя остальной трафик в прямом соединении. В приложении HAPP, построенном на ядре Xray, эта возможность реализована через гибкие правила маршрутизации.

На практике это означает, что вы можете одновременно пользоваться VPN для одних задач и обходить его для других. Например, российские банковские приложения и государственные сервисы часто блокируют вход с зарубежных IP-адресов — их удобно оставить вне туннеля. В то же время мессенджеры, стриминговые платформы или сайты, заблокированные провайдером, будут работать через VPN.

Раздельное туннелирование также помогает снизить задержки в онлайн-играх, если направить игровой трафик напрямую, а голосовой чат (например, Discord) оставить в VPN. Кроме того, это экономит трафик и снижает нагрузку на канал, поскольку через шифрованный туннель идёт только необходимая часть данных.

Как HAPP обрабатывает трафик: основы маршрутизации

HAPP использует ядро Xray и систему правил маршрутизации (Routing Rules). Каждое правило состоит из трёх частей:

• Тип — что проверяется: IP-адрес, домен, имя процесса или приложение.
• Значение — конкретное сопоставление, например youtube, ru или Discord.exe.
• Действие — что сделать с трафиком: PROXY (через VPN), DIRECT (напрямую) или BLOCK (заблокировать).

Ключевой момент: HAPP проверяет правила сверху вниз и останавливается на первом совпадении. Это означает, что порядок блоков правил имеет решающее значение. Если общее правило (например, «весь трафик через VPN») стоит выше конкретного исключения, исключение никогда не сработает. Поэтому при настройке важно размещать более специфичные правила выше общих.

Типы правил в HAPP: DOMAIN, GEOSITE, GEOIP, PROCESS-NAME и Per-App Proxy

HAPP поддерживает несколько типов правил, каждый из которых предназначен для определённых сценариев:

• DOMAIN / DOMAIN-SUFFIX — для конкретных доменов, например example.com или chatgpt.com. Подходит для небольших сайтов, которые не используют множество скрытых технических доменов.
• GEOSITE — готовые списки доменов для крупных сервисов. Например, geosite:youtube автоматически охватывает все домены YouTube, включая googlevideo.com и другие технические адреса. Это удобно, когда сервис использует CDN и множество поддоменов.
• GEOIP — списки IP-адресов по странам или сервисам. Например, geoip:ru охватывает все российские IP-адреса. Полезно для исключения целых стран из VPN.
• PROCESS-NAME — маршрутизация по имени исполняемого файла на ПК (Windows, macOS, Linux). Например, Telegram.exe или Discord.exe. Требует точного указания имени процесса.
• Per-App Proxy — функция для мобильных устройств (iOS и Android), позволяющая выбирать приложения галочками в интерфейсе. Доступна начиная с версии HAPP 2.1.0.

Базы GeoIP и GeoSite встроены в HAPP и обновляются автоматически, поэтому вам не нужно вручную вводить тысячи IP-адресов или доменов.

Сценарий 1: Весь интернет через VPN, кроме российских сайтов и IP

Этот сценарий идеален, если вы хотите держать VPN включённым постоянно, но при этом российские сайты и приложения (например, «Госуслуги», банки, «Кинопоиск») должны работать напрямую, без риска блокировки из-за зарубежного IP.

Пошаговая настройка:

1. Откройте HAPP и перейдите в Настройки → Правила маршрутизации.
2. Нажмите «+», чтобы создать новый блок правил, и переместите его в самый верх списка.
3. Добавьте в этот блок два условия:

• Тип: GEOIP, значение: ru
• Тип: GEOSITE, значение: ru

1. Установите действие для блока на DIRECT (напрямую).
2. Убедитесь, что правило по умолчанию (Default) установлено на PROXY (через VPN).
3. Сохраните изменения.

Результат: российские сайты и IP-адреса открываются напрямую, а весь остальной трафик идёт через VPN. Это особенно полезно для пользователей, которые хотят сохранить доступ к локальным сервисам, но при этом обходить блокировки.

Сценарий 2: Весь интернет напрямую, кроме заблокированных крупных сервисов

Если вы хотите использовать VPN только для доступа к заблокированным платформам, таким как YouTube, Instagram или Netflix, этот сценарий подойдёт лучше всего. Он минимизирует нагрузку на VPN-канал и сохраняет высокую скорость для остального трафика.

Настройка:

1. В правилах маршрутизации установите правило по умолчанию (Default) на DIRECT.
2. Создайте новый блок правил и разместите его выше остальных.
3. Добавьте условия типа GEOSITE со значениями, например: youtube, instagram, netflix.
4. Установите действие для этого блока на PROXY.
5. Сохраните.

Результат: весь интернет работает напрямую, но когда вы открываете YouTube или Instagram, трафик автоматически направляется через VPN. Это удобно, если вы не хотите, чтобы VPN влиял на скорость загрузки других сайтов или приложений.

Сценарий 3: Прямой доступ ко всему, кроме выбранных сайтов

Этот вариант подходит, когда вам нужен VPN только для нескольких конкретных сайтов, например ChatGPT или X (Twitter). Он похож на предыдущий, но вместо GEOSITE используются простые правила DOMAIN.

Шаги:

1. Установите правило по умолчанию на DIRECT.
2. Создайте новый блок правил и поместите его в начало списка.
3. Добавьте правила типа DOMAIN со значениями, например: chatgpt.com, x.com.
4. Установите действие PROXY.
5. Сохраните.

Результат: только выбранные сайты идут через VPN, всё остальное — напрямую. Обратите внимание: если сайт использует CDN и скрытые домены для загрузки контента, правило DOMAIN может не охватить весь трафик. В таком случае лучше использовать GEOSITE.

Сценарий 4: Выборочные приложения через VPN (Per-App Proxy и PROCESS-NAME)

На мобильных устройствах (iOS и Android) HAPP предоставляет функцию Per-App Proxy, которая позволяет выбирать приложения галочками. Вы можете настроить режим «только выбранные приложения через VPN» или наоборот — «все, кроме выбранных».

Настройка на смартфоне:

1. Перейдите в настройки Per-App Proxy.
2. Выберите режим: «Только выбранные приложения идут через VPN» или «Все, кроме выбранных».
3. Отметьте нужные приложения.
4. Сохраните.

На ПК (Windows, macOS, Linux):

1. Откройте Правила маршрутизации.
2. Добавьте правило типа PROCESS-NAME.
3. Введите точное имя исполняемого файла, например telegram.exe для Windows.
4. Установите действие PROXY (или DIRECT, если нужно исключить).
5. Остальной трафик по умолчанию — DIRECT.

Этот подход удобен для приложений, которые не поддерживают системные настройки прокси, или когда нужно точно контролировать, какие программы используют VPN.

Сценарий 5: Discord через VPN, игра напрямую

Геймеры часто сталкиваются с проблемой: VPN снижает пинг в игре, но голосовой чат Discord без VPN может быть недоступен из-за блокировок. Раздельное туннелирование решает эту задачу.

Настройка:

1. Создайте блок правил для Discord:

• Тип: PROCESS-NAME, значение: Discord.exe (или используйте geosite:discord)
• Действие: PROXY
• Разместите этот блок в самом верху списка.

1. Создайте блок для игры:

• Тип: PROCESS-NAME, значение: EscapeFromTarkov.exe (и при необходимости BsgLauncher.exe)
• Действие: DIRECT

1. Сохраните.

Результат: Discord работает через VPN, обеспечивая стабильный голосовой чат, а игра подключается напрямую, что снижает задержку. Этот сценарий легко адаптировать под любые игры и приложения.

Сценарий 6: Локальная сеть напрямую (роутер, принтеры, умный дом)

При включённом VPN доступ к локальным устройствам — роутеру (например, 192.168.1.1), сетевому принтеру или умному дому — может пропасть, если трафик направляется через туннель. Чтобы этого избежать, HAPP предлагает простую опцию.

Настройка:

1. Перейдите в Настройки.
2. Включите переключатель «Bypass system proxy for local addresses» (Обход системного прокси для локальных адресов).
3. Сохраните.

Результат: локальные адреса автоматически идут напрямую, и VPN не мешает доступу к домашним устройствам. Если вы используете режим TUN, дополнительно можно добавить правило маршрутизации: Тип GEOIP, значение private, действие DIRECT.

Сценарий 7: Разные сайты через разные VPN-локации

Это продвинутый сценарий, который требует использования расширенных JSON-профилей маршрутизации. В отличие от Clash, где группы серверов создаются кнопками, ядро Xray (и HAPP) использует концепцию Outbounds (исходящих подключений).

Чтобы настроить, чтобы сайт A шёл через сервер в США, а сайт B — через сервер в Эстонии, обычных базовых правил недостаточно. Необходимо:

1. Подготовить отдельные исходящие соединения для каждого маршрута.
2. Создать JSON-профиль маршрутизации, который связывает домены с конкретными outbounds.
3. Импортировать этот профиль в HAPP.

HAPP позволяет автоматически подтягивать сложные конфигурации через специальные ссылки-шаблоны. Если вам нужна такая тонкая настройка, обратитесь в поддержку вашего VPN-провайдера — они помогут сгенерировать JSON-шаблон под ваши задачи.

Частые проблемы и их решение

При настройке раздельного туннелирования пользователи часто сталкиваются с типичными ошибками. Вот несколько советов:

• Сайт добавлен через DOMAIN, но видео или изображения не загружаются. Это происходит, когда сервис использует скрытые домены для доставки контента (CDN). Замените правило DOMAIN на GEOSITE с указанием имени сервиса (например, geosite:netflix), чтобы охватить все технические адреса.
• Трафик идёт не по нужному маршруту. Проверьте порядок правил. HAPP читает их сверху вниз, и если общее правило стоит выше конкретного, нижнее правило не сработает. Поднимите нужный блок на самый верх.
• Пропал доступ к локальным устройствам. Убедитесь, что включена опция «Bypass system proxy for local addresses». Если используется режим TUN, добавьте правило GEOIP private → DIRECT.
• Приложение не определяется по PROCESS-NAME. Убедитесь, что вы указали точное имя исполняемого файла, включая расширение (например, Telegram.exe). На macOS и Linux имена процессов могут отличаться.

Вопросы и ответы