Раздельное туннелирование: как пустить приложения мимо VPN

Схем две:

VPN-подключения, созданные средствами Windows, с включённым раздельным туннелированием работают по второй схеме: через туннель идёт только трафик к сети компании, остальное идёт напрямую.

Исключить приложение целиком можно на Android и на компьютере:

• Android. Система позволяет VPN-приложению вести один из двух списков: приложения, которым разрешён VPN (остальные идут напрямую), или приложения, которые работают так, будто VPN выключен. Оба списка сразу вести нельзя. В Happ это раздел «Прокси для выбранных приложений» с тремя режимами: выключено (всё через VPN), через VPN только отмеченные, отмеченные напрямую. Список Android применяет при новом подключении, поэтому после правки переподключитесь.
• Windows и macOS. В Happ для компьютера есть прокси для приложений (Per-App Proxy). Там тоже два варианта: отправить выбранные программы напрямую или пустить через VPN только их.
• iPhone и iPad. Здесь исключить приложение нельзя: iOS разрешает VPN для отдельных приложений только на устройствах, которыми управляет организация. На личном iPhone раздельное туннелирование настраивают по адресам.

Если исключить приложение нужно из-за просьбы банка или маркетплейса, подробности для Сбера, Т-Банка и Госуслуг собраны в статье банк или маркетплейс просит отключить VPN.

Правила для адресов в Happ живут в разделе маршрутизации. Каждое правило отправляет адрес в один из списков:

• прямое подключение (Direct): сайт или подсеть идут без VPN;
• через VPN (Proxy): адрес идёт через сервер VPN;
• отдельный список для рекламы и трекеров: такие соединения Happ отсекает.

Всё, что не попало в списки, решает переключатель «Глобальный прокси». Если он включён, остальной трафик идёт через VPN: это схема «всё, кроме исключений», и её стоит оставить. Если его выключить, всё, что не вписано в Proxy, пойдёт напрямую, без шифрования VPN.

Что можно вписывать:

• адрес сайта без https:// и www, например gosuslugi.ru: правило сработает и для поддоменов вроде esia.gosuslugi.ru;
• подсеть в виде 192.168.1.0/24, если нужно исключить диапазон адресов.

У сайтов из прямого списка Happ и адрес узнаёт напрямую, а для остальных DNS-запросы идут через туннель. Зачем это нужно, рассказано в статье что такое DNS и как проверить утечку.

Универсальный список из интернета не нужен. В прямое подключение стоит вносить только то, что просит выключить VPN или должно работать внутри домашней сети:

• ваш банк: основной адрес сайта, например sberbank.ru или tbank.ru;
• Госуслуги: gosuslugi.ru;
• маркетплейсы, которыми пользуетесь: ozon.ru, wildberries.ru;
• домашняя сеть: принтер, роутер, медиасервер.

С домашней сетью обычно ничего делать не нужно: в профиле маршрутизации Happ по умолчанию локальные диапазоны вроде 192.168.0.0/16 и 10.0.0.0/8 уже стоят в прямом подключении. Если принтер или роутер не отвечают при включённом VPN, впишите подсеть домашней сети в прямое подключение сами.

В Happ встроены и готовые наборы адресов (геофайлы). На них ссылаются профили маршрутизации, которые провайдер может прислать вместе с подпиской, так что вручную разбираться с ними не обязательно.

Правила и списки применяются после переподключения на любом устройстве. Если у вашей подписки правила маршрутизации не редактируются или нужного раздела нет, напишите в поддержку Vista через /support в боте: подскажем, как настроить исключения на вашем устройстве. Роутер для Vista тоже настраивают вместе с поддержкой.

Проверить, что после настройки VPN по-прежнему работает для остального трафика, можно по инструкции как проверить, работает ли VPN.