Amnezia VPN: раздельное туннелирование приложений и адресов

Что такое раздельное туннелирование и зачем оно нужно

Раздельное туннелирование (split tunneling) — это функция VPN-клиента, которая позволяет гибко управлять маршрутизацией трафика: часть данных уходит через зашифрованный туннель, а часть — напрямую через ваше интернет-соединение. Вместо жёсткого правила «весь трафик через VPN» вы получаете возможность описать исключения.

В AmneziaVPN раздельное туннелирование реализовано в двух независимых осях: по приложениям и по IP-адресам/подсетям. Каждая ось поддерживает две логики списка: «только выбранные» (include) — через туннель идёт лишь то, что в списке, и «все, кроме выбранных» (exclude) — весь трафик идёт через туннель, кроме указанного.

Практическая ценность функции огромна. Например, вы можете оставить банк-клиент или сайт госуслуг вне VPN, чтобы они видели ваш реальный IP и не блокировали доступ. Или, наоборот, направить через туннель только рабочий браузер и мессенджер, а остальной трафик — напрямую, чтобы не перегружать VPN-сервер. Раздельное туннелирование также помогает обойти ограничения на торренты: в AmneziaVPN торрент-трафик ограничен на всех локациях, кроме Швейцарии, поэтому пользователи часто исключают торрент-клиент из туннеля.

Важно понимать, что разделение трафика — это клиентская функция. Сервер VPN принимает только те пакеты, которые ему отправляет клиент, и не знает о существовании прямых соединений. Поэтому одна и та же конфигурация WireGuard или AmneziaWG на разных устройствах может вести себя по-разному: списки приложений и адресов хранятся локально на каждом клиенте.

Доступность функции на разных платформах

Возможности раздельного туннелирования в AmneziaVPN сильно зависят от операционной системы. На Android доступны оба варианта — и по приложениям, и по IP-адресам, причём для каждого варианта есть обе логики списка (include и exclude). Это делает Android самой гибкой платформой.

На Windows также доступны оба варианта, но с ограничением: по приложениям работает только режим исключений (выбранные приложения идут без VPN), а обратный режим (только выбранные через VPN) недоступен. По IP-адресам оба режима работают.

На iOS, macOS и Linux раздельное туннелирование доступно только по IP-адресам/подсетям, и только в двух режимах: «только адреса из списка через VPN» или «адреса из списка не через VPN». Фильтрация по приложениям на этих платформах невозможна из-за ограничений операционных систем.

Эта таблица наглядно показывает различия:

| Платформа | По IP: через VPN | По IP: без VPN | По приложениям: через VPN | По приложениям: без VPN | |-----------|------------------|----------------|---------------------------|-------------------------| | Android | ✅ | ✅ | ✅ | ✅ | | Windows | ✅ | ✅ | ❌ | ✅ | | iOS | ✅ | ✅ | ❌ | ❌ | | macOS | ✅ | ✅ | ❌ | ❌ | | Linux | ✅ | ✅ | ❌ | ❌ |

Если вам нужна фильтрация по приложениям на десктопе, используйте Windows. На Linux и macOS придётся довольствоваться IP-адресами, что, впрочем, тоже эффективно, если правильно подобрать подсети.

Раздельное туннелирование по IP-адресам: как это работает

Режим по IP-адресам работает на уровне сетевых маршрутов: вы указываете конкретные IPv4-адреса или подсети в формате CIDR, и клиент решает, заворачивать ли пакеты к этим адресам в туннель. Важно: AmneziaVPN поддерживает только IPv4, IPv6 не обрабатывается.

Этот режим универсален: он влияет не только на сайты, но и на приложения, поскольку любое приложение при работе обращается к конкретным IP-адресам. Например, если добавить IP-подсети Telegram, правило подействует и на веб-версию, и на десктопный клиент, и на мобильное приложение.

Однако есть нюанс: крупные сервисы, такие как YouTube или Discord, используют тысячи IP-адресов. Если добавить только домен (например, youtube.com), клиент разово резолвит его в текущий IPv4-адрес, который не обновляется автоматически. Этого недостаточно для стабильной работы. Поэтому для настройки нужно использовать списки IP-подсетей, например, с сайта iplist.opencck.org/ru, который предоставляет готовые списки в формате Amnezia.

При использовании широких подсетей будьте осторожны: они могут захватывать IP-адреса несвязанных сервисов. Например, подключение к игровому серверу может случайно пойти через VPN. Если это произошло, нужно выяснить, к каким адресам обращается приложение (через Монитор ресурсов Windows или TCPView) и исключить конфликтующие подсети.

Как настроить разделение по IP-адресам: пошаговая инструкция

Рассмотрим настройку режима «Только адреса из списка должны открываться через VPN» — это рекомендуемый способ для Windows, iOS, macOS и Linux, когда нужно направить через туннель лишь несколько сервисов.

Перейдите на сайт iplist.opencck.org/ru, выберите формат Amnezia и тип данных IPv4 (CIDR).
Отметьте нужные сайты или разделы (например, Discord, YouTube, Telegram).
Внизу страницы поставьте галочку «Сохранить как файл» и нажмите «Отправить» — скачается файл ip-list.json.
В приложении AmneziaVPN откройте параметры раздельного туннелирования сайтов и выберите вариант «Только адреса из списка должны открываться через VPN».
Нажмите на значок ⋮ (три точки) и выберите способ импорта: «Добавить импортированные сайты к существующим» или «Заменить список с сайтами».
Укажите скачанный файл ip-list.json, включите раздельное туннелирование и подключитесь к VPN.

Режим «Адреса из списка не должны открываться через VPN» рекомендуется использовать только для исключения локальных/провайдерских сетей. Чтобы оставить без VPN такие сайты, как госуслуги, лучше пойти от обратного: настроить список адресов, которые идут через VPN, или исключить отдельный браузер через режим по приложениям (на Windows/Android).

Если вы всё же хотите использовать режим исключений для конкретных сайтов, добавьте в список их IP-адреса, полученные через nslookup. Например, для госуслуг: nslookup gosuslugi.ru, nslookup esia.gosuslugi.ru, nslookup lk.gosuslugi.ru, nslookup pos.gosuslugi.ru. Но помните, что у сайтов может быть много IP-адресов, и их нужно добавлять все.

Раздельное туннелирование по приложениям на Android и Windows

На Android разделение по приложениям работает в обе стороны: вы можете выбрать, какие приложения идут через VPN, а какие — в обход. Это удобно, когда нужно защитить только мессенджеры или браузер, а игры и торренты оставить на прямом соединении.

На Windows доступен только режим исключений: вы добавляете исполняемые файлы (.exe) приложений, которые должны работать без VPN. Второй режим (только выбранные через VPN) недоступен. Чтобы добавить приложение, нажмите «+» в разделе раздельного туннелирования приложений и выберите .exe-файл.

Как найти нужный файл? Рекомендуется использовать портативную программу AppNetworkCounter от NirSoft. Она показывает все процессы, выходящие в интернет, и путь к их исполняемым файлам. Дважды кликните по процессу и скопируйте значение Application Path.

Если после добавления файла приложение всё равно работает через VPN, значит, оно использует дополнительные файлы, которые не имеют постоянного сетевого подключения и не отображаются в AppNetworkCounter. В таком случае поищите в интернете информацию по запросу «split tunneling название_приложения» — возможно, кто-то уже сталкивался с этой проблемой и подскажет, какие ещё файлы нужно добавить.

Какие приложения чаще всего исключают из VPN

Опыт пользователей показывает, что чаще всего в раздельное туннелирование на Windows добавляют:

Торрент-клиенты — чтобы скачивать и раздавать файлы на любой локации, так как торрент-трафик ограничен на всех серверах AmneziaVPN, кроме Швейцарии.
Дополнительный браузер — чтобы иметь выход в интернет через основное подключение, не отключая VPN для остальных приложений. Это удобно, если вы не хотите настраивать разделение по IP-адресам.
Игровые онлайн-сервисы (Steam, Epic Games, Battle.net) — чтобы при скачивании игр использовать максимальную скорость вашего тарифа, не упираясь в ограничения VPN-сервера.
Альтернативный VPN-клиент — например, корпоративный VPN, который должен работать параллельно с AmneziaVPN.

Обратите внимание: при одновременном использовании с AmneziaVPN корректная работа некоторых VPN-клиентов (AnyConnect, OpenConnect) не гарантируется. Это связано с конфликтами сетевых драйверов.

Также есть приложения, которые невозможно исключить из VPN через режим по приложениям: это приложения из Microsoft Store и некоторые игры с античитом (Battlefield 6, Valorant, League of Legends). Для них используйте разделение по IP-адресам — это единственный способ заставить их работать в обход туннеля.

Практический пример: как играть без VPN и пользоваться Discord

Частая задача: играть в онлайн-игру с минимальным пингом (без VPN), но при этом иметь доступ к Discord, который в России заблокирован. Решение — направить через VPN только IP-адреса Discord.

Перейдите на сайт iplist.opencck.org/ru, выберите формат Amnezia и тип данных IPv4.
Поставьте галочку возле раздела Discord.
Внизу страницы поставьте галочку «Сохранить как файл» и нажмите «Отправить».
В AmneziaVPN откройте раздельное туннелирование сайтов и выберите вариант «Только адреса из списка должны открываться через VPN».
Нажмите ⋮ и выберите «Заменить список с сайтами».
Импортируйте скачанный файл ip-list.json, включите раздельное туннелирование и подключитесь к VPN.

Теперь весь трафик, кроме Discord, идёт напрямую, а Discord — через туннель. Игра будет работать с обычным пингом, а Discord — доступен.

Аналогично можно настроить доступ к другим заблокированным сервисам, например, к YouTube или Instagram, оставив остальной трафик вне VPN. Это экономит трафик и снижает нагрузку на VPN-сервер.

Почему раздельное туннелирование не работает и как это исправить

Самые частые проблемы и их решения:

Трафик идёт «не туда» — скорее всего, перепутана логика списка (include/exclude). Проверьте, какой режим вы выбрали: «только выбранные» или «все, кроме выбранных». Переключите на противоположный и переподключите VPN.
Изменения не применились — новые правила маршрутизации вступают в силу только после переподключения VPN. Отключите и снова включите соединение.
Нужного приложения нет в списке — обновите список приложений в клиенте; на десктопе добавьте приложение по исполняемому файлу вручную.
Раздела split tunneling нет в меню — устаревшая версия клиента или платформа с ограничениями (iOS). Обновите AmneziaVPN с официального сайта amnezia.org или из GitHub.
Канал вообще не поднимается — проблема не в разделении, а в подключении. Проверьте коды ошибок: 1100 (не удалось получить конфигурацию из API), 1108 (превышен лимит устройств), 300/305 (проблемы связи с сервером по SSH).

Для проверки правильности настройки:

Откройте сайт проверки IP (например, 2ip.ru) в приложении, которое должно идти через VPN, — IP должен принадлежать вашему VPN-серверу.
В приложении, которое должно идти напрямую, IP должен быть вашим реальным.
Убедитесь, что после последней правки вы переподключили VPN.

Ограничения и важные нюансы

Раздельное туннелирование в AmneziaVPN имеет ряд ограничений, о которых стоит знать заранее:

IPv6 не поддерживается — весь трафик IPv6 будет идти напрямую, что может привести к утечкам. Рекомендуется отключить IPv6 на устройстве или в настройках сети.
В подключении Amnezia Free раздельное туннелирование по IP-адресам недоступно — эта функция доступна только в платных тарифах или на собственном сервере.
Списки IP-адресов не обновляются автоматически — если вы добавили домен вручную, он резолвится один раз. Для актуальных списков используйте iplist.opencck.org.
Широкие подсети могут захватывать лишнее — например, подсеть YouTube может включать адреса Google, что приведёт к маршрутизации части трафика через VPN.
Разделение по приложениям не работает для UWP-приложений (из Microsoft Store) и некоторых игр с античитом.
Сервер не знает о разделении — решение принимает только клиент, поэтому конфигурация на разных устройствах может вести себя по-разному.

Также важно помнить о безопасности: если вы исключаете приложение из VPN, его трафик идёт в открытом виде через вашего провайдера. Не исключайте чувствительные приложения (банки, почту) при использовании публичного Wi-Fi.

Советы по оптимальной настройке

Чтобы получить максимум от раздельного туннелирования, следуйте этим рекомендациям:

Определите цель: что именно вы хотите защитить или исключить. Если нужно провести через VPN 2–3 сервиса, используйте режим include по IP-адресам. Если нужно исключить пару локальных сервисов, используйте exclude.
Для локальных сетей (банк-клиент, принтер, NAS) всегда добавляйте в исключения стандартные подсети: 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 169.254.0.0/16, 100.64.0.0/10, 224.0.0.0/4. Это предотвратит попытки VPN-клиента маршрутизировать локальный трафик через туннель.
Используйте готовые списки с iplist.opencck.org — они регулярно обновляются и содержат актуальные подсети популярных сервисов.
На Windows для исключения браузера добавьте его .exe-файл в раздельное туннелирование приложений — это проще, чем настраивать IP-адреса для всех сайтов.
Проверяйте после каждой настройки — переподключайте VPN и проверяйте IP в разных приложениях.
Обновляйте клиент — новые версии AmneziaVPN часто исправляют ошибки маршрутизации и добавляют функции.

Помните, что раздельное туннелирование — это мощный инструмент, но он требует вдумчивого подхода. Неправильная настройка может привести к утечке трафика или неработоспособности некоторых сервисов. Всегда тестируйте изменения.

Вопросы и ответы

Что такое раздельное туннелирование в Amnezia VPN?

Раздельное туннелирование (split tunneling) — это функция, которая делит трафик устройства на два потока: часть идёт через зашифрованный канал Amnezia, а часть — напрямую, минуя туннель. Вы задаёте правило: либо через канал пускаются только выбранные приложения или адреса, либо всё, кроме выбранных. Это удобно, когда часть трафика должна идти локально (банк-клиент, локальная сеть), а часть — через защищённый канал.

На каких платформах работает раздельное туннелирование по приложениям?

Раздельное туннелирование по приложениям доступно на Android (оба режима: через VPN и без VPN) и на Windows (только режим исключений — выбранные приложения работают без VPN). На iOS, macOS и Linux фильтрация по приложениям невозможна, доступно только разделение по IP-адресам. Актуальный статус для вашей версии смотрите в официальной документации docs.amnezia.org.

Почему раздельное туннелирование Amnezia не работает?

Чаще всего причина в перепутанной логике списка: вы включили «только выбранные», ожидая логику «все, кроме выбранных», или наоборот. Вторая частая причина — изменения не применились: после правки списка нужно переподключить VPN. Также проверьте, что нужное приложение реально добавлено в список и что у вас актуальная версия клиента с amnezia.org.

Чем отличается режим по приложениям от режима по IP-адресам?

Режим по приложениям фильтрует трафик по программе-источнику: например, через канал идёт только выбранный браузер. Режим по IP-адресам фильтрует по адресу назначения: например, через канал идут только запросы к IP-адресам Discord. Режим по IP-адресам универсален — он влияет на все приложения, которые обращаются к указанным адресам, включая сайты и приложения.

Можно ли исключить торрент-клиент из VPN в Amnezia?

Да, на Windows и Android это можно сделать через раздельное туннелирование по приложениям: добавьте исполняемый файл торрент-клиента в список исключений (режим «без VPN»). На других платформах придётся использовать разделение по IP-адресам, но это сложнее, так как торрент-клиент обращается к множеству случайных адресов. Учтите, что торрент-трафик ограничен на всех локациях AmneziaVPN, кроме Швейцарии.

Как проверить, что раздельное туннелирование настроено правильно?

Откройте сайт проверки IP (например, 2ip.ru) в приложении, которое должно идти через VPN, — IP должен принадлежать вашему VPN-серверу. В приложении, которое должно идти напрямую, IP должен быть вашим реальным. Также убедитесь, что вы переподключили VPN после изменения настроек, иначе старые правила останутся в силе.