Раздельное туннелирование Amnezia VPN на iOS: возможности, ограничения и настройка

Что такое раздельное туннелирование и зачем оно нужно

Раздельное туннелирование (split tunneling) — это функция VPN-клиента, которая позволяет гибко управлять маршрутизацией трафика: часть приложений или адресов работает через зашифрованный туннель, а остальной трафик уходит напрямую через обычное интернет-соединение. Вместо жёсткого правила «весь трафик через VPN» вы получаете возможность описать исключения и точечные правила.

На практике это решает несколько типичных задач. Например, вам нужно, чтобы банковское приложение или сайт госуслуг видели ваш реальный IP-адрес — иначе они блокируют вход или требуют дополнительную верификацию. Или вы хотите направить через VPN только рабочий мессенджер и браузер, а остальной трафик оставить напрямую, чтобы не перегружать канал и не терять скорость. В другом сценарии, наоборот, весь трафик идёт через VPN, но несколько локальных сервисов (например, умный дом или принтер) должны оставаться доступными по локальной сети.

В AmneziaVPN раздельное туннелирование реализовано в двух независимых осях: фильтрация по приложениям и фильтрация по IP-адресам/подсетям. Каждая ось может работать в двух режимах: «только выбранные — через VPN» (include) или «все, кроме выбранных — через VPN» (exclude). Однако доступность этих режимов сильно зависит от операционной системы, и на iOS набор возможностей существенно урезан системными ограничениями.

Особенности iOS: почему разделение по приложениям недоступно

Операционная система iOS имеет строгие ограничения на работу VPN-клиентов. В отличие от Android или Windows, где приложение может перехватывать трафик на уровне отдельных процессов, iOS позволяет VPN-расширениям работать только в двух режимах: либо весь трафик устройства идёт через туннель, либо используется маршрутизация на основе IP-адресов (так называемый split tunnel по сетям).

Это связано с архитектурой iOS: приложения работают в песочнице, и сторонние VPN-клиенты не имеют доступа к списку запущенных процессов или к идентификации трафика по приложению. Система сама решает, как маршрутизировать пакеты, и предоставляет VPN-расширению только возможность задать список подсетей, которые должны идти через туннель, а остальные — напрямую.

Поэтому в AmneziaVPN на iOS доступно только раздельное туннелирование по IP-адресам и подсетям. Режим «по приложениям» отсутствует полностью. Это не особенность конкретного клиента, а ограничение платформы. Даже если вы увидите в интерфейсе упоминание «раздельного туннелирования», имейте в виду: речь идёт только о списках IP-адресов.

Какие режимы раздельного туннелирования доступны на iOS

В AmneziaVPN на iOS доступны два режима раздельного туннелирования по IP-адресам:

1. Только адреса из списка должны открываться через VPN (include). В этом режиме через туннель идёт только трафик к IP-адресам и подсетям, которые вы добавили в список. Весь остальной трафик — напрямую. Это рекомендуемый способ, если вы хотите направить через VPN лишь несколько конкретных сервисов.

1. Адреса из списка не должны открываться через VPN (exclude). Здесь через туннель идёт весь трафик, кроме тех адресов, которые вы указали в списке. Этот режим удобен, когда нужно исключить из VPN локальную сеть, провайдерские ресурсы или отдельные сайты (например, госуслуги).

Оба режима работают только с IPv4-адресами. IPv6 не поддерживается. Это значит, что если сайт или приложение использует только IPv6, оно не попадёт под правила раздельного туннелирования и будет работать либо полностью через VPN, либо полностью напрямую, в зависимости от настроек системы.

Важно понимать: разделение по IP-адресам распространяется не только на сайты, но и на приложения, потому что любое приложение при работе обращается к конкретным IP-адресам. Если вы добавите в список IP-подсети Telegram, то и приложение Telegram, и сайт web.telegram.org будут работать по этому правилу.

Как настроить раздельное туннелирование по IP-адресам на iOS

Настройка раздельного туннелирования в AmneziaVPN на iOS выполняется в несколько шагов. Сначала убедитесь, что у вас установлена актуальная версия приложения с официального сайта amnezia.org или из App Store (если доступно). Затем:

1. Откройте приложение AmneziaVPN и подключитесь к серверу, чтобы убедиться, что обычное соединение работает.
2. Перейдите в настройки активного подключения и найдите раздел «Раздельное туннелирование» (Split tunneling).
3. Выберите режим: «Только адреса из списка должны открываться через VPN» или «Адреса из списка не должны открываться через VPN».
4. Добавьте нужные IP-адреса или подсети в формате CIDR (например, 192.168.0.0/16).
5. Сохраните изменения и переподключите VPN, чтобы правила применились.

Если вы хотите направить через VPN только определённые сервисы, удобно воспользоваться сайтом iplist.opencck.org/ru, который собирает IP-подсети популярных сервисов (YouTube, Discord, Telegram и др.). Выберите нужные сервисы, формат Amnezia и тип данных IPv4 (CIDR), скачайте файл ip-list.json и импортируйте его в приложение через меню с тремя точками. Можно либо добавить импортированные сайты к существующим, либо заменить список полностью.

Обратите внимание: импорт файла доступен не во всех версиях iOS-клиента. Если такой опции нет, придётся добавлять подсети вручную. Для этого можно использовать данные с того же iplist.opencck.org или команду nslookup на компьютере, чтобы узнать IP-адреса нужного домена.

Практические сценарии использования на iOS

Рассмотрим несколько типичных ситуаций, когда раздельное туннелирование на iOS пригодится.

Сценарий 1: Госуслуги и банки без VPN. Если вы хотите, чтобы сайты госуслуг (gosuslugi.ru, mos.ru) и банковские приложения работали без VPN, а весь остальной трафик шёл через туннель, используйте режим «Адреса из списка не должны открываться через VPN». Добавьте в список IP-подсети этих сервисов. Однако найти точные подсети для госуслуг может быть непросто, так как они используют много адресов. Более надёжный способ — настроить режим «Только адреса из списка должны открываться через VPN» и добавить туда все нужные вам сервисы, кроме госуслуг. Тогда госуслуги будут работать напрямую автоматически.

Сценарий 2: Только YouTube через VPN. Если вам нужен доступ к YouTube через VPN, а остальной трафик — напрямую, выберите режим include и добавьте IP-подсети YouTube. На сайте iplist.opencck.org можно найти актуальные подсети. Учтите, что YouTube использует тысячи IP-адресов, и список может быть большим. Импорт файла ip-list.json решит эту проблему.

Сценарий 3: Исключение локальной сети. Если вы находитесь дома и хотите, чтобы весь трафик шёл через VPN, но при этом устройства в локальной сети (например, принтер или NAS) оставались доступны, добавьте в exclude-список стандартные частные подсети: 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, а также 169.254.0.0/16 (link-local) и 100.64.0.0/10 (CGNAT). Это рекомендуемый набор для исключения локальных сетей.

Ограничения и подводные камни раздельного туннелирования на iOS

Несмотря на полезность функции, на iOS есть несколько важных ограничений, о которых стоит знать заранее.

Отсутствие фильтрации по приложениям. Как уже упоминалось, на iOS невозможно выбрать конкретные приложения для работы через VPN или в обход него. Разделение возможно только по IP-адресам. Это значит, что если приложение использует множество разных IP-адресов (например, мессенджер с большим количеством серверов), вам придётся добавлять все эти подсети вручную или через импорт.

Проблема с доменами. Если вы добавите в список просто домен (например, youtube.com), AmneziaVPN разово резолвит его в текущий IPv4-адрес и сохранит его. Этот адрес не обновляется автоматически, поэтому при изменении DNS-записей сайта правило перестанет работать. Для надёжной настройки нужно использовать IP-подсети, а не домены.

Широкие подсети захватывают лишнее. IP-подсети крупных сервисов (YouTube, Discord) могут включать адреса, принадлежащие другим сайтам или сервисам. В результате трафик к несвязанным ресурсам может пойти через VPN, что замедлит доступ или вызовет проблемы с геолокацией. Если это произошло, придётся вручную исключать конфликтующие подсети.

Нет поддержки IPv6. AmneziaVPN поддерживает только IPv4. Если ваш провайдер или сайт использует IPv6, раздельное туннелирование не сможет корректно обработать такой трафик. В некоторых случаях это может привести к тому, что сайт вообще не откроется, если он доступен только по IPv6.

Раздельное туннелирование не работает в Amnezia Free. В бесплатном подключении Amnezia Free функция раздельного туннелирования по IP-адресам недоступна. Она доступна только в платных подписках Amnezia Premium или при использовании собственного сервера (self-hosted).

Как проверить, что раздельное туннелирование работает корректно

После настройки раздельного туннелирования важно убедиться, что трафик распределяется правильно. Вот несколько способов проверки.

1. Проверка внешнего IP-адреса. Откройте сайт проверки IP (например, 2ip.ru или ifconfig.me) в браузере Safari. Если вы настроили режим include и добавили IP-адреса этого сайта в список, вы должны увидеть IP-адрес вашего VPN-сервера. Если сайт не в списке — ваш реальный IP.

1. Проверка через разные приложения. Поскольку на iOS нет разделения по приложениям, проверка через приложения не имеет смысла — все приложения используют одни и те же правила маршрутизации. Но вы можете проверить разные сайты: один, который должен идти через VPN, и другой, который должен идти напрямую.

1. Использование команды nslookup. На компьютере можно выполнить nslookup для домена, чтобы узнать его IP-адреса, и убедиться, что они есть в вашем списке. Однако помните, что IP-адреса могут меняться, поэтому проверка актуальна только на момент настройки.

1. Логи приложения. В AmneziaVPN есть раздел с логами, где можно увидеть, какие соединения устанавливаются. Это поможет понять, идёт ли трафик через туннель. Однако логи могут быть перегружены технической информацией, поэтому для новичков проще использовать проверку IP.

Если вы обнаружили, что трафик идёт «не туда», в первую очередь проверьте:

• Правильно ли выбран режим (include/exclude).
• Переподключили ли вы VPN после изменения списка.
• Актуальны ли IP-подсети (возможно, сервис сменил адреса).
• Не попадают ли нужные адреса в конфликтующие подсети.

Альтернативы раздельному туннелированию на iOS

Поскольку на iOS невозможно настроить разделение по приложениям, пользователям приходится искать обходные пути. Вот несколько альтернатив, которые могут помочь достичь похожего результата.

Использование нескольких VPN-профилей. Вы можете создать несколько конфигураций AmneziaVPN с разными правилами раздельного туннелирования и переключаться между ними вручную. Например, один профиль для работы (весь трафик через VPN), другой для дома (только нужные сервисы через VPN). Это не автоматическое разделение, но позволяет гибко менять поведение.

Настройка на роутере. Если вам нужно, чтобы одни устройства (например, компьютер) работали через VPN, а другие (iPhone) — напрямую, можно настроить VPN на роутере. AmneziaVPN поддерживает установку на роутеры Keenetic, OpenWrt и другие. Тогда разделение будет на уровне устройств, а не приложений.

Использование прокси-сервера. AmneziaVPN позволяет настроить SOCKS5-прокси на сервере. Вы можете настроить прокси в отдельных приложениях на iOS (если они поддерживают прокси), но большинство приложений не дают такой возможности. Этот способ подходит для браузеров с поддержкой прокси.

Использование другого VPN-клиента. Некоторые VPN-клиенты на iOS предлагают раздельное туннелирование по приложениям, но это обычно работает через системный VPN-конфиг с ограничениями. Например, некоторые корпоративные VPN-решения используют специальные API, но для обычных пользователей это недоступно. AmneziaVPN в этом плане честно ограничен системой.

Ручное переключение. Самый простой способ — вручную включать и выключать VPN, когда нужно. Это не автоматическое разделение, но для редких случаев (например, раз в день зайти в госуслуги) вполне приемлемо.

Частые ошибки при настройке и как их избежать

Пользователи часто допускают одни и те же ошибки при настройке раздельного туннелирования на iOS. Разберём самые распространённые.

Ошибка 1: Перепутаны режимы include и exclude. Если вы хотели, чтобы только YouTube шёл через VPN, а выбрали режим «Адреса из списка не должны открываться через VPN» и добавили YouTube, то получите обратный эффект: весь трафик пойдёт через VPN, кроме YouTube. Внимательно проверяйте формулировку пунктов меню.

Ошибка 2: Не переподключили VPN после изменения списка. Правила маршрутизации применяются при установке соединения. Если вы изменили список, но не переподключились, старые правила останутся в силе. Всегда отключайте и снова включайте VPN после правок.

Ошибка 3: Добавление домена вместо IP-подсети. Как уже говорилось, домен резолвится один раз и не обновляется. Если сайт сменит IP-адрес, правило перестанет работать. Используйте подсети CIDR, а не домены.

Ошибка 4: Игнорирование IPv6. Если ваш провайдер использует IPv6, а сайт доступен по IPv6, раздельное туннелирование может не сработать, и сайт будет открываться напрямую или через VPN независимо от списка. Проверьте, отключён ли IPv6 в настройках VPN или используйте сайты, поддерживающие IPv4.

Ошибка 5: Слишком широкие подсети. Добавление огромных подсетей (например, 0.0.0.0/0) фактически отключает раздельное туннелирование. Используйте только те подсети, которые действительно нужны.

Ошибка 6: Попытка настроить разделение по приложениям. На iOS это невозможно. Если вы ищете такую опцию в настройках и не находите, это не баг — это ограничение платформы.

Заключение: стоит ли использовать раздельное туннелирование на iOS

Раздельное туннелирование в AmneziaVPN на iOS — полезная функция, но с существенными ограничениями. Она позволяет гибко управлять маршрутизацией по IP-адресам, что решает многие задачи: доступ к локальным сервисам, обход гео-блокировок для отдельных сайтов, экономия трафика и повышение скорости.

Однако отсутствие фильтрации по приложениям делает функцию менее удобной по сравнению с Android или Windows. Если вам критично разделять трафик именно по приложениям, стоит рассмотреть использование другого устройства или альтернативные подходы, описанные выше.

Перед настройкой обязательно обновите приложение до актуальной версии, скачивайте клиент только с официальных источников (amnezia.org, GitHub) и помните, что раздельное туннелирование недоступно в бесплатном тарифе Amnezia Free. Для большинства пользователей оптимальным решением будет использование режима include с импортом готовых списков IP-подсетей с iplist.opencck.org.

Если вы столкнулись с проблемами, проверьте логи приложения, переподключите VPN и сверьтесь с официальной документацией docs.amnezia.org. Помните, что настройка раздельного туннелирования — это итеративный процесс: возможно, потребуется несколько попыток, чтобы подобрать правильные подсети и режимы.

Вопросы и ответы