Маршрутизация в INCY: как настроить правила для VPN-трафика

Что такое маршрутизация в INCY и зачем она нужна

Маршрутизация в INCY — это набор правил, которые определяют, как клиент обрабатывает каждый домен или IP-адрес. Вместо того чтобы гнать весь трафик через VPN-сервер, вы можете указать, какие ресурсы открывать напрямую, какие через прокси, а какие блокировать. Это даёт гибкость: например, российские банки и госуслуги часто требуют подключения с локального IP, иначе они показывают капчу или блокируют вход. С другой стороны, зарубежные сервисы вроде YouTube или Telegram могут быть недоступны без прокси.

INCY поддерживает три результата обработки трафика: DIRECT (напрямую), PROXY (через прокси) и BLOCK (заблокировать). Правила можно задавать по доменам, IP-адресам, подсетям и географическим категориям. За поведение трафика, который не совпал ни с одним правилом, отвечает параметр GlobalProxy. Если он установлен в true, весь нераспознанный трафик идёт через прокси; если false — напрямую. Это позволяет реализовать два базовых сценария: «всё через прокси, кроме локального» или «только выбранные сервисы через прокси».

Важно понимать: DIRECT-трафик не использует IP-адрес прокси-сервера, поэтому для таких ресурсов снижается приватность, но зато сохраняется доступ к локальным устройствам и сервисам, которые требуют российский IP. Маршрутизация особенно полезна, когда нужно совместить доступ к зарубежным сервисам и стабильную работу с отечественными сайтами.

Подготовка к настройке: что нужно знать перед началом

Прежде чем приступать к настройке маршрутизации, убедитесь, что выполнены несколько условий. Во-первых, INCY должен быть установлен из официального магазина или репозитория — это гарантирует отсутствие вредоносных модификаций. Во-вторых, у вас уже должен быть добавлен рабочий сервер или подписка. INCY — это клиент, а не поставщик VPN-серверов, поэтому без действующего подключения маршрутизация не имеет смысла.

Проверьте, что без пользовательского профиля маршрутизации соединение устанавливается и сайты открываются. Если это не так, сначала решите проблему с подключением, а уже потом переходите к правилам. Также важно понимать, какую схему вы хотите реализовать: полный туннель, локальные ресурсы напрямую или только выбранные сервисы через прокси. От этого зависит, какие поля заполнять.

Безопасность: профиль маршрутизации может задавать DNS-серверы, загружать geoip/geosite-файлы и отправлять домены в блокировку. Не импортируйте случайные сокращённые ссылки и профили из непроверенных источников — это может привести к утечке трафика или блокировке нужных ресурсов. Используйте только ссылки от доверенных поставщиков.

Быстрый импорт готового профиля: ссылки и QR-коды

Самый простой способ настроить маршрутизацию — импортировать готовый профиль, который создал поставщик подписки. Для этого нужно скопировать полную ссылку, которая обычно начинается с incy://routing/ или incy://autorouting/. Важно не обрезать символы в конце и не добавлять пробелы — иначе профиль не распознается.

Перед импортом рекомендуется временно отключить туннель, чтобы загрузка геофайлов не прервалась из-за старых правил. Затем откройте ссылку в INCY: нажмите на неё, отсканируйте QR-код или выберите импорт из буфера обмена. После подтверждения импорта дождитесь сообщения об успешном добавлении и, если требуется, загрузки геофайлов. Проверьте, что активен именно новый профиль, и подключитесь к серверу.

Существуют разные типы ссылок: incy://routing/add/ добавляет статический профиль, incy://routing/onadd/ добавляет и активирует его, а incy://autorouting/onadd/ скачивает профиль по URL, включает автообновление и активирует. Статический профиль обновляется только при повторном импорте, а автороутинг автоматически подтягивает изменения с источника.

Настройка маршрутизации на Android и iOS

На Android путь к списку профилей обычно такой: Настройки → Туннель → Маршрутизация. Точное расположение кнопок может немного отличаться в зависимости от версии, но раздел «Маршрутизация» находится внутри настроек туннеля. Чтобы импортировать профиль, скопируйте ссылку или подготовьте QR-код, затем откройте вкладку «Серверы» и используйте кнопку добавления/импорта из буфера. После подтверждения импорта перейдите в «Настройки» → «Туннель» → «Маршрутизация», включите переключатель «Профили маршрутизации», если он есть, и выберите нужный профиль. Красный восклицательный знак означает ошибку загрузки geoip/geosite-файлов — в этом случае проверьте подключение к интернету и попробуйте обновить профиль.

На iOS и iPadOS путь немного другой: Настройки → Туннель → Профили маршрутизации → Маршрутизация → Настроить. Включите «Профили маршрутизации», затем нажмите «Настроить» и выберите «Импорт профиля». Вставьте полный deeplink и нажмите «Импортировать». После этого выберите новый профиль и убедитесь, что он активен. При первом подключении iOS может запросить разрешение на добавление VPN-конфигурации — разрешите его. Если профиль прислан активной ссылкой, можно просто нажать на неё в Safari или мессенджере и разрешить открыть INCY, но всё равно проверьте активный профиль в настройках.

Настройка на Windows, macOS и Linux

Настольная версия INCY также поддерживает профили маршрутизации, правила по доменам/IP и пользовательские геофайлы. Названия разделов могут отличаться от мобильных версий, но ориентир — Настройки → Туннель или Сеть → Маршрутизация / Routing profiles. Откройте настройки приложения, найдите раздел туннеля или сети, выберите импорт профиля и вставьте deeplink, ссылку на автороутинг или данные, предоставленные администратором.

После импорта дождитесь загрузки геофайлов — если профиль использует внешние geoip.dat/geosite.dat, первая загрузка может занять некоторое время. Активируйте профиль, проверьте его имя и отсутствие сообщений об ошибках. Затем перезапустите соединение: отключите и снова подключите туннель, чтобы новые правила точно применились.

Важное отличие десктопной версии: опция useChunkFiles, которая сокращает геофайлы на Android и iOS, в текущей реализации игнорируется. Поэтому настольный клиент использует полные .dat-файлы, что может увеличить потребление памяти, но не влияет на функциональность.

Создание профиля вручную: поля и примеры

Если готового профиля нет или нужно небольшое исключение, можно создать профиль вручную. Начните с выбора базового режима GlobalProxy. Для сценария «локальные ресурсы напрямую, всё остальное через прокси» установите true и добавьте локальные домены/IP в DirectSites и DirectIp. Для сценария «только отдельные сервисы через прокси» установите false и добавьте нужные домены/IP в ProxySites и ProxyIp. Для полного туннеля оставьте Direct минимальным, но локальные подсети можно сохранить напрямую.

Основные поля: DirectSites — домены и категории для прямого доступа (например, example.com; geosite:ru), DirectIp — IP-адреса и подсети (например, 192.168.0.0/16; geoip:ru), ProxySites — домены через прокси, ProxyIp — IP через прокси, BlockSites и BlockIp — для блокировки. Geo-категории вида geosite:имя или geoip:имя работают только если выбранные geo-файлы содержат такую категорию. Если категория неизвестна, профиль может не дать ожидаемый результат.

Чтобы не потерять доступ к домашней сети, добавьте в DirectIp частные диапазоны: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16. Также настройте DNS: Remote DNS используется для трафика через прокси, Domestic DNS — для прямого. Поддерживаются DoH и DoU. Если вы не уверены в DNS-параметрах, оставьте значения по умолчанию или используйте настройки из проверенного профиля поставщика.

Готовые профили для типовых сценариев

Для типовых задач можно использовать готовые профили, которые распространяются через ссылки-команды. Например, профиль «Россия напрямую» направляет российские сайты (зоны .ru, .su, .рф, .moscow, .tatar) и домашнюю сеть напрямую, а всё остальное — через туннель. Это самый спокойный вариант для пользователей, которые хотят, чтобы банки, госуслуги и маркетплейсы работали без капчи, а YouTube и Telegram были доступны.

Профиль «Россия и игры» добавляет к этому прямые пути для игровых сервисов (Steam, Epic Games, Riot, Escape from Tarkov, Faceit, Twitch) и обновлений Windows/Apple, а также блокирует рекламу, трекеры и телеметрию. Это удобно для геймеров, которым важен низкий пинг в матчах и быстрая загрузка патчей.

Профиль «Только банки и госуслуги» — обратный подход: из туннеля выведены только банки, госсервисы и домашняя сеть, а весь остальной трафик, включая .ru-сайты, идёт через прокси. Это максимум приватности, но может вызвать проблемы с Ozon, Яндексом или РЖД, если они требуют российский IP. Профиль «Точный список блокировок» использует реальные списки РКН: в туннель уходит только то, что действительно заблокировано, а сервисы, доступные только из России, остаются напрямую. Базы таких профилей тяжелее (около 5 МБ), но они точнее.

Автообновляемая маршрутизация и обновление профилей

Автороутинг — это механизм, который привязывает профиль маршрутизации к URL-источнику и автоматически обновляет его. Это удобно, если правила часто меняются, например, при изменении списков блокировок. Ссылка incy://autorouting/onadd/ скачивает профиль по URL, включает автообновление и активирует его. При обновлении подписки или профиля INCY проверяет поле LastUpdated (Unix timestamp) и обновляет профиль, если новая метка времени больше сохранённой.

Профили с одинаковым полем Name обновляются, а не дублируются. Это важно, если вы импортируете обновлённую версию профиля от поставщика — она заменит старую. Если профиль передаётся через HTTP-заголовок routing или тело подписки, он также может обновляться при обновлении подписки. Для автороутинга нужно, чтобы URL был доступен и возвращал актуальный JSON-профиль.

При обновлении геофайлов INCY использует хеш-проверку: скачивается файл .sha256, и если хеш совпадает с сохранённым, скачивание пропускается. Это экономит трафик. Если файл .sha256 недоступен, используется сравнение временных меток LastUpdated. Рекомендуется размещать файлы geoip.dat.sha256 и geosite.dat.sha256 рядом с геофайлами для оптимизации.

Проверка результата и устранение неполадок

После настройки маршрутизации важно проверить, что правила работают корректно. Подключитесь к серверу и выполните тесты: откройте один ресурс, который должен идти напрямую (например, российский банк), и один, который должен идти через прокси (например, YouTube). Если ресурс, который должен идти напрямую, открывается через прокси, проверьте, что он добавлен в DirectSites или DirectIp, и что GlobalProxy не переопределяет его. Если ресурс, который должен идти через прокси, не открывается, убедитесь, что он есть в ProxySites или ProxyIp, и что DNS настроен правильно.

Типичные проблемы: красный восклицательный знак в списке профилей означает ошибку загрузки geoip/geosite-файлов. Проверьте подключение к интернету и попробуйте обновить профиль. Если профиль не активируется, возможно, ссылка была обрезана или содержит лишние символы. Если после импорта профиля перестали открываться локальные ресурсы, добавьте частные диапазоны в DirectIp.

Если что-то пошло не так, можно откатить настройки: удалите профиль маршрутизации или отключите его, чтобы вернуться к стандартному поведению. Также полезно проверить, что основное подключение работает без профиля — это поможет понять, проблема в маршрутизации или в самом VPN-соединении.

Справочник полей профиля маршрутизации

Для продвинутых пользователей полезно знать все поля профиля. Основные: Name — имя профиля, GlobalProxy — режим для нераспознанного трафика (true/false), RouteOrder — порядок применения правил (например, block-proxy-direct). DNS-настройки: RemoteDNSType, RemoteDNSDomain, RemoteDNSIP — для проксируемых ресурсов; DomesticDNSType, DomesticDNSDomain, DomesticDNSIP — для прямых. DnsHosts — ручные соответствия «домен → IP», аналог hosts-файла. FakeDNS — если true, подставляет виртуальные IP, чтобы ядро обрабатывало запросы по правилам.

Правила: DirectSites, DirectIp, ProxySites, ProxyIp, BlockSites, BlockIp. Поддерживаются гео-категории (geosite:ru, geoip:ru), конкретные домены и IP/CIDR-подсети. DomainStrategy определяет порядок проверки: IPIfNonMatch — сначала проверка по домену, если не совпало — резолв DNS и проверка по IP; AsIs — всегда резолвит домены в IP перед проверкой.

Геофайлы: Geoipurl и Geositeurl — URL для скачивания geoip.dat и geosite.dat. UseChunkFiles — если true, клиент обрезает файлы до нужных тегов (на Android/iOS). LastUpdated — Unix timestamp для контроля обновлений. Понимание этих полей позволяет создавать сложные профили с точной настройкой.

Вопросы и ответы