VPN для конкретных сайтов: настройка выборочной маршрутизации трафика

Зачем нужен VPN для отдельных сайтов

Обычный VPN-клиент направляет весь интернет-трафик через зашифрованный туннель. Это удобно, когда нужно скрыть всю активность, но часто приводит к избыточному расходу трафика, снижению скорости и проблемам с доступом к локальным сервисам. Выборочная маршрутизация решает эти задачи: через VPN идут только запросы к определённым сайтам или приложениям, а остальной трафик остаётся в обычном канале.

Такой подход особенно полезен, если вы работаете с зарубежными стриминговыми платформами, мессенджерами или облачными сервисами, которые недоступны напрямую, но при этом хотите сохранить быстрый доступ к местным ресурсам. Например, можно направить через VPN только YouTube и Netflix, а банковские приложения и государственные порталы оставить на прямом соединении — это снижает риск блокировки учётной записи из-за смены IP.

Кроме того, выборочная маршрутизация экономит трафик мобильных устройств и уменьшает нагрузку на VPN-сервер, что особенно важно при лимитированных тарифах. В корпоративной среде такая настройка позволяет ограничить доступ сотрудников к определённым ресурсам, не отключая VPN полностью.

Основные подходы к выборочной маршрутизации

Существует несколько способов заставить VPN работать только для конкретных сайтов. Выбор зависит от вашей операционной системы, уровня технической подготовки и используемого VPN-сервиса.

1. Настройка на стороне VPN-клиента. Многие современные VPN-приложения (например, Happ, некоторые сборки OpenVPN) позволяют создавать правила маршрутизации. Вы указываете домены или IP-адреса, которые должны идти через туннель, а остальной трафик остаётся прямым. Это самый простой и безопасный способ для обычных пользователей.

2. Ручная настройка маршрутов в операционной системе. На Windows и macOS можно добавить статические маршруты через командную строку (route add) или системные настройки. Этот метод требует знания IP-адресов целевых сайтов и понимания сетевых протоколов, но даёт полный контроль.

3. Использование прокси-серверов и PAC-файлов. PAC-файл содержит JavaScript-функцию, которая определяет, какой прокси использовать для каждого домена. Браузеры и некоторые приложения поддерживают эту технологию. Она проще в настройке, чем маршрутизация, но работает только с HTTP/HTTPS-трафиком и не затрагивает другие протоколы.

4. Настройка на роутере. Если вы хотите, чтобы выборочная маршрутизация работала для всех устройств в домашней сети, можно настроить VPN-клиент на роутере. Это сложнее, но даёт единую точку управления.

Настройка VPN для конкретных сайтов в приложении Happ

Приложение Happ (доступно для Android, Windows и macOS) предоставляет удобный интерфейс для создания правил маршрутизации. Рассмотрим два сценария: VPN только для выбранных сайтов и выбранные сайты без VPN.

Сценарий 1: VPN только для выбранных сайтов.

1. Запустите Happ и перейдите в настройки.
2. Откройте раздел «Правила маршрутизации».
3. Нажмите на значок «···» и создайте новый профиль, например, «VPN только для выбранных сайтов».
4. Включите использование маршрутизации и перейдите в «Редактировать правила».
5. Выключите глобальный прокси — это важно, иначе все запросы пойдут через VPN.
6. В разделе «Прокси» добавьте нужные домены или категории. Например, domain:youtube.com или geosite:google.
7. Сохраните профиль и подключитесь к любому серверу. Теперь только указанные сайты будут работать через VPN.

Сценарий 2: Выбранные сайты без VPN.

1. Создайте новый профиль и включите глобальный прокси.
2. В разделе «Direct» добавьте правила для сайтов, которые должны работать напрямую. Например, geoip:RU и geosite:CATEGORY-RU — тогда все российские ресурсы пойдут напрямую, а зарубежные — через VPN.
3. Оставьте встроенные IP-адреса для локальной сети, чтобы не потерять доступ к принтеру или роутеру.

Важно: Happ поддерживает только исключение приложений из VPN, но не наоборот. То есть нельзя задать список приложений, которые должны работать через VPN, а остальные — напрямую. Для этого придётся использовать другие инструменты.

Настройка OpenVPN для выборочной маршрутизации

OpenVPN — это гибкое решение для тех, кто готов работать с конфигурационными файлами. Основная идея — убрать директиву redirect-gateway, которая заставляет весь трафик идти через туннель, и вместо неё добавить конкретные маршруты.

В конфигурационном файле сервера (server.conf) нужно закомментировать или удалить строку push "redirect-gateway def1 bypass-dhcp". Затем добавить маршруты для нужных подсетей. Например, для Яндекса:

push "route 5.45.192.0 255.255.192.0"
push "route 77.88.0.0 255.255.192.0"
push "route 87.250.224.0 255.255.224.0"

На стороне клиента можно использовать директиву route-nopull, чтобы игнорировать маршруты, переданные сервером, и задать свои. Однако при этом нужно вручную указать маршрут до самого VPN-сервера, иначе соединение не установится.

Проблемы и решения.

• Если после настройки сайты не открываются, проверьте, что DNS-запросы тоже идут через VPN. Для этого добавьте в конфиг клиента dhcp-option DNS 8.8.8.8 или укажите DNS-сервер вручную в настройках системы.
• Некоторые провайдеры блокируют DNS-запросы к сторонним серверам, поэтому может потребоваться поднять собственный DNS-сервер на VPN-сервере.
• Для определения IP-адресов сайтов используйте команды host или nslookup, а для поиска подсетей — сервисы whois.

Пример готового списка маршрутов для популярных сервисов (Яндекс, Mail.ru, VK) можно найти в открытых источниках, но лучше собирать его самостоятельно, так как IP-адреса меняются.

Использование geosite и geoip для упрощения правил

Вместо ручного перечисления десятков доменов можно использовать категории geosite и geoip. Эти списки поддерживаются в приложениях типа Happ и в некоторых прокси-инструментах.

Geosite — это набор доменов, сгруппированных по компаниям или типам сервисов. Например, geosite:google включает google.com, youtube.com, gstatic.com и другие. geosite:telegram — telegram.org, t.me, telegra.ph. Такие категории экономят время и уменьшают вероятность ошибки.

Geoip — правила, основанные на стране назначения. Например, geoip:RU направляет через VPN все запросы к российским IP-адресам. Это удобно, если нужно исключить локальные ресурсы из туннеля.

Примеры популярных geosite-категорий:

• geosite:netflix — netflix.com, nflxvideo.net
• geosite:spotify — spotify.com, scdn.co
• geosite:steam — steampowered.com, steamcommunity.com
• geosite:openai — openai.com, chatgpt.com
• geosite:category-porn — сайты для взрослых

Списки geosite регулярно обновляются, поэтому рекомендуется периодически проверять актуальность правил. В приложении Happ теги geosite можно найти прямо в интерфейсе, что упрощает настройку.

Настройка на Windows и macOS с помощью системных инструментов

Если ваш VPN-клиент не поддерживает выборочную маршрутизацию, можно настроить её вручную через операционную систему.

Windows.

1. Определите IP-адреса целевых сайтов с помощью ping или nslookup.
2. Откройте командную строку от имени администратора.
3. Добавьте маршрут через VPN-интерфейс: route add mask 255.255.255.255 metric 1.
4. Чтобы маршрут сохранялся после перезагрузки, используйте ключ -p.

Недостаток: если сайт использует несколько IP-адресов (CDN), придётся добавлять каждый. Для доменов с большим количеством адресов лучше использовать DNS-фильтрацию или прокси.

macOS.

1. Откройте «Системные настройки» → «Сеть» → выберите VPN-подключение.
2. Нажмите «Дополнительно» → «Маршруты».
3. Добавьте нужные IP-адреса и маски.

Также можно использовать сторонние приложения, например Little Snitch, которое позволяет контролировать исходящие соединения по доменам и приложениям. Little Snitch работает как межсетевой экран и может перенаправлять трафик через прокси или VPN.

Настройка VPN для конкретных приложений на Android и iOS

На мобильных устройствах выборочная маршрутизация реализована по-разному.

Android.

• Приложение Happ позволяет исключить отдельные приложения из VPN. Для этого в настройках прокси выберите «Из списка процессов» и отметьте нужные приложения. Включите опцию «Выбранные приложения идут напрямую».
• Другие VPN-клиенты, например OpenVPN for Android, поддерживают пер-апп-туннелирование, но это требует root-прав.
• Альтернативный способ — использовать прокси-приложения, которые работают на уровне HTTP и могут фильтровать по доменам.

iOS.

• Встроенные возможности iOS ограничены: VPN-приложения обычно работают в режиме «все или ничего». Однако некоторые клиенты, такие как WireGuard, позволяют настроить маршруты через конфигурационный файл.
• Для iOS можно использовать PAC-файлы, но они поддерживаются только в браузерах, а не в системных приложениях.

Важно помнить, что на мобильных устройствах выборочная маршрутизация может не работать для приложений, которые используют собственные DNS-серверы или обходят системные настройки.

Частые ошибки и способы их устранения

При настройке выборочной маршрутизации пользователи часто сталкиваются с типичными проблемами.

Сайт не открывается через VPN.

• Проверьте, что DNS-запросы идут через VPN. Если DNS остаётся локальным, домен может резолвиться в заблокированный IP. Решение: укажите DNS-сервер VPN в настройках системы или приложения.
• Убедитесь, что маршрут до VPN-сервера не конфликтует с маршрутами для целевых сайтов. Иногда нужно добавить исключение для IP-адреса VPN-сервера.

VPN работает, но скорость низкая.

• Возможно, вы добавили слишком много маршрутов, и трафик идёт через туннель даже для локальных ресурсов. Пересмотрите правила.
• Используйте протокол WireGuard вместо OpenVPN — он быстрее и легче.

Правила не применяются после перезагрузки.

• На Windows маршруты, добавленные без ключа -p, сбрасываются. Добавьте их в автозагрузку или используйте скрипт.
• В OpenVPN убедитесь, что конфигурация клиента не содержит route-nopull, если вы хотите получать маршруты с сервера.

Сайт использует CDN и имеет много IP-адресов.

• Вместо IP-адресов используйте доменные имена в правилах, если ваш VPN-клиент это поддерживает. Или используйте geosite-категории.

Блокировка DNS провайдером.

• Некоторые провайдеры перехватывают DNS-запросы к сторонним серверам. Решение: поднимите собственный DNS-сервер на VPN-сервере или используйте DNS-over-HTTPS.

Сравнение подходов: плюсы и минусы

Каждый метод выборочной маршрутизации имеет свои сильные и слабые стороны.

VPN-клиент с правилами (Happ и аналоги).

• Плюсы: простой интерфейс, поддержка geosite, автоматическое обновление списков.
• Минусы: ограниченная гибкость, привязка к конкретному провайдеру.

Ручная маршрутизация (route add).

• Плюсы: полный контроль, работает с любым VPN.
• Минусы: сложность, необходимость вручную отслеживать IP-адреса, не подходит для CDN.

OpenVPN с push-маршрутами.

• Плюсы: гибкость, возможность централизованного управления на сервере.
• Минусы: требует технических знаний, сложно настраивать для новичков.

PAC-файлы.

• Плюсы: простота, работает в браузерах.
• Минусы: не работает для приложений, не поддерживает UDP-трафик.

Роутер с VPN.

• Плюсы: единая точка управления для всех устройств.
• Минусы: сложная настройка, возможные проблемы с производительностью роутера.

Выбор метода зависит от ваших задач и уровня подготовки. Для большинства пользователей оптимальным будет использование VPN-клиента с поддержкой правил маршрутизации.

Практические рекомендации и примеры

Рассмотрим несколько типовых сценариев использования выборочной маршрутизации.

Сценарий 1: Доступ к заблокированным соцсетям. Если в вашей стране заблокированы VK, Facebook или Instagram, настройте VPN только для этих доменов. В Happ создайте профиль с правилами domain:vk.com, domain:facebook.com, domain:instagram.com. Остальной трафик останется прямым, что сохранит скорость для локальных сервисов.

Сценарий 2: Экономия трафика на мобильном устройстве. Вы часто пользуетесь YouTube, но не хотите, чтобы весь трафик шёл через VPN. Настройте профиль с geosite:youtube и подключитесь к серверу. Видео будет загружаться через VPN, а мессенджеры и почта — напрямую.

Сценарий 3: Работа с зарубежными облачными сервисами. Для доступа к Google Drive или Dropbox из региона с ограничениями добавьте geosite:google или geosite:dropbox. Это обеспечит стабильное соединение без необходимости включать VPN для всего трафика.

Сценарий 4: Исключение локальных ресурсов из VPN. Если вы используете VPN для обхода блокировок, но хотите, чтобы государственные порталы и банки работали напрямую, добавьте geoip:RU в раздел Direct. Тогда все российские сайты будут открываться без VPN, а зарубежные — через туннель.

Помните, что списки geosite и geoip обновляются, поэтому периодически проверяйте актуальность правил. Также рекомендуется тестировать настройки после каждого изменения, чтобы убедиться, что нужные сайты работают корректно.

Вопросы и ответы