Прокси для отдельных приложений на iOS

На Android клиент видит, какое приложение отправило пакет, и может решить, куда его направить. На iOS такой информации сторонним программам не дают: туннель работает на уровне всего устройства. Функция «защищённое соединение только для выбранных приложений» в iOS существует, но она доступна корпоративным профилям управления устройством, а не обычным клиентам из магазина.

На практике задачу «пусть банк ходит напрямую» решают именно правилами по доменам - это и есть исключения для банковских приложений. Работает не идеально: приложение может обращаться к десятку адресов, и все их нужно учесть.

1. Откройте настройки маршрутизации. Раздел с правилами или профилями - где он находится, показано в карте интерфейса.
2. Добавьте правило «в обход» для нужных адресов. Указываются домены или диапазоны адресов. Для банковских приложений обычно это домен банка и его поддомены.
3. Проверьте результат. Откройте приложение, для которого делали исключение. Если оно работает, а остальное продолжает идти через соединение - правило сработало. Проверить, куда именно идёт трафик, помогает проверка соединения.

На Mac возможностей больше

В настольной системе клиент может маршрутизировать трафик по процессам - то есть буквально «только эта программа». Как это устроено, разобрано на странице прокси для отдельных программ на macOS.

Не поможет: одновременно активен только один профиль - почему.

Технически да, но это корпоративный инструмент: профиль ставит организация, которая управляет устройством. Для личного телефона это неподходящий путь.

Весь, кроме того, что вы явно вывели правилами маршрутизации. Это и есть раздельное туннелирование в его iOS-варианте.

На Mac можно то, чего нельзя на iPhone: направить в туннель конкретные программы, а остальное оставить напрямую. Разбираем три способа и их ограничения.

На macOS маршрутизация по программам возможна, в отличие от iOS

Настольная система даёт клиенту больше сведений о том, кто отправил пакет, - поэтому правила по процессам здесь работают.

1. Откройте настройки маршрутизации. Ищите раздел с правилами: в разных сборках он называется «Маршрутизация», «Правила» или «Профили».
2. Добавьте правило для программы. Указывается имя процесса или путь к приложению. Для браузера это, например, сам браузер, а не его вкладки.
3. Выберите действие «Через сервер» или «Напрямую». Обычно есть и правило по умолчанию для всего остального.
4. Перезапустите программу. Правила применяются к новым соединениям, а не к уже открытым.

Для командной строки прокси задаётся переменными окружения. Строка вида export ALL_PROXY=socks5://127.0.0.1:1080 направит через локальный прокси команды, которые эти переменные учитывают, - например, загрузку файлов. Программы, игнорирующие переменные, продолжат ходить напрямую.

export ALL_PROXY=socks5://127.0.0.1:1080
export HTTP_PROXY=http://127.0.0.1:1081
export HTTPS_PROXY=http://127.0.0.1:1081

Порты возьмите из настроек своего клиента - они могут отличаться. Переменные действуют только в той сессии терминала, где заданы; чтобы применялись всегда, их добавляют в файл настроек оболочки.

На iPhone так нельзя

iOS не даёт сторонним приложениям разделять трафик по программам - там остаются только правила по адресам. Подробнее - прокси для отдельных приложений на iOS.

Да: либо правилом по процессу, либо через прокси в настройках самого браузера, если он это поддерживает.

В целом да, но программы с фоновыми службами могут обходить их - служба работает от другого процесса.

Нет заметно: разбор правил дешёвый по сравнению с самой передачей данных.

Заворачивать в туннель весь компьютер нужно не всегда: рабочие сервисы, банк и локальная сеть от этого только страдают. Разберём три способа сделать выборочно - от самого простого к самому точному.

Самый простой и самый надёжный: если программа умеет SOCKS5, укажите ей адрес 127.0.0.1 и порт приложения. Тогда через туннель пойдёт только она, а системе не потребуется ни драйвер, ни права. Как узнать порт - локальный SOCKS и HTTP.

Так умеют браузеры, мессенджеры, торрент-клиенты и большинство инструментов разработчика. Не умеют игры и программы, у которых сеть спрятана внутри.

Когда туннель уже поднят, приложение может решать, что в него отправлять, а что нет. Правила задаются по программам (по имени исполняемого файла) и по адресам. Это единственный способ пустить через туннель игру и одновременно оставить банк напрямую.

• По программе: правило указывает имя.exe - весь её трафик идёт нужным путём.
• По домену: example.com и его поддомены.
• По адресу и подсети: полезно для локальной сети и корпоративных диапазонов.
• Порядок правил важен: обычно применяется первое подходящее.

Подробный разбор - раздельное туннелирование и правила по доменам и IP.

Для консольных инструментов работает старый приём: запустить программу с переменными HTTP_PROXY и HTTPS_PROXY, указывающими на локальный прокси. В окне терминала это выглядит как две команды перед запуском - и действует только в этом окне, не трогая систему.

set HTTP_PROXY=http://127.0.0.1:<порт>
set HTTPS_PROXY=http://127.0.0.1:<порт>

Подставьте свой порт из настроек приложения. Способ хорош тем, что ничего не меняет ни в системе, ни в самой программе.

Проверяйте результат, а не намерение

Настроив выборочную маршрутизацию, обязательно проверьте её: откройте в «туннельной» программе сайт определения адреса, а в «прямой» - тот же сайт. Адреса должны отличаться. Как проверять - проверка маршрутов.

Да, правилом по домену в режиме TUN. Или проще: открывать этот сайт в браузере, настроенном на SOCKS.

Проверьте, что порт действительно слушается, и что вы указали SOCKS5, а не HTTP. Разбор - порт занят.

Первый и третий способы - да. Второй требует TUN, а значит драйвера и прав.