Зачем это нужно
- Банки и госуслуги. Сервисы, которые настороженно относятся к входу с непривычного адреса - отдельная статья.
- Локальные ресурсы. Домашний роутер, принтер, сетевое хранилище: им незачем ходить через сервер.
- Скорость. Тяжёлые загрузки с быстрых местных серверов логичнее вести напрямую.
- Сервисы, привязанные к местоположению. Доставка, такси, карты - с чужим адресом они работают странно.
Как это устроено на iOS
Клиент получает от системы весь трафик устройства и решает по правилам, что отправить в туннель, а что выпустить напрямую. Правила бывают трёх видов:
| Тип правила | Пример | Когда применяют |
|---|---|---|
| По домену | bank.example и его поддомены | самый частый случай |
| По диапазону адресов | подсети конкретного сервиса | когда домены не покрывают всё |
| По географии | адреса своей страны - напрямую | общее правило «местное мимо туннеля» |
Правила приходят вместе с профилем маршрутизации или задаются вручную. Порядок правил важен: первое подходящее обычно и срабатывает.
Где легко ошибиться
- Слишком широкое правило. Вывод «всей страны» мимо туннеля означает, что половина сервисов перестанет ходить через сервер. Иногда это и нужно, но решение должно быть осознанным.
- Только основной домен. Приложение банка обращается к десятку адресов: платёжный шлюз, аналитика, push-уведомления. Исключив один домен, вы решите проблему наполовину.
- Правила против DNS. Если имя разрешается через сервер, а трафик идёт напрямую (или наоборот), поведение станет непредсказуемым - про DNS.
- Забытые правила. Через месяц вы не вспомните, почему один сервис ведёт себя иначе. Записывайте, что исключали и зачем.
Проверяйте после изменения
После правки правил откройте проверку соединения: убедитесь, что внешний адрес меняется там, где должен, и остаётся прежним там, где вы это задали.
Когда проще без исключений
Если правил набралось больше пяти-шести, а поведение стало непредсказуемым, честнее вернуться к простой схеме: соединение включается, когда нужно, и выключается, когда мешает. Одно касание в приложении надёжнее сложного набора правил, о котором вы забудете.
Дополнительные вопросы
Раздельное туннелирование снижает приватность?
Трафик, выведенный из туннеля, идёт обычным путём - так же, как без соединения. Это осознанный размен: удобство против единообразия.
Можно исключить приложение целиком?
На iOS - нет, только адреса, к которым оно обращается: подробнее.
Правила синхронизируются между устройствами?
Нет. На каждом устройстве свои - если только они не приходят из общего профиля.