Две стратегии
| Всё в туннель, кроме исключений | Ничего в туннель, кроме избранных | |
|---|---|---|
| Когда подходит | Домашний компьютер, туннель нужен почти всегда | Рабочая машина, туннель нужен точечно |
| Что настраивать | Список исключений | Список программ, которым туннель нужен |
| Риск ошибки | Забыли исключение - сервис отказал во входе | Забыли программу - она пошла напрямую |
| Проще поддерживать | Да, исключений обычно мало | Нет, программы добавляются постоянно |
Для дома почти всегда лучше первая: включили TUN, вывели из туннеля банк, госуслуги и локальную сеть - и забыли. Вторая имеет смысл на рабочем компьютере, где по умолчанию всё должно идти как обычно.
Как настроить по программам
- Включите режим TUN. Правила по программам работают там, где приложение видит весь трафик: режим TUN.
- Узнайте имя исполняемого файла. Диспетчер задач → вкладка «Подробности»: там точное имя вида program.exe. Правило задаётся именно по нему, а не по названию из меню «Пуск».
- Добавьте правило. В настройках маршрутизации укажите имя файла и действие: в туннель или напрямую. Как устроены правила - правила по доменам и IP.
- Перезапустите программу. Уже открытые соединения могут остаться на старом маршруте - перезапуск это снимает.
- Проверьте. Внутри программы посмотрите, какой адрес она показывает, либо используйте проверку маршрутов.
Что учесть на Windows
- Браузер - один процесс на все вкладки. Разделить «этот сайт через туннель, а тот напрямую» правилом по программе нельзя - только правилом по домену.
- Многие программы запускают дочерние процессы. Игра может ходить в сеть не своим главным файлом, а вспомогательным - тогда правило по имени промахивается.
- Обновляльщики и службы ходят в сеть отдельно от самой программы.
- После обновления программы имя файла иногда меняется - правило перестаёт срабатывать молча.
Проверяйте, а не предполагайте
Правило считается работающим не тогда, когда добавлено, а тогда, когда проверено. Две минуты на проверку экономят вечер разбирательств, почему банк «внезапно» стал требовать подтверждения входа.
Можно ли пустить через туннель только одну вкладку браузера?
Правилом - нет, браузер для системы один процесс. Практическое решение: второй браузер, настроенный на локальный SOCKS.
Правило по программе не срабатывает
Проверьте точное имя исполняемого файла в диспетчере задач и вспомогательные процессы. Иногда проще задать правило по доменам сервиса.
Работает ли раздельное туннелирование без прав администратора?
В полном виде нет: нужен TUN. Без прав остаётся выборочная настройка внутри программ: прокси для отдельных программ.