Как выбрать приложения для VPN и не запутаться в исключениях

На ноутбуке может понадобиться защищённый сеанс в браузере, тогда как другой программе требуется обычное подключение. Раздельное туннелирование иногда позволяет совместить эти задачи, но само название функции не объясняет, какой трафик пойдёт по каждому пути. В одном клиенте галочка означает «направлять эти приложения через VPN», а в другом — «исключить эти приложения». Начните с короткого списка ожидаемого поведения, а затем проверьте каждую затронутую программу. Не создавайте длинный перечень исключений только потому, что такая возможность есть. Каждое исключение должно решать понятную проблему, которую вы сможете описать и пересмотреть позже.

Определите правила раздельного туннелирования до выбора приложений

Запишите приложение, задачу и желаемый маршрут. Например, браузер для поиска информации должен работать через туннель, а отдельной программе может требоваться прямое подключение по документированной причине совместимости. Это пример возможной схемы, а не универсальная рекомендация. На устройстве, которым управляет работодатель, правила доступа администратора важнее личных предпочтений.

Сначала подумайте, нужно ли исключение вообще. Если единственная проблема — пропавший принтер, исключение целого браузера может оказаться решением не той задачи. Обнаружение устройств, разрешения и доступ к локальной сети стоит проверить отдельно. Статья о том, как сохранить доступ к принтерам и трансляции, посвящена именно этой более узкой ситуации. Исключение для прямого выхода в интернет и разрешение обращаться к соседнему устройству — разные решения.

Укажите ответственного и причину рядом с каждым предлагаемым изменением. Для личного телефона ответственным будете вы. На общем компьютере такая запись поможет следующему пользователю не принимать значок подключения за описание маршрута всех программ. Добавьте дату: исключение, созданное на время сбоя, не должно незаметно стать постоянным.

Внимательно проверьте, что означает выбранный список

Обычно выбор приложений работает по одной из двух моделей. Список включения определяет программы, которые должны использовать туннель. Список исключения определяет программы, которые должны его обходить. Поэтому одни и те же три названия могут означать противоположные правила. Читайте пояснение в клиенте, а не ориентируйтесь только на выделение элементов.

В документации Android для разработчиков VPN списки разрешённых и исключённых приложений описаны как альтернативы. Там также отмечено, что для применения изменений нужно установить новое соединение. Это не определяет, как каждый пользовательский клиент показывает настройки, но объясняет, почему после изменения списка может потребоваться переподключение.

При использовании списка включения обращайте внимание на новые установки: новая программа может оказаться вне выбранного набора. При использовании исключений проверяйте, не осталось ли старое правило после исчезновения его причины. Ни одна модель не лучше автоматически. Выберите ту, которую сможете поддерживать, и проверьте поведение приложений, которых нет в списке. Не делайте выводы только по названию функции, переведённому по-разному на разных платформах.

Проверяйте клиент вместе с операционной системой

Подписка предоставляет данные доступа и адреса подключения; возможности маршрутизации также зависят от программы, которая их импортирует. Два клиента с одной подпиской могут предлагать разные настройки. Даже у приложения с одинаковым названием возможности на телефоне и компьютере могут различаться. Проверка совместимости VPN-клиента поможет выяснить, поддерживает ли установленная программа нужные вам правила.

В Android системная настройка блокировки соединений вне VPN может влиять на исключённые приложения. Согласно документации, программы вне разрешённого пути через туннель могут потерять доступ к сети вместо получения прямого подключения. Для строгих правил это может быть правильным результатом, а не признаком истёкшей подписки.

Не отключайте такую блокировку незаметно ради работающего исключения. Сначала решите, допустим ли прямой трафик для этого устройства и задачи. Если нет, выберите другой поддерживаемый вариант. Сохраните снимок или короткую запись исходных настроек, не включая ссылки подписки, ключи конфигурации и личные данные аккаунта.

Проверяйте приложение, а не значок браузера

Подготовьте две задачи без чувствительных данных: одну внутри запланированного туннеля, другую вне его. Закройте лишнюю фоновую активность, подключите VPN и перезапустите затронутые приложения, если это рекомендует их документация. Проверка публичного адреса в выбранном браузере даёт сведения о запросе этого браузера. Она не доказывает маршрут отдельного почтового клиента, игры или процесса синхронизации файлов.

Если приложение предоставляет диагностику, проверьте с её помощью именно его подключение. Иначе запишите наблюдаемый результат и попросите поддержку предложить подходящую проверку. Не устанавливайте неизвестное расширение для анализа и не передавайте данные доступа только ради отображения адреса. Успешный вход сам по себе не доказывает определённый маршрут: сервис может принимать подключения по обоим путям.

Повторите проверку после отключения и подключения штатными средствами клиента. Если программа открывает браузер для авторизации, включите этот переход в тест: страница входа может работать в другой программе. Используя инструкции для Android, сверяйте их с клиентом и устройством, которыми вы действительно пользуетесь.

Разделяйте маршрутизацию, личность и фильтрацию

Исключение программы меняет сетевой путь, но не создаёт другого пользователя и не стирает существующий сеанс аккаунта. Сервис по-прежнему может связывать действия с учётной записью, в которую выполнен вход. Перевод браузера за пределы туннеля не отделяет автоматически его cookies, сохранённые предпочтения и историю аккаунта от предыдущего использования.

DNS и фильтрацию тоже нужно учитывать отдельно. Приложение может использовать резолвер, выбранный системой, VPN или собственными настройками. Исключение маршрута может по-разному взаимодействовать с этими вариантами в разных клиентах. Если вы рассчитываете на блокировку через DNS, проверьте ожидаемое поведение в исключённой программе, а не предполагайте, что каждая функция соответствует значку подключения.

Разделяйте в заметках желаемый маршрут, наблюдаемое поведение и нерешённый вопрос. Например, «видеоприложение работает напрямую» — наблюдение; «все его фоновые запросы обходят туннель» — гораздо более сильное утверждение. Если важно именно второе, запросите документированную настройку и тест, который это действительно измеряет. Не превращайте удобное исчезновение симптома в гарантию безопасности.

Поддерживайте небольшой и понятный набор правил

Пересматривайте список после замены устройства, переустановки программы или смены клиента. Удаляйте исключения, которые больше не нужны, и заново проверяйте оставшиеся задачи. Короткий перечень с ясными причинами проще поддерживать, чем большой набор, скопированный из случайной инструкции по устранению неполадок.

Обращаясь в поддержку Lumeraya, укажите устройство, версию системы, название клиента, режим выбора и ожидаемое поведение одной программы. Объясните, перестала ли она работать совсем или просто использует неожиданный маршрут. Не показывайте секретные данные конфигурации на публичных снимках экрана.

Хорошая настройка раздельного туннелирования завершается понятным результатом: вы знаете, какие программы включены, какие исключены и что ещё не проверено. Оставляйте обычный трафик на защищённом пути по умолчанию, если у исключения нет конкретной цели. Пересматривайте эту цель при изменении условий, вместо того чтобы считать вчерашнюю рабочую галочку постоянным описанием устройства.