Автор: Александр Д.
08.09.2026 · 6 МИН ЧТЕНИЯ

Раздельное туннелирование (часть приложений мимо туннеля), оно же split tunneling, позволяет выбрать, какой трафик идёт через зашифрованный туннель, а какой напрямую в интернет.

Полный туннель отправляет через VPN всё. Раздельный пускает в туннель, скажем, браузер, а банковское приложение, принтер и игру оставляет снаружи. Нужен он потому, что «всё через VPN» это самый безопасный вариант, но не всегда самый удобный.

ПОЛНЫЙ ТУННЕЛЬРИС. 01
всё ──────────────────→ через VPN

РАЗДЕЛЬНЫЙ ТУННЕЛЬ
браузер, почта ───────→ через VPN
банк, принтер, игра ──→ напрямую
                        реальный IP,
                        DNS провайдера,
                        без шифрования
Исключённый трафик ведёт себя так, будто VPN выключен совсем: это и есть цена удобства.

Раздельное туннелирование и полный туннель: разница

Полный туннель. Приложение создаёт виртуальный сетевой интерфейс и заворачивает в него каждый пакет каждого приложения. Провайдер и локальная сеть видят одно зашифрованное соединение, сайты видят адрес сервера. Утечек нет, если ничего не настроено криво. Это правильный режим в общественных сетях и везде, где вам важна приватность.

Раздельный туннель. Туннель поднят, но добавлены исключения. Варианты реализации: по приложениям (эта программа идёт мимо VPN), по адресам (этот сайт или диапазон идёт мимо), или наоборот (только эти приложения через VPN, остальное напрямую). Исключённый трафик ведёт себя так, будто VPN выключен: реальный IP, DNS провайдера, никакого шифрования сверх того, что даёт само приложение.

С точки зрения сети разница в таблице маршрутов: полный туннель делает маршрут по умолчанию через VPN-интерфейс, раздельный оставляет обычный маршрут и добавляет отдельные правила или использует правила по приложениям в операционной системе.

ДВА РЕЖИМАРИС. 02
включить выбранные
  └─ в туннель идёт только список
  └─ остальное напрямую
исключить выбранные
  └─ в туннель идёт всё
  └─ кроме списка

Когда раздельное туннелирование помогает

  • Банковские и платёжные приложения, которые отказываются работать через VPN или блокируют аккаунт при смене страны. Исключаете их, всё остальное защищено.
  • Локальные устройства: принтер, NAS, телевизор, приставка в той же сети. Строгий туннель может скрыть локальную сеть; исключение локальных адресов лечит это.
  • Игры и большие загрузки, которым не нужна приватность: без крюка через сервер. Почему крюк стоит скорости, разобрано в статье почему VPN медленный.
  • Рабочие инструменты, которым нужно видеть реальную сеть, пока браузер остаётся приватным.
  • Экономия трафика на мобильном пакете: тяжёлое вне туннеля, важное внутри.
КОГДА ПОМОГАЕТРИС. 03
банк не работает через туннель
рабочая сеть требует прямого выхода
локальный принтер и NAS
тяжёлые загрузки мимо туннеля

Когда раздельное туннелирование опасно

Каждое исключённое приложение полностью открыто. Три типичные ошибки:

  1. Исключить браузер, потому что какой-то сайт не открылся, и забыть. Браузер как раз почти всегда должен оставаться внутри.
  2. Пользоваться исключениями в чужой сети. В кафе исключённый трафик виден сети ровно как без VPN. Раздельный туннель это история для дома.
  3. DNS мимо туннеля. Некоторые реализации отправляют DNS-запросы напрямую даже для приложений внутри туннеля, отдавая список сайтов провайдеру. После настройки прогоните проверку из статьи утечки DNS и WebRTC.
ТРИ ОШИБКИРИС. 04
1 исключить браузер и забыть
  браузер почти всегда внутри

2 исключения в чужой сети
  в кафе исключённое видно как без VPN

3 DNS мимо туннеля
  список сайтов уходит провайдеру
Три ошибки, которые встречаются чаще всего. Первая обычно делается один раз и забывается навсегда.

Kill Switch защищает только трафик внутри туннеля. Исключённые приложения продолжают работать при обрыве VPN, и так и задумано.

СХЕМАРИС. 05
Kill Switch закрывает только туннель

обрыв VPN
  внутри туннеля  → заблокировано
  исключения      → работают дальше
                    так и задумано
Важное следствие, которое легко упустить: аварийный выключатель не распространяется на то, что вы сами вынесли наружу.

Как настроить раздельное туннелирование

Android. Раздельный туннель по приложениям встроен в систему. Где: настройки приложения VPN → «Раздельное туннелирование», «Приложения» или «Маршрутизация». Названия разные, смысл один: список программ с галочками, где вы снимаете отметку с тех, кого хотите вывести из туннеля. Отдельно в системных настройках есть «Постоянная VPN» и «Блокировать соединения без VPN», и второе действует только на приложения внутри туннеля. Подробнее в статье VPN на Android.

iPhone и iPad. iOS не даёт обычным VPN-приложениям исключать программы по отдельности (это доступно только для управляемых устройств). Приложения могут исключать адреса, например локальную сеть, и включать VPN по требованию в определённых сетях. Если приложение для iOS обещает раздельный туннель по программам, уточните, что именно оно исключает.

Windows и macOS. Большинство приложений показывают список установленных программ для включения или исключения. На macOS обычно есть отдельная галка «разрешить локальную сеть» для принтеров и AirPlay.

Роутер. Раздельный туннель на роутере это правило маршрутизации: одни устройства идут через туннель, другие нет. Единственный способ не замедлить весь дом, разбор в статье VPN на роутере.

ЧТО ОБЫЧНО ОСТАВЛЯЮТ СНАРУЖИРИС. 06
банк           не любит чужую страну
принтер, NAS   живут в локальной сети
игры           лишняя задержка
локальное ТВ   проверяет регион
    └─ всё остальное идёт в туннель

Обратный режим

Некоторые приложения позволяют перевернуть логику: через VPN идут только выбранные программы, всё остальное напрямую. Удобно, когда защитить нужно одну программу, например отдельный профиль браузера. Риск здесь зеркальный: всё, что не выбрано, идёт вне туннеля, так что список выбранного и есть то, что вы защищаете, а не список исключений.

Список исключений проще составить один раз и правильно.

Промт для нейросети
Помоги составить список исключений для туннеля.

Устройство: (Android / iPhone / Windows / macOS).
Что не работает через туннель: (перечислите
приложения).
Чем пользуюсь чаще всего: (перечислите).
Есть ли дома принтер, NAS или камеры: (да / нет).

Скажи, что действительно стоит вынести из
туннеля, а что нельзя выносить ни в коем случае
и почему.
Список держи коротким: чем он длиннее, тем
меньше смысла в туннеле.

Разумное умолчание

Полный туннель везде, с двумя исключениями максимум: доступ к локальной сети и одно-два приложения, которые действительно ломаются через VPN. Раз в несколько месяцев пересматривайте список. В общественных сетях отключайте исключения полностью: там туннель нужнее всего, а исключённый трафик виднее всего.

РАЗУМНОЕ УМОЛЧАНИЕРИС. 07
[x] полный туннель везде
[x] исключение: локальная сеть
[x] исключение: 1-2 приложения,
    которые правда ломаются
[ ] в общественных сетях: без
    исключений вообще
Настройка по умолчанию, к которой стоит возвращаться. Список исключений имеет свойство разрастаться сам.

404 VPN поддерживает раздельное туннелирование по приложениям на Android и macOS, умеет исключать локальную сеть и держит DNS внутри туннеля для всего, что через него идёт, с Kill Switch для защищённого трафика. Подробнее на странице возможностей, а начать можно с главной.