Маршрут через VPN: настройка выборочной маршрутизации трафика

Зачем нужна выборочная маршрутизация трафика

Когда VPN включён на устройстве или роутере, обычно весь интернет-трафик уходит в туннель. Это удобно, если нужно скрыть всю активность, но часто создаёт проблемы: пинг в онлайн-играх растёт, стриминговые сервисы определяют пользователя как иностранца и показывают не тот контент, а банковские приложения могут заблокировать доступ из-за подозрительного IP. Решение — настроить маршрут через VPN только для определённых подсетей или доменов, оставив остальной трафик у провайдера.

Такой подход называют split tunneling (раздельное туннелирование). Он позволяет одновременно пользоваться заблокированными сервисами и локальными ресурсами, не переключая VPN постоянно. Например, можно направить в туннель только трафик к YouTube или Discord, а весь остальной интернет оставить как есть. Это снижает нагрузку на VPN-сервер, уменьшает задержки и сохраняет доступ к локальным устройствам в домашней сети.

В этой статье разберём, как реализовать выборочную маршрутизацию на разных уровнях: в конфигурации WireGuard, средствами Windows, на роутере и с помощью сторонних инструментов. Также покажем, как находить нужные IP-адреса и избегать типичных ошибок.

Как работает маршрутизация в VPN: базовые понятия

Маршрутизация определяет, через какой интерфейс отправлять пакеты к тому или иному IP-адресу. В контексте VPN ключевую роль играет таблица маршрутизации операционной системы или роутера. Когда VPN-клиент активен, он добавляет в таблицу маршруты для удалённой сети. Если используется полное туннелирование, добавляется маршрут по умолчанию (0.0.0.0/0), который отправляет весь трафик в туннель.

При выборочной маршрутизации вместо маршрута по умолчанию добавляются только конкретные подсети. Например, запись 142.250.0.0/15 означает, что все адреса от 142.250.0.0 до 142.251.255.255 будут идти через VPN. Остальной трафик продолжит ходить через обычный шлюз провайдера.

Важно понимать разницу между IP-адресом и подсетью. IP-адрес вида 8.8.8.8 — это конкретный хост, а запись 8.8.8.0/24 охватывает 256 адресов. Чем меньше число после косой черты, тем больше адресов входит в подсеть. Например, /0 — все адреса, /16 — 65 536 адресов, /32 — только один адрес.

При настройке маршрутов нужно учитывать, что многие сервисы используют несколько подсетей и могут менять их со временем. Поэтому статические списки IP иногда перестают работать, и приходится обновлять их вручную или использовать динамические списки.

Настройка маршрутов в WireGuard через AllowedIPs

WireGuard — популярный VPN-протокол, который настраивается простым текстовым конфигом. В нём есть параметр AllowedIPs, который определяет, какие подсети должны идти через туннель. По умолчанию в конфиге часто стоит AllowedIPs = 0.0.0.0/0, что означает весь трафик. Чтобы маршрутизировать только нужные адреса, замените это значение на список подсетей через запятую.

Например, чтобы направить через VPN только DNS-запросы к Google и Cloudflare, укажите:

AllowedIPs = 8.8.8.8, 1.1.1.1

Если нужно несколько подсетей, перечислите их через запятую:

AllowedIPs = 142.250.0.0/15, 172.217.0.0/16

После изменения конфига перезапустите VPN-подключение. Учтите, что если вы используете готовый конфиг от VPN-провайдера, там может быть несколько Peer-секций, и AllowedIPs нужно менять в каждой.

Такой способ удобен, когда вы контролируете конфигурацию сами, но не подходит, если нужно быстро переключаться между разными наборами маршрутов. В этом случае можно создать несколько конфиг-файлов с разными AllowedIPs и переключаться между ними в клиенте.

Выборочная маршрутизация в Windows: команды и PowerShell

В Windows можно настроить маршруты для VPN-подключения двумя способами: вручную через команду route add или автоматически с помощью PowerShell. Ручные маршруты сбрасываются после перезагрузки или отключения VPN, поэтому для постоянной настройки лучше использовать встроенные средства.

Современные версии Windows поддерживают командлет Add-VpnConnectionRoute, который привязывает маршрут к конкретному VPN-подключению. Сначала нужно включить раздельное туннелирование:

Set-VpnConnection -Name "workVPN" -SplitTunneling $True

Затем добавить маршруты:

Add-VpnConnectionRoute -ConnectionName "workVPN" -DestinationPrefix 192.168.111.0/24 -PassThru
Add-VpnConnectionRoute -ConnectionName "workVPN" -DestinationPrefix 10.1.0.0/16 -PassThru

Маршруты добавляются в таблицу при каждом подключении к VPN и автоматически удаляются при отключении. Чтобы посмотреть список маршрутов для подключения, выполните:

(Get-VpnConnection -ConnectionName "workVPN").Routes

Удалить маршрут можно командой Remove-VpnConnectionRoute. Этот способ работает для встроенного VPN-клиента Windows, но не для сторонних программ вроде Cisco AnyConnect — там нужно настраивать маршруты внутри самого приложения.

Маршрутизация на роутере: статические маршруты и OpenWRT

Если VPN настроен на роутере, можно управлять маршрутами на уровне всей домашней сети. Многие роутеры, включая TP-Link, позволяют добавлять статические маршруты через веб-интерфейс или редактирование конфигурации. Однако возможности встроенного ПО часто ограничены: нельзя задать маршруты по доменам, а списки IP приходится обновлять вручную.

Например, на TP-Link Archer AX5400 можно включить VPN-клиент и добавить статические маршруты для нужных подсетей. Но, как показывает практика, такой подход может работать нестабильно: сервисы определяют пользователя как местного, видео зависает, а на некоторых устройствах вообще не запускается. Причина в том, что у крупных сервисов (Google, YouTube) множество подсетей, и они меняются, а также используются кеширующие серверы, которые не относятся к основным диапазонам.

Более гибкое решение — установить на роутер прошивку OpenWRT или использовать роутеры на базе RouterOS (MikroTik). OpenWRT позволяет настраивать маршрутизацию по доменам с помощью пакетов вроде vpn-policy-routing или использовать списки IP-адресов. Это сложнее, но даёт полный контроль. Альтернатива — использовать второй роутер, на котором поднят VPN, и подключать к нему только те устройства, которым нужен туннель.

Поиск IP-адресов и подсетей для маршрутизации

Чтобы настроить маршрут через VPN для конкретного сервиса, нужно знать его IP-адреса или подсети. Самый простой способ — использовать расширение браузера IPvFoo. Оно показывает все домены и IP-адреса, к которым обращается сайт, и подсвечивает, откуда загружается контент. Включите VPN, откройте нужный сайт, посмотрите адреса и проверьте их через whois-сервис (например, 2ip.ru). В результатах будет указан владелец подсети (например, Google LLC) и диапазон CIDR, который можно добавить в маршруты.

Для сервисов, использующих UDP (например, голосовые каналы Discord), IP-адреса не видны в IPvFoo. Тогда можно открыть инструменты разработчика в браузере (F12), перейти на вкладку Console и ввести фильтр "RTC connected to media server:". При входе в голосовой канал появятся строки с IP-адресами серверов. Эти адреса также можно проверить через whois и добавить в список.

Если нужно узнать, к каким IP обращается конкретное приложение, используйте команду netstat -aon в Windows. Она покажет все активные подключения с PID процессов. Найдите PID нужного приложения в диспетчере задач и сопоставьте с внешними IP. Для более детального анализа можно использовать Wireshark, но это сложный инструмент, и для большинства задач достаточно первых двух способов.

Готовые списки IP-адресов для популярных сервисов

Для некоторых сервисов можно найти готовые списки подсетей, которые нужно маршрутизировать через VPN. Например, для YouTube часто используют диапазоны Google: 74.125.0.0/16, 172.217.0.0/16, 173.194.0.0/16, 142.250.0.0/15 и другие. Однако эти списки могут быть неполными, так как Google использует множество подсетей, и они различаются в зависимости от региона и провайдера.

Для Instagram и Facebook (принадлежат Meta, признанной экстремистской в РФ) существуют списки вроде 157.240.0.0/16, 31.13.24.0/21, 69.171.224.0/19 и другие. Для Discord — 162.158.0.0/15 (Cloudflare), а также ряд подсетей самого Discord. Важно понимать, что эти списки могут устаревать, поэтому лучше проверять актуальность перед использованием.

Если готовый список не работает, придётся собирать свой с помощью инструментов, описанных выше. Это трудоёмкий процесс, но он даёт наиболее точный результат. Также можно использовать сервисы, которые предоставляют списки подсетей конкретных провайдеров, например ipinfo.io/AS15169 для Google.

Типичные ошибки и способы их решения

При настройке выборочной маршрутизации пользователи часто сталкиваются с несколькими проблемами. Одна из них — сервис определяет пользователя как местного, хотя трафик должен идти через VPN. Причина в том, что не все подсети сервиса включены в маршруты. Например, для YouTube нужно маршрутизировать не только googlevideo.com, но и другие домены, такие как youtube.com, googleapis.com, gstatic.com. Если какой-то запрос уходит напрямую, сервис видит реальный IP и определяет регион.

Другая частая ошибка — нестабильная работа или ошибки подключения к адресам, которые входят в маршруты. Это может быть связано с тем, что часть трафика идёт через VPN, а часть напрямую, и возникают конфликты. Например, токен авторизации может содержать IP-адрес, и если он меняется, сервер отклоняет запрос. Также видео может загружаться с кеширующих серверов, которые не относятся к основным подсетям Google, и они не попадают в маршруты.

На некоторых устройствах (например, телевизорах) сервис может вообще не работать. Это связано с тем, что они используют другие DNS-серверы или обращаются к другим IP-адресам. Решение — либо добавить все возможные подсети, либо использовать маршрутизацию по доменам, если это поддерживается.

Ещё одна проблема — маршруты, добавленные вручную, исчезают после перезагрузки. Чтобы этого избежать, используйте команду route add с параметром -p (постоянный) или настройте автоматическое добавление через планировщик заданий.

Сравнение способов маршрутизации: плюсы и минусы

Выбор способа маршрутизации зависит от ваших задач и технических возможностей. Самый простой вариант — использовать конфиг WireGuard с AllowedIPs. Он подходит для одного устройства, легко настраивается и не требует дополнительных инструментов. Минус — нужно вручную редактировать конфиг при изменении списка адресов.

Встроенные средства Windows (Add-VpnConnectionRoute) удобны для корпоративных сценариев, когда нужно автоматически добавлять маршруты при подключении. Однако они работают только со встроенным VPN-клиентом и не подходят для сторонних программ.

Маршрутизация на роутере — самый гибкий способ, так как она применяется ко всем устройствам в сети. Но требует более продвинутого оборудования (OpenWRT, MikroTik) и знаний. Стандартные роутеры TP-Link имеют ограниченные возможности и часто не справляются с динамическими списками.

Использование второго роутера с VPN — простое и надёжное решение, но требует дополнительных затрат и неудобно, если нужно переключать устройства между обычным и VPN-подключением.

В итоге, для домашнего использования оптимально комбинировать несколько способов: например, на роутере настроить маршруты для основных сервисов, а для отдельных устройств использовать WireGuard с нужными AllowedIPs.

Практические советы и рекомендации

Начните с малого: выберите один сервис, который нужно открыть через VPN, и настройте маршруты только для него. Проверьте, что всё работает, и только потом добавляйте остальные. Это упростит отладку и позволит понять, какие подсети действительно нужны.

Используйте инструменты вроде IPvFoo, чтобы точно определить, к каким IP обращается сервис. Не полагайтесь на готовые списки — они могут быть неполными или устаревшими. Регулярно проверяйте актуальность маршрутов, особенно если сервис начинает работать нестабильно.

Если вы используете роутер, рассмотрите возможность установки OpenWRT или использования MikroTik. Это даст больше возможностей для настройки, включая маршрутизацию по доменам и автоматическое обновление списков.

Для Windows не забывайте про параметр -p в команде route add, чтобы маршруты сохранялись после перезагрузки. Также можно создать скрипт, который будет добавлять маршруты при запуске VPN-подключения, используя планировщик заданий.

И последнее: не пытайтесь маршрутизировать весь трафик Google, если вам нужен только YouTube. Это приведёт к тому, что поиск, Gmail и другие сервисы будут работать через VPN, что может быть нежелательно. Лучше выделить только те подсети, которые относятся к нужному сервису.

Вопросы и ответы