Подключение и защита

Способ подключения, защита от утечек, маршруты, DNS и обход недоступного сервера.

Всё это — на вкладке Настройки: способ подключения, защита от утечек, DNS и маршруты в группе Защита, обход недоступного сервера — строка Обход блокировок в группе Общее.

Экран настроек

После установки стоит так: Способ подключения — TUN, Защита от утечек — включена, DNS через сервер — включён, Маршрутизация — «По правилам», Обход блокировок — «Спрашивать». Менять ничего не обязательно.

Способ подключения

TUN — весь трафик системы. Клиент создаёт сетевой адаптер, и через него идут все программы, даже те, что про прокси не знают. На Windows адаптер по умолчанию называется xo-tun0, на macOS имя utunN назначает система. Локальная сеть — роутер, принтеры — в туннель не заворачивается.
Системный прокси — через VPN идут только программы, которые берут системный прокси, обычно браузеры. Остальные выходят напрямую, и защита от утечек в этом режиме не действует. Недоступен, если в группе Ядро Смешанный порт равен 0.

Это выбор способа, а не второй выключатель: подключает кнопка на Главной. Сменили способ при включённом VPN — клиент переподключится по-новому. TUN нужны права администратора: если на Windows при запуске отказаться от их запроса, клиент сам перейдёт на системный прокси.

Защита от утечек

Пока VPN подключён через TUN, системный файрвол выпускает наружу только туннель: на macOS это pf, на Windows — WFP. Правила ставит служба защиты; её установка требует прав администратора (macOS один раз спросит пароль). Мимо туннеля пропускается только необходимое, остальное получает отказ:

само ядро VPN: его соединения с серверами, его DNS и трафик наборов «мимо VPN»;
адреса серверов из подписки и служебные адреса приложения;
локальная сеть и служебный обмен с роутером.

Когда включается и снимается. Включается по нажатию Подключить, ещё до запуска ядра, — поэтому и в первые секунды ничего не уходит в обход. Перед тем как написать «Подключено», клиент до трёх секунд ждёт, пока файрвол пропустит туннель. Посреди сеанса защиту снимает только ваше решение: Отключить, выход из приложения, переключатель или выбор способа «Системный прокси». При выключении компьютера клиент снимает её тоже.

Если VPN не поднялся.

Подключиться не удалось — защита снимается сама, интернет работает как без VPN.
Ядро упало посреди сеанса — клиент перезапускает его, а сеть на это время закрыта: программы не уходят в интернет с вашего настоящего адреса.
Приложение закрылось аварийно — служба держит правила сама, даже после перезагрузки. На Главной будет «Интернет закрыт защитой от утечек»: подключитесь или нажмите Снять блокировку.

Как выключить. Переключатель Защита от утечек действует сразу, без переподключения. Под ним видно состояние — «действует», «готова, включится при подключении», «служба не установлена», «выключена»; то же на Главной в блоке Подробнее о подключении. Отказались от установки службы — VPN подключится без защиты; чтобы поставить службу позже, выключите и снова включите переключатель.

Почему включена по умолчанию. VPN ломается не только по кнопке: падает ядро, пропадает адаптер, зависает переход на запасной путь. Без защиты программы в эти секунды незаметно работают с вашего настоящего адреса, с защитой — ждут без сети.

Маршрутизация

По правилам — действуют наборы и свои адреса из раздела Маршруты, а также правила самой подписки. Остальное идёт так, как задано в подписке, — обычно через VPN.
Весь трафик через VPN — наборы, свои адреса и правила подписки не действуют, всё идёт через сервер. Мимо остаётся только служебный канал приложения (диагностика и обращения) — он идёт мимо туннеля в обоих режимах, чтобы жалоба на сломанный сервер от него не зависела. Тот же выбор есть в меню трея — «Режим маршрутизации».

Маршруты: наборы и свои адреса

Строка Маршруты показывает, сколько наборов и своих адресов сейчас ведут мимо VPN (в режиме «Весь трафик через VPN» — что они не действуют), и открывает экран из трёх частей.

Наборы — готовые списки сайтов и адресов. У каждого — направление (мимо VPN, через VPN или блокировать) и переключатель. После установки включены Telegram, YouTube, «Реестр РКН» и «Обновления Apple и Microsoft» — все мимо VPN; «Реклама и слежка» выключена, её направление — блокировать.

Свой набор — список по ссылке https://… (Добавить по ссылке) или из файла (Из файла…): .srs, .json или простой текстовый список, тип — сайты или IP-адреса. Свои сайты и адреса — домен (с поддоменами), IP-адрес или подсеть; они действуют раньше наборов.

Списки скачивает само приложение, а не ядро: сначала напрямую, не вышло — через VPN; обновляет раз в сутки. Ядро качало бы их по тем самым правилам, которые списки задают, и с мёртвым сервером загрузка умерла бы вместе с ним. Пока список не скачан, набор не действует: под именем видно, что список качается или не загружен, а переключатель приглушён. Не удалось обновить — действует прежний список.

Изменения применяются сразу, открытые соединения при этом могут оборваться; при выключенном VPN выбор сохранится до подключения. Наборам «мимо VPN» защита от утечек не мешает: этот трафик отправляет само ядро.

DNS через сервер

Включён — ядро отправляет DNS-запросы через VPN, и DNS-сервер видит адрес сервера выхода, а не ваш. Выключен — те же запросы идут напрямую с вашего настоящего адреса. Если при этом на странице Настройки DNS (стрелка справа от строки) указан сервер без шифрования, под строкой появится предупреждение: такие запросы видит провайдер.

Обход недоступного сервера

Если выбранный сервер перестал отвечать напрямую, клиент может дойти до него через соседний сервер той же подписки: выходите вы по-прежнему через выбранный сервер и с его адресом, меняется только путь. Перед включением клиент проверяет, что трафик проходит и выходит с адреса выбранного сервера. Работает только в режиме TUN.

Спрашивать — на Главной появится «Сервер … не отвечает напрямую» с кнопками Позже и Подключить и проверить обход. Тот же вопрос приходит системным уведомлением и пунктом в меню трея.
Автоматически — клиент включает проверенный обход сам, и при закрытом окне, и сообщает уведомлением «Обход включён через …». Не получилось — повторяет поиск через 2 минуты, через 5, дальше каждые 15.
Выключено — обход не ищется. Если через сервер перестали идти данные, Главная предложит Сменить сервер или Подобрать рабочий (клиент проверит другие серверы и переключит на тот, через который идут данные); сам клиент сервер не меняет.

Возврат на прямой путь. Пока обход включён, клиент примерно раз в шесть минут проверяет, не ожил ли прямой путь, — редко, потому что проверка идёт с вашего настоящего адреса. Ожил — предлагает вернуться: кнопка Вернуться на прямой путь на Главной и в уведомлении, пункт «Вернуться напрямую» в меню трея. Сам клиент на прямой путь не возвращается ни в одном режиме.