Туннель для AmneziaVPN: раздельное туннелирование и настройка AWG

Что такое туннель в AmneziaVPN и зачем он нужен

Туннель в контексте VPN — это защищённое соединение между вашим устройством и удалённым сервером, через которое проходит интернет-трафик. AmneziaVPN поддерживает несколько протоколов, включая собственный AmneziaWG, основанный на WireGuard, но с дополнительной обфускацией. Туннель скрывает ваш реальный IP-адрес, шифрует данные и позволяет обходить блокировки.

Однако стандартный туннель направляет весь трафик через VPN, что не всегда удобно. Например, вам может понадобиться, чтобы банковское приложение работало через ваше обычное подключение, а браузер — через VPN. Для этого используется раздельное туннелирование (split tunneling), которое позволяет гибко управлять тем, какие приложения и сайты используют VPN, а какие — нет.

Раздельное туннелирование: основные режимы и возможности

Раздельное туннелирование в AmneziaVPN позволяет выбирать, какие IP-адреса, подсети или приложения будут работать через VPN, а какие — напрямую. В зависимости от операционной системы доступны разные варианты:

• Android: поддерживается раздельное туннелирование и по IP-адресам, и по приложениям. Для каждого варианта доступны два режима: выбранные элементы работают через VPN или без VPN.
• Windows: поддерживаются оба варианта, но для приложений доступен только режим исключений — выбранные приложения работают без VPN. Для IP-адресов доступны оба режима.
• iOS, macOS, Linux: только раздельное туннелирование по IP-адресам, без возможности настройки по приложениям.

Каждый режим имеет свои особенности. Например, режим «Только адреса из списка должны открываться через VPN» рекомендуется для Windows, iOS, macOS и Linux, так как он позволяет точно контролировать, какой трафик идёт через VPN. Режим «Адреса из списка не должны открываться через VPN» чаще используется для исключения локальных сетей или провайдерских ресурсов.

Настройка раздельного туннелирования по IP-адресам

Для настройки раздельного туннелирования по IP-адресам в AmneziaVPN необходимо:

1. Перейти на сайт iplist.opencck.org/ru, выбрать формат Amnezia и тип данных IPv4 (CIDR).
2. Отметить нужные сайты или разделы, которые должны работать через VPN.
3. Сохранить файл ip-list.json.
4. В приложении AmneziaVPN открыть настройки раздельного туннелирования сайтов, выбрать режим «Только адреса из списка должны открываться через VPN».
5. Импортировать файл через меню ⋮ (три точки), выбрав «Добавить импортированные сайты к существующим» или «Заменить список с сайтами».
6. Включить раздельное туннелирование и подключиться к VPN.

Важно понимать, что добавление только домена (например, youtube.com) недостаточно, так как приложение разово резолвит домен в IP-адрес, который не обновляется автоматически. Для крупных сервисов, таких как YouTube или Discord, используются тысячи IP-адресов, поэтому необходимо использовать актуальные списки подсетей. Также следует учитывать, что широкие подсети могут захватывать IP-адреса несвязанных сервисов, что может привести к нежелательному трафику через VPN.

Раздельное туннелирование приложений на Windows

На Windows раздельное туннелирование приложений позволяет указать, какие программы будут работать без VPN. Это полезно для торрент-клиентов, игровых сервисов (Steam, Epic Games) или дополнительных браузеров, которые должны использовать обычное подключение.

Чтобы добавить приложение, нужно:

1. Открыть настройки раздельного туннелирования приложений.
2. Нажать кнопку ➕ (плюс).
3. Выбрать исполняемый файл (.exe) приложения.
4. Включить раздельное туннелирование и подключиться к VPN.

Если приложение продолжает работать через VPN, возможно, оно использует дополнительные файлы, которые не были добавлены. Для поиска таких файлов можно использовать программу AppNetworkCounter от NirSoft, которая показывает все процессы, выходящие в интернет, и путь к их исполняемым файлам. Также стоит поискать информацию о раздельном туннелировании для конкретного приложения в интернете.

Обратите внимание, что некоторые приложения не поддерживают раздельное туннелирование по приложениям, например, приложения из Microsoft Store или игры с античитом (Valorant, League of Legends). В таких случаях можно использовать раздельное туннелирование по IP-адресам.

AmneziaWG: протокол с обфускацией для защиты от DPI

AmneziaWG — это модифицированная версия WireGuard, которая добавляет обфускацию трафика для обхода глубокого анализа пакетов (DPI). Протокол поддерживает две версии:

• AWG 1.5 (Legacy): использует статические параметры обфускации (Jc, S1–S4, H1–H4), маскирует только начало соединения. Совместим со старыми клиентами и работает с Cloudflare WARP без необходимости настройки сервера.
• AWG 2.0: использует динамические заголовки и случайный padding во всех пакетах, имитирует QUIC/DNS на протяжении всей сессии. Это делает его сложнее для эвристического DPI-анализа, но требует клиент версии не ниже 4.8.12.9 и обновлённого ядра на сервере.

Для Cloudflare WARP сервер не нужен — конфиги, сгенерированные специальными инструментами, работают с публичным сервером Cloudflare. Для собственного сервера AWG 2.0 требует установки модуля amneziawg-linux-kernel-module и новых конфигов клиентов.

Генерация конфигурации AmneziaWG для Cloudflare WARP

Существуют бесплатные веб-генераторы конфигураций AmneziaWG для Cloudflare WARP. Они позволяют создавать .conf-файлы для различных устройств и версий протокола. При генерации можно настроить:

• Режим AWG: 1.5 (Legacy) или 2.0.
• AllowedIPs: по умолчанию весь трафик идёт через туннель (0.0.0.0/0, ::/0), но можно выбрать пресеты маршрутов, чтобы через туннель шли только нужные подсети.
• DNS: выбор DNS-сервера.
• IPv6: можно включить, но это увеличивает число маршрутов и может вызывать сбои на роутерах.
• CPS-протокол: тип трафика для маскировки начала соединения.
• Мобильный профиль: низкие значения Jc/Jmax, MTU 1280, только IPv4.
• Режим роутера: малые параметры для MikroTik, GL.iNet, Keenetic, OpenWrt.

Для Windows генератор предлагает два .bat-файла для планировщика заданий, которые автоматически подключают AmneziaWG при входе в систему. Важно сохранять конфиг в папку «Загрузки» с ожидаемым именем, иначе планировщик не найдёт файл.

Решение типичных проблем с туннелем AmneziaVPN

При использовании AmneziaVPN могут возникать различные проблемы. Вот основные сценарии и способы их решения:

• Не подключается: проверьте endpoint, порт, доступность UDP, режим AWG и версию клиента. Возможно, вы используете неподдерживаемую версию протокола.
• Подключается, но сайты не открываются: проверьте DNS, AllowedIPs, IPv6 и MTU. Иногда проблема в неправильно настроенных маршрутах.
• Работает в Wi-Fi, но не в мобильной сети: попробуйте другой порт, используйте hostname вместо IP или другой endpoint-режим.
• Импорт конфига не проходит: проверьте режим AWG (1.5 или 2.0), формат профиля и способ импорта.

Если вы используете раздельное туннелирование, убедитесь, что вы добавили все необходимые IP-подсети или приложения. Для диагностики можно использовать встроенные инструменты Windows, такие как Монитор ресурсов, или сторонние утилиты, например TCPView.

Практические примеры настройки туннеля

Рассмотрим несколько типичных сценариев использования туннеля AmneziaVPN.

Сценарий 1: Торренты без VPN, остальной трафик через VPN. На Windows добавьте торрент-клиент в раздельное туннелирование приложений (режим «без VPN»). Это позволит скачивать и раздавать файлы без ограничений, которые действуют на большинстве локаций AmneziaVPN (кроме Швейцарии).

Сценарий 2: Игры без VPN, Discord через VPN. Используйте раздельное туннелирование по IP-адресам. Скачайте список IP-подсетей Discord с iplist.opencck.org и импортируйте его в режиме «Только адреса из списка должны открываться через VPN». Таким образом, Discord будет работать через VPN, а игры — напрямую.

Сценарий 3: Доступ к госуслугам без VPN. Если вы хотите, чтобы сайты типа gosuslugi.ru открывались без VPN, настройте раздельное туннелирование по IP-адресам в режиме «Адреса из списка не должны открываться через VPN» и добавьте подсети локальных сетей (192.168.0.0/16, 10.0.0.0/8 и т.д.). Либо используйте отдельный браузер, исключённый из VPN.

Ограничения и важные замечания

При использовании AmneziaVPN и раздельного туннелирования следует учитывать несколько ограничений:

• AmneziaVPN поддерживает только IPv4, IPv6 не поддерживается.
• В подключении Amnezia Free раздельное туннелирование по IP-адресам недоступно.
• Одновременное использование с некоторыми VPN-клиентами (AnyConnect, OpenConnect) может привести к некорректной работе.
• Раздельное туннелирование по приложениям не работает для приложений из Microsoft Store и некоторых игр с античитом.
• При использовании широких IP-подсетей возможен захват несвязанных сервисов, что может замедлить доступ к ним.

Также важно помнить, что списки IP-подсетей на сторонних сайтах могут быть неполными или неточными. Amnezia не гарантирует их актуальность, поэтому рекомендуется проверять их перед использованием.

Вопросы и ответы