> **Автор:** Сетевой инженер и специалист по кибербезопасности RiderHub Secure
> **Дата актуализации:** Ноябрь 2026 года
> **Охват клиентов:** Hiddify, v2rayNG, Karing, Sing-box
> **Уровень сложности:** Экспертный (Policy-Based Routing & DNS Orchestration)
---
1. Концепция Split Tunneling: Зачем разделять трафик в 2026 году
В современных реалиях Рунета концепция «глобального VPN» (когда абсолютно весь сетевой трафик устройства принудительно направляется через заграничный узел) окончательно утратила жизнеспособность. В ноябре 2026 года тотальное проксирование приводит к критическим системным сбоям:
1. **Блокировка со стороны российских антифрод-систем:**
Сбербанк Онлайн, Т-Банк (Тинькофф), Альфа-Банк, ВТБ и портал Госуслуг немедленно отклоняют сессии или блокируют финансовые транзакции при входе с зарубежных IP-адресов дата-центров (Hetzner, OVH, DigitalOcean, Linode).
2. **Геоблокировка отечественных стриминговых и медиаплатформ:**
Кинопоиск, Иви, Okko, видеоплатформы VK Видео и Rutube либо выдают ошибку региональной лицензии («Контент недоступен в вашем регионе»), либо урезают битрейт.
3. **Колоссальные задержки (RTT/Latency) и накладные расходы:**
Пакеты до ближайшего дата-центра Яндекса в Москве или Санкт-Петербурге, отправленные через прокси в Амстердаме или Франкфурте, преодолевают лишние 3000–5000 км. Пинг возрастает с 2–5 мс до 70–120 мс, создавая ощущение медленного интернета.
**Раздельное туннелирование (Split Tunneling / Policy-Based Routing)** — это технология избирательной маршрутизации, позволяющая сетевому стеку на лету классифицировать каждый входящий сокет по доменному имени (SNI/DNS) и целевому IP-адресу, разделяя потоки на два независимых маршрута:
* **Прямой маршрут (Direct Bypass):** Трафик идет через вашего домашнего или мобильного провайдера напрямую.
* **Проксируемый маршрут (VLESS Reality Proxy):** Трафик заворачивается в шифрованный туннель к вашему VPS.
---
2. Архитектура маршрутизации: Базы данных Geosite и GeoIP
Современные клиенты (Sing-box, Hiddify, v2rayNG, Karing) оперируют стандартизированными базами данных классификации ресурсов:
Базы Geosite (Доменные категории)
* `geosite:category-ru` — полный реестр доменных имен, относящихся к российской юрисдикции (`.ru`, `.su`, `.рф`, сайты компаний, сервисы Яндекса, VK, Mail.ru).
* `geosite:category-gov-ru` — государственные ресурсы (`gosuslugi.ru`, `nalog.gov.ru`, `mos.ru` и др.).
* `geosite:youtube` — все доменные зоны и стриминговые CDN компании Google (`youtube.com`, `googlevideo.com`, `ytimg.com`).
* `geosite:openai` — инфраструктурные адреса ChatGPT (`chatgpt.com`, `openai.com`, `auth0.com`).
* `geosite:category-anticensorship` / `antifilter` — автоматически пополняемый список доменов, заблокированных на территории РФ.
Базы GeoIP (Сети и диапазоны IP-адресов)
* `geoip:ru` — агрегированный диапазон публичных подсетей IPv4 и IPv6, зарегистрированных в RIPE NCC за российскими провайдерами связи и организациями.
* `geoip:private` — локальные подсети частного пользования (`10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`, `127.0.0.0/8`), перехват которых привел бы к потере доступа к домашнему роутеру, сетевому принтеру и локальному хранилищу (NAS).
---
3. Таблица маршрутизации трафика для РФ (ноябрь 2026 года)
Ниже представлена логическая матрица, регламентирующая порядок обработки сетевых пакетов:
| Тип сервиса / Ресурс | Конкретные домены и подсети | Направление | Протокол резолвинга DNS | Обоснование |
|---|---|---|---|---|
| Банкинг и Финтех | `sberbank.ru`, `tbank.ru`, `vtb.ru`, `alfabank.ru` | DIRECT | Провайдерский / 77.88.8.8 | Антифрод немедленно заблокирует аккаунт при доступе из Нидерландов/Германии. |
| Государственные службы | `gosuslugi.ru`, `nalog.ru`, `pfr.gov.ru`, `egisz.rosminzdrav.ru` | DIRECT | Доверенный DoH РФ | Госдепартаменты используют строгий белый список российских AS. |
| Российские стриминги | `kinopoisk.ru`, `ivi.ru`, `okko.tv`, `premier.one` | DIRECT | Системный прямой DNS | Защита от потери гео-лицензии и максимальный битрейт в 4K. |
| YouTube & Google CDN | `*.youtube.com`, `*.googlevideo.com`, `*.ytimg.com` | VLESS | Удаленный шифрованный DoH (1.1.1.1) | Полный обход искусственной деградации и замедления ТСПУ. |
| Meta / Instagram | `instagram.com`, `cdninstagram.com`, `facebook.com` | VLESS | Удаленный шифрованный DoH (1.1.1.1) | Сервисы заблокированы на уровне магистральных фильтров РФ. |
| OpenAI / ChatGPT | `chatgpt.com`, `oaistatic.com`, `api.openai.com` | VLESS | Cloudflare / Google DoH | Ресурс блокирует входящие IP-адреса из диапазона `geoip:ru`. |
| Discord | `discord.com`, `discord-attachments.net`, `*.discord.gg` | VLESS | Удаленный шифрованный DoH (1.1.1.1) | Обход блокировки голосовых и текстовых шлюзов. |
| Локальные устройства | `192.168.0.0/16`, `*.local`, `router.asus.com` | DIRECT | Local Gateway | Обеспечение видимости роутера, NAS, принтеров и Smart TV. |
---
4. Настройка Split Tunneling в клиенте Hiddify
**Hiddify** в 2026 году является одним из самых популярных кроссплатформенных клиентов, использующих под капотом Sing-box core.
Пошаговая настройка Hiddify:
1. Запустите приложение Hiddify на смартфоне или компьютере.
2. Откройте раздел **Настройки** (значок шестеренки в боковом меню).
3. Перейдите в пункт **Маршрутизация (Routing)**.
4. Установите параметр **Режим маршрутизации (Routing Mode)** в значение **Только заблокированные сайты (Rule-based / Only Blocked Sites)**.
5. В поле **Регион (Region)** выберите **Россия (RU)**. Это автоматически активирует интеграцию пакетов `geosite-ru` и `geoip-ru`.
6. Нажмите **Дополнительные правила**:
* Создайте правило с типом `geosite`, значение: `youtube,discord,instagram,openai` -> действие: `Proxy`.
* Создайте правило с типом `geosite`, значение: `category-ru,gov-ru` -> действие: `Direct`.
* Создайте правило с типом `geoip`, значение: `ru` -> действие: `Direct`.
7. **Настройка Split DNS:**
* В разделе настроек DNS включите **DNS over HTTPS**.
* В поле `Local DNS` введите: `https://77.88.8.8/dns-query`.
* В поле `Remote DNS` введите: `https://1.1.1.1/dns-query`.
8. Нажмите **Сохранить** и переподключите туннель.
---
5. Настройка Split Tunneling в клиенте v2rayNG (Android)
**v2rayNG** — классический клиент для Android с поддержкой нативных правил фильтрации приложений (Per-App Proxying) и Geosite-селекторов.
Пошаговая инструкция для v2rayNG:
1. Откройте v2rayNG, нажмите на боковое меню («три полоски») -> выберите **Настройки (Settings)**.
2. Прокрутите до блока **Маршрутизация (Routing)**:
* Найдите пункт **Режим маршрутизации (Routing Mode)** -> выберите **Маршрутизация по правилам (Custom Rules)**.
3. Откройте пункт **Предустановленные правила (Domain / IP Strategy)**:
* Выберите режим **IPIfNonMatch** (сначала проверяется домен, если совпадения нет — проверяется IP).
4. Настройте списки прямого обхода:
* В поле **Прямой IP (Direct IP)** добавьте: `geoip:ru,geoip:private`.
* В поле **Прямой домен (Direct Domain)** добавьте: `geosite:category-ru,geosite:gov-ru`.
5. Настройте список проксирования:
* В поле **Прокси-домен (Proxy Domain)** укажите: `geosite:youtube,geosite:discord,geosite:openai,geosite:twitter`.
6. **Разделение по приложениям (Per-App Proxy):**
* В настройках выберите пункт **Фильтрация приложений (Per-App Proxy)**.
* Активируйте переключатель.
* Отметьте галочками приложения, которым необходим туннель: *YouTube, Discord, Instagram, Telegram, ChatGPT*.
* Приложения банков (*Сбер, Т-Банк*) оставьте неотмеченными — их сетевые сокеты пойдут в обход ядра v2rayNG на уровне ОС Android.
---
6. Настройка в клиенте Karing (Windows, macOS, iOS, Android)
**Karing** выделяется передовым движком синхронизации правил Sing-box Rule Set (`.srs`).
Пошаговая инструкция для Karing:
1. Запустите Karing и перейдите во вкладку **Настройки** -> **Маршрутизация**.
2. Включите переключатель **Включить расширенные правила маршрутизации (Enable Rule-Based Routing)**.
3. В разделе **Правила маршрутов (Rulesets)** нажмите **Добавить набор правил**:
* Вставьте URL набора правил: `https://github.com/SagerNet/sing-geosite/raw/rule-set/geosite-category-ru.srs`
* Направление (Action): **Direct (Прямое подключение)**.
4. Добавьте второй набор:
* URL: `https://github.com/SagerNet/sing-geosite/raw/rule-set/geosite-youtube.srs`
* Направление (Action): **Proxy (Проксировать через VLESS)**.
5. В разделе **DNS конфигурация**:
* Назначьте `Direct Domain DNS`: `system` или `77.88.8.8`.
* Назначьте `Remote Domain DNS`: `tls://1.1.1.1` (DNS over TLS).
---
7. Эталонная конфигурация маршрутизации в чистом `config.json` Sing-box
Для пользователей, предпочитающих консольную утилиту Sing-box или системную службу, ниже приведена безупречная секция маршрутизации `route` и `dns`, обеспечивающая идеальный сплит:
{
"dns": {
"servers": [
{
"tag": "dns-remote",
"address": "https://1.1.1.1/dns-query",
"address_resolver": "dns-direct",
"detour": "vless-proxy"
},
{
"tag": "dns-direct",
"address": "https://77.88.8.8/dns-query",
"detour": "direct"
},
{
"tag": "dns-block",
"address": "rcode://refused"
}
],
"rules": [
{
"outbound": "any",
"server": "dns-direct"
},
{
"rule_set": ["ru-gov", "ru-domains"],
"server": "dns-direct"
},
{
"rule_set": ["blocked-sites", "youtube-rule"],
"server": "dns-remote"
}
],
"final": "dns-remote",
"strategy": "prefer_ipv4",
"reverse_mapping": true
},
"route": {
"rules": [
{
"protocol": "dns",
"outbound": "dns-out"
},
{
"ip_is_private": true,
"outbound": "direct"
},
{
"rule_set": ["ru-gov", "ru-domains"],
"outbound": "direct"
},
{
"rule_set": ["ru-ips"],
"outbound": "direct"
},
{
"rule_set": ["blocked-sites", "youtube-rule"],
"outbound": "vless-proxy"
}
],
"rule_set": [
{
"tag": "ru-domains",
"type": "remote",
"format": "binary",
"url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-ru.srs",
"download_detour": "direct"
},
{
"tag": "ru-gov",
"type": "remote",
"format": "binary",
"url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-gov-ru.srs",
"download_detour": "direct"
},
{
"tag": "ru-ips",
"type": "remote",
"format": "binary",
"url": "https://raw.githubusercontent.com/SagerNet/sing-geoip/rule-set/geoip-ru.srs",
"download_detour": "direct"
},
{
"tag": "youtube-rule",
"type": "remote",
"format": "binary",
"url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-youtube.srs",
"download_detour": "direct"
},
{
"tag": "blocked-sites",
"type": "remote",
"format": "binary",
"url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-anticensorship.srs",
"download_detour": "direct"
}
],
"final": "vless-proxy",
"auto_detect_interface": true
}
}---
8. Защита от утечек DNS (DNS Leak Prevention) и архитектура FakeIP vs RealIP
DNS-утечка — это критическая уязвимость раздельного туннелирования, при которой клиент запрашивает IP-адрес заблокированного ресурса (например, `instagram.com`) у незащищенного DNS-сервера домашнего интернет-провайдера.
Почему это фатально при ТСПУ:
1. Провайдерский DNS-сервер либо возвращает поддельный IP-адрес заглушки (`127.0.0.1` или IP страницы с сообщением о блокировке), либо ТСПУ перехватывает открытый UDP-запрос на 53 порту и отправляет фальшивый ответ (DNS Spoofing).
2. Браузер пытается установить соединение с фальшивым IP, и туннель не активируется, так как адрес не попадает под критерии списков.
Сравнение архитектур разрешения DNS-запросов:
* **FakeIP (Синтетический IP пул `198.18.0.0/15`):**
Клиент перехватывает запрос и мгновенно отдает локальный виртуальный адрес из пула `198.18.0.0/15`, не дожидаясь ответа от реального DNS-сервера. Когда приложение отправляет TCP SYN пакет на этот виртуальный адрес, ядро Sing-box восстанавливает исходное доменное имя из таблицы маппинга и передает его серверу через VLESS. Это устраняет задержку на DNS-резолвинг до нуля (0 мс RTT), но может ломать некоторые сетевые игры и старые почтовые клиенты.
* **RealIP (Строгий DoH с селективной маршрутизацией):**
Каждый домен проверяется по правилам. Запросы к доменам `.ru` отправляются на российский DoH (`77.88.8.8`), а все остальные — через шифрованный канал на зарубежный DoH (`1.1.1.1`). Это гарантирует 100% совместимость со всеми приложениями и исключает перехват.
Как устранить утечку DNS на практике:
* **Использование строгого DNS over HTTPS (DoH):** Все удаленные DNS-запросы должны шифроваться с использованием TLS (порт 443) и передаваться строго через `vless-proxy` аутбаунд.
* **Включение опции `sniff_override_destination: true`:** Sing-box анализирует полезную нагрузку пакета (TLS ClientHello) и извлекает реальное доменное имя даже в том случае, если приложение выполнило кривой DNS-запрос.
---
9. Тонкости маршрутизации игровых сервисов и торрентов (Steam, Epic Games, BitTorrent)
Особое внимание при настройке Split Tunneling следует уделить игровым платформам и P2P-трафику:
1. **BitTorrent (Торрент-клиенты qBittorrent, Transmission):**
* **Правило:** Торрент-трафик категорически запрещено направлять через зарубежный VLESS VPS. Во-первых, большинство хостинг-провайдеров в ЕС и США мгновенно блокируют сервер за распространение контента (DMCA Abuse). Во-вторых, скорость скачивания упадет из-за перегрузки туннеля.
* **Решение:** Добавьте правило с типом `protocol: "bittorrent"` -> `outbound: "direct"`, либо в настройках клиента исключите порт торрент-клиента из проксирования.
2. **Steam, Battle.net, PlayStation Network:**
* Скачивание гигабайтных дистрибутивов игр должно идти напрямую через CDN провайдера на скорости 500-1000 Мбит/с.
* Добавьте в список `direct`: `geosite:steam`, `geosite:epicgames`, `geosite:blizzard`.
---
10. Верификация правильности работы Split Tunneling
После применения конфигурации выполните серию тестов в браузере или терминале:
Тест 1: Проверка прямого российского маршрута
Откройте страницу: `https://2ip.ru` или выполните:
curl -s https://api.myip.com*Результат:* Сервис должен отображать ваш **реальный российский IP-адрес** и имя вашего домашнего провайдера (Ростелеком, Дом.ру, МТС и т.д.).
Тест 2: Проверка проксируемого маршрута
Откройте консоль и выполните запрос к Cloudflare или зарубежному API:
curl -s https://cloudflare.com/cdn-cgi/trace*Результат:* Параметр `ip=` должен показывать **IP-адрес вашего зарубежного VPS-сервера**, а параметр `loc=` должен указывать на страну расположения сервера (NL, DE, FI, US).
Тест 3: Проверка доступности критических ресурсов РФ
* Авторизуйтесь на сайте `https://esia.gosuslugi.ru`. Вход должен пройти без дополнительных капч и сообщений о подозрительной активности.
* Включите видео на `https://www.youtube.com`. Видеопоток в разрешении 2160p (4K) должен запускаться мгновенно без сбоев буферизации.
Грамотно настроенный Split Tunneling — это идеальный баланс между максимальной свободой доступа к глобальной сети и беспрепятственной работой в отечественном цифровом пространстве.