Что такое фильтрация приложений в VPN и как это работает

Коротко: Фильтрация приложений (split tunneling, раздельное туннелирование) позволяет пропускать одни приложения через VPN-туннель, а другие — напрямую, в обход. Это ускоряет повседневные задачи, сохраняет доступ к устройствам домашней сети (принтеры, NAS, умный дом) и решает проблему банковских приложений, которые блокируют вход с «зарубежного» IP. Работает функция на уровне операционной системы через таблицу маршрутизации, поддерживается на Android и (с оговорками) на iOS. Главный компромисс — то, что идёт мимо туннеля, не шифруется и видно провайдеру, поэтому критичный трафик всегда оставляйте под VPN.

Что такое фильтрация приложений и зачем она нужна

Когда вы включаете обычный VPN, весь интернет-трафик устройства уходит в один зашифрованный туннель: и браузер, и мессенджер, и банковское приложение, и фоновые обновления. Это безопасно, но не всегда удобно. Скорость падает для всех программ разом, локальные сервисы перестают отвечать, а некоторые приложения вообще отказываются работать через «иностранный» адрес. Фильтрация приложений (по-английски split tunneling) — это способ разделить трафик на два потока и для каждого приложения решить, идёт оно через VPN или напрямую.

Сама идея VPN в том, чтобы спрятать ваш трафик и подменить IP-адрес; если вы ещё не разбирались с основами, начните со статьи что такое VPN простыми словами. Фильтрация надстраивается поверх этой базы и превращает VPN из «грубого рубильника» в точный инструмент, где вы управляете каждой программой по отдельности.

Важно развести два понятия. «Полный туннель» (full tunnel) — режим по умолчанию у большинства VPN: весь трафик уходит в зашифрованный канал. «Раздельный туннель» (split tunnel) — режим, в котором часть трафика намеренно выпущена наружу. Никакого «полусырого» шифрования между ними нет: каждый пакет либо целиком зашифрован и идёт через сервер, либо целиком открыт и идёт напрямую. Это безопаснее привычки «отключу-ка VPN на минутку, чтобы зашёл банк»: split tunneling оставляет защиту там, где она нужна, и снимает только с выбранного, а не со всего трафика разом.

Зачем разделять трафик: четыре причины

Скорость и экономия пропускной способности

Когда весь трафик идёт через один туннель, видеозвонок, выгрузка в облако, обновления и загрузка игр конкурируют за одну полосу. С фильтрацией вы направляете через VPN только то, что нуждается в защите, а тяжёлому, но некритичному трафику даёте прямой путь. Замедление берётся из двух источников: шифрование каждого пакета требует вычислений (на потоке в гигабайты заметно), и трафик идёт не напрямую, а сначала до VPN-сервера — если сервер далеко, добавляется задержка и снижается пропускная способность. Для зашифрованного банковского запроса это незаметно, а для резервной копии на десятки гигабайт — вполне; такой трафик и выгодно пускать напрямую. Подробнее — в материале почему VPN замедляет интернет.

Доступ к локальным устройствам

Принтер, сетевое хранилище NAS, камеры и хабы умного дома доступны только при прямом подключении внутри домашней сети. Технически они живут в приватном диапазоне адресов (например, 192.168.x.x), а полный туннель перенаправляет все маршруты на VPN-сервер — и запросы к соседнему принтеру тоже уходят «в облако». Раздельное туннелирование решает это: приложение умного дома или печати работает напрямую по локальной сети, а браузер и почта остаются под защитой. Некоторые VPN умеют автоматически исключать локальную подсеть (опция вроде «разрешить доступ к локальной сети») — это самый простой частный случай split tunneling.

Банковские и государственные приложения

Самый частый повод. Вы за границей, подключены к VPN-серверу в другой стране, но банк блокирует вход с нероссийского IP. Антифрод-система банка строит модель «нормального» поведения клиента, и внезапный вход из другой страны — классический признак угона аккаунта, поэтому система перестраховывается. Это не «плохой VPN», а та защита, ради которой вы доверяете банку деньги. С фильтрацией вы исключаете банковское приложение из туннеля (или направляете через сервер своей страны), и оно видит «домашний» адрес, а остальной трафик идёт как настроено. Подробнее — в материале безопасный онлайн-банкинг.

Игры, торренты и трафик, чувствительный к задержке

Онлайн-игры критичны к пингу: лишний крюк до VPN-сервера добавляет задержку. Часто игру выгоднее пустить напрямую, а браузер и мессенджеры оставить под VPN. С торрент-клиентом наоборот: его направляют в туннель ради приватности, а всё остальное — напрямую ради скорости. Оговорка: «игра напрямую ради пинга» работает не всегда — иногда VPN, наоборот, снижает пинг, если провайдер криво маршрутизирует трафик или троттлит его. Это гипотеза, которую стоит проверить замером в обоих режимах. Отдельный большой сценарий — удалённая работа: корпоративные приложения в рабочий туннель, личное (стриминг, бэкапы) напрямую. Подробнее — VPN для игр и VPN для удалённой работы.

Как это работает технически

Раздельное туннелирование реализуется на уровне операционной системы, а не внутри приложения. VPN-клиент создаёт виртуальный сетевой интерфейс и правит таблицу маршрутизации — набор правил, который решает, в какой адаптер отправить каждый пакет. Для приложений из «списка VPN» маршрут ведёт в зашифрованный туннель, для остальных — в обычный интерфейс. Само приложение об этом не знает.

Фильтрация почти не зависит от VPN-протокола. WireGuard, OpenVPN или IKEv2 определяют, как именно шифруется трафик внутри туннеля, а split tunneling — это уровень выше, на стороне маршрутизации. Поэтому современный быстрый протокол вроде WireGuard и раздельное туннелирование прекрасно сочетаются: первый отвечает за скорость и стойкость шифра, второй — за то, какой трафик в этот шифр попадёт. Тонкий момент — DNS: запрос «какой IP у домена» технически отдельный шаг, и при неаккуратной реализации может уйти мимо туннеля. Хороший VPN направляет DNS-запросы туннелированных приложений через свой защищённый резолвер, поэтому проверка на утечки после настройки особенно важна.

Существует два режима фильтрации:

• Белый список (включающий режим) — через VPN идут только выбранные приложения, всё остальное напрямую. По умолчанию небезопасно; удобно, когда защитить нужно немногое.
• Чёрный список (исключающий режим) — через VPN идёт всё, кроме явно исключённых приложений. По умолчанию безопасно; удобно, когда защитить нужно почти всё, а вывести — одну-две программы вроде банка.

Для приватности почти всегда правильнее чёрный список: по умолчанию безопасно (всё в туннеле), и вы делаете точечные исключения.

Чем split tunneling отличается от полного VPN

Split tunneling — это обмен части защиты на скорость и совместимость. Обмен оправдан, когда вы точно понимаете, какой трафик некритичен. Если сомневаетесь — оставляйте приложение в туннеле.

Настройка по платформам

Механика фильтрации отличается от устройства к устройству. Общий принцип один — операционная система решает, какой адаптер получит трафик, — но степень контроля разная.

Android

Самая дружелюбная к фильтрации платформа. В системе есть встроенный механизм per-app VPN: приложение VPN получает список всех программ и может для каждой включить или выключить туннель. Поэтому на Android реально собрать именно «приложенческий» сценарий: банк и игру — мимо, браузер и почту — внутрь. Никакой возни с IP-адресами, всё на уровне понятных названий приложений. Здесь же удобнее всего пользоваться чёрным списком.

iOS и iPadOS

На iPhone и iPad система устроена строже. Классический выбор «эту программу через VPN, а ту — мимо» в общем виде недоступен: Apple не отдаёт приложениям такой контроль над чужим трафиком. Зато доступно разделение по адресам и доменам — можно описать, какие хосты идут в туннель, а какие напрямую. Для большинства бытовых задач этого хватает, просто настраивается оно не списком приложений, а правилами по адресам. Базовую настройку VPN на iPhone мы разбирали в статье как настроить VPN на iPhone.

Десктоп (Windows, macOS, Linux)

На компьютерах гибкость максимальна: делить трафик можно и по приложению, и по диапазонам IP-адресов и доменов. Это удобно для рабочих сценариев: корпоративные ресурсы — через VPN, всё остальное напрямую, или наоборот. На десктопе также проще проверить результат — системные утилиты показывают таблицу маршрутизации. Общий вывод: если важен выбор по приложениям, эталон — Android; на iOS думайте категориями адресов и доменов; на десктопе доступно и то, и другое.

Риски и ограничения

Удобство фильтрации имеет цену. Главное правило: всё, что вы вывели из туннеля, идёт в открытую сеть — провайдер видит, к каким сервисам вы обращаетесь, а в публичном Wi-Fi такой трафик можно перехватить. Поэтому в ненадёжных сетях список исключений должен быть минимальным.

• Раскрытие реального IP. Приложение, идущее напрямую, показывает сайтам ваш настоящий адрес и геолокацию. Если задача — скрыть IP, такое приложение исключать нельзя; как устроено сокрытие адреса — в статье как скрыть IP-адрес.
• Утечки DNS. DNS-запросы прямых приложений могут уходить мимо защищённого резолвера и раскрывать, какие сайты вы открываете. Проверить — по инструкции из материала проверка утечки DNS.
• Человеческая ошибка. Легко по привычке оставить в исключениях приложение, которое нужно было защитить. Списки стоит периодически пересматривать.
• Ложное чувство безопасности. «У меня включён VPN» — но конкретное приложение идёт мимо. Защищён лишь тот трафик, что реально в туннеле.

Когда фильтрацию лучше НЕ включать

Split tunneling — не та функция, которую стоит включать «просто потому что она есть». В ряде ситуаций раздельный туннель приносит больше риска, чем пользы:

• Вы в публичном или незнакомом Wi-Fi. Любой прямой трафик уязвим для перехвата, а рядом могут быть поддельные точки доступа — держите полный туннель. Подробности в материале безопасность в публичном Wi-Fi.
• Главная цель — анонимность. Если вы хотите, чтобы ни один сервис не видел реальный IP, любое прямое приложение раскрывает адрес и создаёт дыру.
• Вы не уверены, какой трафик у приложения «тяжёлый». Многие программы ходят в сеть в фоне непредсказуемо; не понимаете поведение — оставьте в туннеле.
• Устройство общее или детское. Когда настройками пользуется не тот, кто их понимает, схема «всё через VPN» надёжнее набора тонких исключений.
• Вы обходите блокировки. Важно, чтобы целевой сервис видел адрес VPN-сервера; случайно оставленное в прямом доступе приложение сведёт усилия на нет. Подробнее — как обойти блокировки сайтов.

Правило простое: split tunneling — инструмент оптимизации, а не безопасности. Он экономит скорость и решает совместимость, но никогда не усиливает защиту по сравнению с полным туннелем. Включайте его осознанно и только там, где выигрыш в удобстве очевиден, а потеря части шифрования не критична. Самая дорогая ошибка — исключить браузер «для скорости»: именно через него идёт самый чувствительный трафик.

Чек-лист: как правильно настроить фильтрацию

Пройдитесь по нему при первой настройке split tunneling — это убережёт от типичных ошибок.

• Решите политику по умолчанию: для приватности безопаснее «всё через VPN», а исключения добавлять точечно (чёрный список).
• В исключения выносите только некритичный трафик: игры ради пинга, тяжёлые загрузки ради скорости, локальные приложения ради доступа к домашней сети.
• Банковское приложение либо исключите (чтобы видело домашний IP), либо направьте через сервер своей страны — но не оставляйте в «иностранном» туннеле без необходимости.
• Никогда не исключайте приложения, где важно скрыть реальный IP: браузер для приватного сёрфинга, торрент-клиент.
• После настройки проверьте на утечки DNS и IP, чтобы прямые приложения не раскрывали лишнего.
• В публичном и чужом Wi-Fi временно отключайте исключения и гоните весь трафик через туннель.
• Периодически пересматривайте списки: набор приложений и задачи со временем меняются.
• Держите включённым kill switch, чтобы при обрыве туннеля защищённый трафик не «вылетел» в открытую сеть.

Готовые сценарии под задачу

Три типовых профиля как отправные точки, которые легко подстроить под себя. Общий принцип всех трёх: по умолчанию трафик в туннеле, а исключения — точечные и осмысленные.

• Путешествие. Общий режим — полный туннель через удобный сервер; банковское и платёжное приложения исключены или направлены через сервер своей страны; видеостриминг — через сервер нужной страны. В общественном Wi-Fi отеля исключений не оставлять: банк безопаснее открыть с мобильного интернета.
• Работа. Корпоративные приложения — в туннель (часто отдельный корпоративный); личное (стриминг, соцсети, бэкапы) — напрямую, чтобы не нагружать рабочий канал и не светить личный трафик работодателю.
• Дом. Полный туннель для приватности от провайдера плюс явное разрешение для локальной сети или исключение приложений умного дома, печати и медиасервера. Браузер и почта под защитой, принтер и NAS под рукой.

Заключение

Фильтрация приложений превращает VPN из тумблера «вкл/выкл» в гибкий инструмент, где каждое приложение получает свой оптимальный маршрут. Она ускоряет повседневные задачи, возвращает доступ к домашним устройствам и снимает конфликт с банковскими сервисами. Но за гибкость вы платите частью защиты, поэтому золотое правило — по умолчанию держать трафик в VPN, выносить наружу только заведомо некритичное и временно отключать исключения в ненадёжных сетях. Иерархия приоритетов: сначала безопасность (критичный трафик всегда в туннеле), потом совместимость (банк и локальные устройства — через исключения), и только в последнюю очередь скорость.

Если хотите попробовать раздельное туннелирование на смартфоне без сложных настроек, в LiMP это пара минут: список приложений, режим на каждое, мгновенное применение без переподключения. Сервис работает на iOS и Android, стоит 100 ₽/мес и не хранит логи вашей активности. Условия — на странице тарифов. Если только выбираете сервис, сверьтесь с критериями из руководства как выбрать VPN в 2026 году.

Частые вопросы

Что такое фильтрация приложений в VPN простыми словами?

Это функция, которая позволяет для каждого приложения отдельно решить, идёт его трафик через VPN-туннель или напрямую в интернет. По-английски называется split tunneling. Так одни программы остаются под шифрованием и со скрытым IP, а другие работают по обычному соединению ради скорости или доступа к локальной сети.

В чём разница между белым и чёрным списком?

В белом списке через VPN идут только выбранные приложения, остальное — напрямую (по умолчанию небезопасно). В чёрном списке через VPN идёт всё, кроме явно исключённых программ (по умолчанию безопасно). Для приватности обычно правильнее чёрный список: вы защищаете весь трафик и делаете точечные исключения.

Работает ли фильтрация приложений на iPhone?

На iOS классический выбор «это приложение через VPN, а это нет» ограничен архитектурой системы. Чаще доступно разделение по адресам и доменам, а не по конкретным приложениям. На Android есть полноценный системный per-app VPN, где приложения выбираются напрямую. Суть одинаковая, отличается гранулярность.

Почему банковское приложение не работает через VPN?

Банк видит вход с «иностранного» IP-адреса и считает это подозрительной активностью, поэтому блокирует или требует дополнительное подтверждение. Решение — исключить банковское приложение из туннеля (тогда оно увидит ваш домашний IP) или направить его через VPN-сервер своей страны. Менять сервер во время банковской сессии не стоит — это тоже выглядит подозрительно.

Зависит ли фильтрация от протокола VPN?

Почти нет. Протокол (WireGuard, OpenVPN, IKEv2) определяет, как шифруется трафик внутри туннеля, а split tunneling работает уровнем выше — на маршрутизации операционной системы. Поэтому современный быстрый протокол и раздельное туннелирование отлично сочетаются.

Можно ли направить одно приложение через один сервер, а другое — через другой?

В большинстве клиентов split tunneling решает только, идёт приложение в туннель или напрямую, а не через какой именно сервер. Маршрутизация разных приложений по разным серверам одновременно поддерживается редко; обычно для этого переключают общий сервер или используют отдельные профили. Уточняйте возможность в настройках конкретного VPN.