Если раздельное туннелирование не работает, сначала подтвердите, что текущий VPN-клиент, операционная система и режим соединения вообще поддерживают эту функцию. Затем выясните, означает ли правило «только эти приложения идут через VPN» или «эти приложения обходят VPN», заново установите соединение и проверьте два известных приложения относительно чистого базового результата.

Не меняйте одновременно DNS, протокол и межсетевой экран. Диагностика имеет смысл только тогда, когда вы точно знаете, какое приложение должно использовать какой путь и как это проверяется.

Ключевые выводы

Отсутствующая функция — ограничение возможностей клиента, а не сломанное правило.

Режимы включения и исключения дают противоположный результат для одного списка.

Список приложений обычно привязан к пакету или исполняемому компоненту, а не к заголовку окна или сайту.

После изменения правил переподключите VPN, чтобы клиент заново создал туннель и маршруты.

Политика работодателя или учебного заведения имеет приоритет; не обходите управляемые маршруты и фильтры.

Что означает, когда раздельное туннелирование не работает?

Раздельное туннелирование направляет выбранный трафик через VPN, а остальной — через обычную сеть. В Android VPN-приложение может создать либо список разрешённых приложений, либо список запрещённых, но не оба сразу. Если списков нет, весь сетевой трафик проходит через VPN. Эти списки задаются до установления соединения.［1］［2］

Windows описывает аналогичный выбор на уровне маршрутов: при раздельном туннеле (split tunnel) заданные маршруты идут через VPN, остальные — через физический интерфейс; при принудительном туннеле (forced tunnel) трафик по умолчанию отправляется в VPN.［3］ В профиле Windows также могут быть заданы маршруты раздельного туннеля, принудительный режим и связанные политики.［4］

Поэтому под одной жалобой скрываются разные случаи:

Симптом	Первый вопрос
Исключённое приложение всё ещё показывает VPN-IP	Правило точно исключающее и выбрана ли правильная идентичность?
Включённое приложение использует прямой IP	Применилось ли правило до создания текущего туннеля?
Два браузера дают разные результаты	Совпадают ли процессы, прокси и DNS-пути?
Перестали работать локальные ресурсы	Не отсутствует ли маршрут или исключение локальной сети?
Настройки вообще нет	Поддерживает ли её этот клиент и платформа?
Правило возвращается после подключения	Не управляется ли профиль другой системой?

Как диагностировать правила раздельного туннеля?

1. Подтвердите поддержку до проверки конфигурации

Откройте актуальную официальную документацию для точного VPN-клиента, ОС и режима. Функция Android может отсутствовать в iOS; приложение провайдера может отличаться от встроенного профиля Windows; корпоративный туннель может не предоставлять пользователю редактор правил.

Если функция не документирована или переключателя нет, не называйте это неисправностью. Не устанавливайте неофициальный клиент и не импортируйте неизвестную конфигурацию ради обхода. Спросите провайдера или администратора о поддерживаемых платформах и режимах.

2. Определите режим включения или исключения

Запишите цель одним предложением: «Только приложение A должно идти через VPN» либо «Приложение B должно обходить VPN, а остальное — идти через него». Сравните эту формулировку с описанием интерфейса. Include, protect и route through VPN означают не то же самое, что exclude, bypass или do not use VPN.

Начните с одного приложения. Удалите дублирующие и противоречивые записи. Если клиент предлагает правила и для приложений, и для адресов, проверяйте один тип за раз. Правило домена может затронуть несколько программ, а правило программы — множество адресов.

3. Постройте три контролируемых базовых состояния

Выберите два приложения и один нейтральный разрешённый адрес. Запишите результаты в трёх состояниях:

Состояние	Приложение через VPN	Приложение напрямую
VPN выключен	Прямая база	Прямая база
VPN включён без разделения	База полного туннеля	База полного туннеля
VPN включён с правилом	Путь VPN	Прямой путь

Проверяйте публичный IP или разрешённое действие внутри каждого приложения, если это возможно. Результат браузера не доказывает путь настольного клиента. Оставьте неизменными устройство, аккаунт, сеть, адрес и время. Если полный туннель уже не работает, сначала исправьте общее соединение.

4. Проверьте идентичность установленного приложения

Правило по приложениям обычно связывается с идентификатором пакета (package или bundle ID), исполняемым файлом или управляемой идентичностью. Android прямо требует, чтобы пакет был установлен в момент добавления в список.［2］ После обновления, альтернативной редакции, появления вспомогательного процесса или смены магазина старая запись может указывать не туда.

Удалите прежнюю строку и заново выберите установленное приложение через поддерживаемый список VPN-клиента. Не вводите путь к файлу вручную без официального указания. Если сетью управляет вспомогательный процесс, спросите разработчика, какой компонент следует выбрать, вместо добавления всех процессов.

5. Перестраивайте туннель после каждого изменения

Сохраните правило, полностью отключитесь, дождитесь стабильного системного состояния и подключитесь снова. Документация Android указывает, что списки приложений задаются до установления VPN; для изменения нужен новый туннель.［1］

Повторно проверьте только выбранную пару программ. Если клиент завис на закрытии, сначала выполните проверку VPN, зависшего на отключении. Не объединяйте старый туннель, новое правило и другой тестовый адрес в один результат.

6. Разделите маршруты, DNS, прокси и семейства адресов

Маршрут выбирает интерфейс для пакета, но DNS и прокси способны изменить сам адрес назначения. Исключённое приложение может продолжать использовать DNS от VPN. Браузер может иметь собственный защищённый DNS или прокси. Для IPv4 и IPv6 могут действовать разные наборы маршрутов.

Запишите, что именно не совпадает: публичный IP, разрешение имени, доступ к локальному адресу или соединение с конкретным сервисом. В Windows сравнивайте ожидаемую политику раздельного или принудительного туннеля с профилем, а не удаляйте маршруты вручную.［3］［4］ На личном устройстве временно отключайте только собственный тестовый прокси; на управляемом спрашивайте администратора.

7. Проверьте конкурирующие фильтры и политику

Другой VPN, межсетевой экран, агент защиты конечных точек, родительский контроль, DNS-фильтр или расширение браузера может владеть частью пути. Отключайте только знакомый личный компонент, по одному, и восстанавливайте его после проверки. Не отключайте обязательную защиту организации и не удаляйте управление устройством.

В AethoVPN документированный способ управлять маршрутом — глобальный режим, а не список приложений: при включённом режиме трафик всех приложений идёт через туннель, при выключенном трафик к сайтам вашего региона обходит AethoVPN; это помогает, когда местные сайты, особенно государственные, отклоняющие зарубежные IP, не открываются или работают медленно.［5］ Прогоните матрицу дважды, в каждом состоянии, и запишите, у каких приложений и сайтов меняется путь. Этот переключатель не работает как правило для отдельных приложений, поэтому исключение конкретной программы по-прежнему требует средств платформы или администратора; если матрица не сходится даже для местных сайтов, передайте поддержке режим, идентичность приложения, платформу, версию клиента, состояния проверки и время. Скачайте актуальный клиент для своей платформы перед повторной проверкой.

Как определить сломанный уровень?

Используйте минимальное наблюдение, которое разделяет причины:

Возможность: функция не предусмотрена данным клиентом или режимом.
Модель правила: смысл включения или исключения противоположен ожиданию.
Идентичность: сетью владеет другой пакет или вспомогательный процесс.
Жизненный цикл: правило изменено, но старый туннель остался.
Маршрут: префикс назначения идёт через неверный интерфейс.
DNS: соединение по IP работает, а имя разрешается иначе.
Прокси: одна программа использует PAC или прокси, а другая игнорирует.
Политика: управление восстанавливает или заменяет локальную настройку.

Такая классификация полезнее фразы «раздельный VPN сломан» и даёт поддержке воспроизводимое описание.

Чего делать не следует?

Не используйте разделение для обхода правил работодателя, учебного заведения или сервиса. Не копируйте широкие исключающие маршруты с форума и не отключайте межсетевой экран навсегда. Каждое исключение меняет объём VPN-защиты и должно иметь ясную цель и владельца.

Не доверяйте одной давно открытой вкладке проверки IP. Браузер сохраняет соединения и может использовать отдельный DNS или прокси. Начните новый сеанс и сравните его с программой, которая действительно указана в правиле.

Для воспроизводимого отчёта оставьте в правиле только одно тестовое приложение и повторите матрицу после полного отключения и подключения VPN. Запишите, проверяли ли вы публичный адрес, доступ к частному ресурсу или только сообщение внутри приложения: эти сигналы отвечают на разные вопросы. Если браузер и настольное приложение расходятся, укажите наличие браузерного расширения, системного прокси и PAC, но не меняйте их одновременно.

Сохраните точное имя выбранного исполняемого файла или пакета. После обновления приложение может запускать новый процесс, службу или helper, которого нет в старом правиле. Это не повод добавлять все процессы устройства: сначала подтвердите официальный состав приложения и минимальную разрешённую конфигурацию.

После каждого изменения сохраняйте одинаковую сеть и тестовый ресурс. Смена Wi-Fi или одновременное редактирование прокси создаёт новую переменную и делает результат неоднозначным. Для управляемого устройства запишите видимое правило и передайте его администратору, не пытаясь обойти политику.

Фиксируйте время проверки.

Итоги

Подтвердите наличие функции у точного клиента и платформы.
Переведите интерфейс в одну явную политику включения или исключения.
Сравните состояния без VPN, с полным и с раздельным туннелем на двух программах.
Заново выберите установленное приложение и переподключайтесь после изменения.
Диагностируйте маршрут, DNS, прокси, IPv4/IPv6 и управление как разные уровни.

Часто задаваемые вопросы (FAQ)

Почему исключённое приложение всё равно показывает VPN-IP?

Правило может быть включающим, относиться к старой идентичности или ждать нового туннеля. Проверьте направление, заново выберите установленную программу, полностью отключитесь и переподключитесь перед новой проверкой.

Почему настройка раздельного туннеля отсутствует?

Текущий клиент, ОС, протокол или управляемый профиль могут не поддерживать пользовательское разделение. Проверьте актуальную официальную документацию, а не считайте отсутствие переключателя дефектом.

Нужно ли переподключаться после изменения правил?

Да, это безопасное исходное предположение. Android применяет списки при создании VPN, а многие клиенты строят маршруты в момент подключения.

Может ли DNS идти через VPN для исключённого приложения?

Да. Маршрутизация приложения, разрешение имён и прокси связаны, но не тождественны. Проверяйте имя и итоговый путь отдельно.

Почему один браузер выполняет правило, а другой нет?

У них могут быть разные пакеты, помощники, DNS, расширения и прокси. Результат одного браузера не доказывает путь другой программы.

Безопасно ли вручную менять таблицу маршрутизации Windows?

Не в качестве первого шага. Сначала сравните официальный профиль и политику. Ручная запись может исчезнуть при подключении или нарушить управляемый доступ.

Что отправить поддержке VPN?

Укажите платформу, версию, подтверждённый режим, точное правило, идентичность приложения, три базовых состояния, адреса, время и управляемость устройства. Удалите секреты.

Отказ от ответственности: Раздельное туннелирование меняет объём трафика под защитой VPN. Материал содержит общую техническую информацию; следуйте актуальным инструкциям провайдера и политике организации.

Источники:

Android Developers - VPN developer guide — https://developer.android.com/develop/connectivity/vpn
Android Developers - VpnService.Builder — https://developer.android.com/reference/android/net/VpnService.Builder.html
Microsoft Learn - VPN routing decisions — https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/vpn/vpn-routing
Microsoft Learn - VPN profile options — https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/vpn/vpn-profile-options
AethoVPN official website — https://www.aethovpn.com/en

Sources checked 6 сентября 2026 г.

Рекомендуемые статьи:

Раздельное туннелирование не работает: что проверить