Маршрутизация для INCY: настройка профилей под РКН и безопасный интернет

Что такое маршрутизация в INCY и зачем она нужна

Маршрутизация в INCY — это набор правил, которые определяют, как обрабатывать каждый домен или IP-адрес: отправить трафик через прокси-сервер, открыть напрямую или заблокировать. Без настройки маршрутизации весь трафик идёт через туннель, что может вызывать проблемы с российскими сервисами, требующими локальный IP, или замедлять доступ к локальным ресурсам.

Профиль маршрутизации — это отдельная сущность, которую можно импортировать по ссылке или создать вручную. Он содержит правила, DNS-настройки и ссылки на геофайлы. Для пользователей в России особенно важно настроить маршрутизацию так, чтобы банки, госуслуги и другие ресурсы, работающие только с российских адресов, оставались доступны, а заблокированные сайты открывались через туннель.

Основные преимущества грамотной маршрутизации: снижение нагрузки на VPN-сервер, уменьшение задержек для локальных сервисов, сохранение доступа к домашней сети и возможность блокировать рекламу и трекеры на уровне DNS.

Три результата обработки трафика: DIRECT, PROXY и BLOCK

INCY поддерживает три результата для каждого правила:

DIRECT (Напрямую) — трафик идёт через обычное подключение провайдера, минуя прокси. Это полезно для банков, госуслуг, домашней сети и игровых сервисов, где важна низкая задержка.
PROXY (Через прокси) — трафик проходит через выбранный VPN-сервер. Используется для обхода блокировок и защиты приватности.
BLOCK (Блокировать) — соединение с указанным доменом или IP не устанавливается. Применяется для блокировки рекламы, трекеров и вредоносных сайтов.

Порядок применения правил задаётся параметром RouteOrder, например block-proxy-direct — сначала блокировка, затем прокси, затем прямой доступ. Это позволяет гибко управлять приоритетами.

Поведение трафика, который не совпал ни с одним правилом, определяется параметром GlobalProxy:

true — весь нераспознанный трафик идёт через прокси (схема «локальные ресурсы напрямую, остальное через туннель»).
false — весь нераспознанный трафик идёт напрямую (схема «только выбранные сервисы через прокси»).

Готовые профили для России: от «Россия напрямую» до «Точный список блокировок»

Для типовых сценариев можно использовать готовые профили, которые импортируются одной ссылкой. Вот основные варианты:

P1 «Россия напрямую» — самый спокойный и рекомендуемый для начала. Российские сайты (зоны .ru, .su, .рф), банки, госуслуги, маркетплейсы и домашняя сеть идут напрямую, всё остальное (YouTube, Telegram) — через туннель. База лёгкая (0,5 МБ), работает на iPhone и слабых Android.

P2 «Россия и игры» — дополняет первый профиль прямым доступом для игровых сервисов (Steam, Epic Games, Riot, Twitch) и системных обновлений, а также блокирует рекламу и телеметрию Windows. Пинг в играх остаётся домашним, а загрузка патчей не упирается в скорость VPN.

P3 «Только банки и госуслуги» — максимальная приватность: напрямую идут только банки, госсервисы и домашняя сеть, весь остальной трафик — через туннель. Подходит, если прямой путь нужен только для дел, а не для скорости.

P4 «Точный список блокировок» — использует реальные списки РКН: в туннель уходит только то, что действительно заблокировано, даже если это .ru-домен. Сервисы, которые пускают только из России, остаются напрямую, даже если у них домен .com. База тяжелее (4,7 МБ), но точнее.

P5 «Всё через туннель» — профиль-возврат: весь трафик идёт через прокси, кроме домашней сети. Полезен, если после чужих правил всё «поехало» и нужно начать с чистого листа.

Как импортировать профиль маршрутизации в INCY

Импорт профиля — самый простой способ настройки. Ссылки имеют формат incy://routing/onadd/ (добавляет и активирует профиль) или incy://routing/add/ (только добавляет). Также поддерживаются QR-коды, импорт из буфера обмена и HTTP-заголовки подписки.

Пошаговый процесс:

Скопируйте полную ссылку профиля (не обрезайте символы).
Временно отключите туннель, чтобы загрузка геофайлов не прервалась.
Откройте ссылку в INCY — приложение покажет диалог импорта с JSON-профилем.
Подтвердите импорт и дождитесь загрузки геофайлов (если требуется).
Проверьте, что новый профиль активен в разделе маршрутизации.
Подключитесь к серверу и протестируйте: один ресурс, который должен идти напрямую, и один — через прокси.

На Android путь: Настройки → Туннель → Маршрутизация. На iOS: Настройки → Туннель → Профили маршрутизации → Маршрутизация → Настроить. На десктопе (Windows, macOS, Linux) раздел может называться «Routing profiles» в настройках туннеля.

Важно: если профиль приходит в подписке, обновите подписку в INCY — профиль может передаваться через заголовок routing или отдельной строкой в теле.

Создание профиля вручную: основные поля и правила

Если готового профиля нет или нужно небольшое исключение, можно создать профиль вручную. Начните с минимального набора правил и добавляйте записи постепенно.

Основные поля профиля:

Name — имя профиля (отображается в списке).
GlobalProxy — true или false, определяет поведение для нераспознанного трафика.
DirectSites / DirectIp — домены и IP для прямого доступа.
ProxySites / ProxyIp — домены и IP через прокси.
BlockSites / BlockIp — домены и IP для блокировки.
DomainStrategy — стратегия проверки доменов: AsIs (без DNS-резолва), IPIfNonMatch (сначала домен, потом IP), IPOnDemand (всегда резолвить).

Пример для локальных ресурсов: добавьте в DirectIp частные диапазоны 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16, чтобы не потерять доступ к роутеру, принтеру и NAS.

Для российских сайтов можно использовать гео-категории: geosite:ru, geoip:ru, geosite:tld-ru, geosite:category-ru. Эти категории работают только если в геофайлах они присутствуют.

Практический совет: не меняйте одновременно маршруты и DNS — это усложняет поиск ошибки. Сначала настройте маршруты, проверьте, затем DNS.

Настройка DNS: разделение на Remote и Domestic

INCY разделяет DNS-запросы на удалённые (Remote) для проксируемых ресурсов и локальные (Domestic) для прямых. Это позволяет использовать разные DNS-серверы: например, Cloudflare DoH для туннеля и Яндекс DNS для российских сайтов.

Параметры DNS в профиле:

RemoteDNSType / RemoteDNSDomain / RemoteDNSIP — DNS для трафика через прокси. По умолчанию: DoH, https://cloudflare-dns.com/dns-query, IP 1.1.1.1.
DomesticDNSType / DomesticDNSDomain / DomesticDNSIP — DNS для прямого трафика. По умолчанию: DoU, IP 77.88.8.8 (Яндекс).
DnsHosts — ручные записи «домен → IP», аналог файла hosts.
FakeDNS — подставляет виртуальные IP, чтобы ядро обрабатывало запросы по правилам профиля.

Правильная настройка DNS критична для обхода блокировок: если DNS-запросы к заблокированному домену идут через локальный DNS, они могут быть подменены. Поэтому для проксируемых ресурсов используйте DoH с зарубежным сервером.

Если вы не уверены в DNS-параметрах, оставьте значения по умолчанию или используйте настройки из проверенного профиля поставщика.

Геофайлы и оптимизация: как работают geoip и geosite

Геофайлы (geoip.dat и geosite.dat) содержат списки IP-адресов и доменов, сгруппированных по категориям. Они скачиваются с URL, указанных в профиле, и используются для правил вида geoip:ru или geosite:youtube.

Для экономии трафика INCY использует хеш-проверку: скачивается файл .sha256 (несколько байт), и если хеш совпадает с сохранённым, полный файл не скачивается. Это особенно полезно при частых обновлениях.

Опция useChunkFiles позволяет обрезать геофайлы до реально нужных записей. Если профиль использует только несколько тегов (например, geoip:ru, geosite:google), клиент вызовет CutGeoData() и оставит только нужные категории. Это уменьшает размер файлов с десятков мегабайт до нескольких сотен килобайт. Однако на десктопных версиях (Windows, Linux) эта опция пока игнорируется — используются полные файлы.

Рекомендуется включать useChunkFiles, если:

В профиле мало геотегов.
Пользователи жалуются на память при загрузке тяжёлых списков.

Не включайте, если профиль использует много тегов или есть кастомные геофайлы с нестандартной структурой.

Автообновляемая маршрутизация (autorouting) и обновление профилей

INCY поддерживает автороутинг — профиль, который привязан к URL-источнику и обновляется автоматически. Ссылка имеет формат incy://autorouting/onadd/. Это удобно для провайдеров, которые часто обновляют списки блокировок.

Статический профиль обновляется только при повторном импорте или обновлении подписки. Автороутинг же скачивает профиль по URL и включает автообновление — при каждом обновлении подписки или по расписанию.

Обновление существующих профилей происходит по имени: если новый профиль имеет то же Name, что и сохранённый, он обновляется, а не дублируется. Поле LastUpdated (Unix timestamp) контролирует актуальность: обновление происходит только если новое значение больше сохранённого.

Для провайдеров рекомендуется размещать файлы .sha256 рядом с геофайлами — это позволяет клиентам пропускать скачивание неизменившихся файлов и экономить трафик.

Проверка результата и устранение неполадок

После настройки маршрутизации важно проверить, что всё работает правильно. Вот несколько шагов:

Подключитесь к серверу и откройте сайт, который должен идти напрямую (например, госуслуги). Проверьте, что он открывается без капчи и подтверждений.
Откройте сайт, который должен идти через прокси (например, YouTube). Убедитесь, что он доступен.
Проверьте, что локальные устройства (роутер, принтер) доступны.

Если что-то не работает:

Красный восклицательный знак в списке профилей означает ошибку загрузки геофайлов. Проверьте URL и переподключитесь.
Сайты не открываются — возможно, профиль не активирован или DNS настроен неправильно. Попробуйте перезапустить соединение.
Банки требуют подтверждение — скорее всего, они идут через прокси. Переключите их в DirectSites.
Игры лагают — добавьте игровые сервисы в DirectSites, чтобы пинг оставался домашним.

Если после чужих правил всё «поехало», используйте профиль «Всё через туннель» для отката, а затем настраивайте заново по одному изменению.

Безопасность и ограничения при использовании профилей

Профиль маршрутизации может задавать DNS-серверы, загружать геофайлы и отправлять домены напрямую или в блокировку. Поэтому важно импортировать только профили из доверенных источников. Не используйте случайные сокращённые ссылки — они могут содержать вредоносные правила.

Помните, что DIRECT-трафик не использует IP-адрес прокси-сервера. Это полезно для локальных ресурсов и банков, но снижает приватность для этих направлений — ваш реальный IP виден сайтам.

Также учитывайте, что INCY — это клиент, а не поставщик VPN-серверов. Для работы маршрутизации у вас должен быть добавлен рабочий сервер или подписка.

Наконец, не забывайте, что правила применяются после переподключения. После изменения профиля отключите и снова подключите туннель, чтобы новые настройки точно вступили в силу.

Вопросы и ответы

Что делать, если после импорта профиля банк требует подтверждение по SMS?

Скорее всего, банк идёт через прокси, и сервис видит зарубежный IP. Добавьте домен банка в DirectSites или используйте профиль «Россия напрямую», где банки и госуслуги уже выведены из туннеля. После изменения профиля переподключитесь к серверу.

Как настроить маршрутизацию, чтобы игры не лагали?

Используйте профиль «Россия и игры» или вручную добавьте игровые сервисы (Steam, Epic Games, Riot, Twitch) в DirectSites. Это позволит трафику игр идти напрямую, минуя VPN, что снизит пинг и ускорит загрузку патчей.

Чем отличается статический профиль от автороутинга?

Статический профиль обновляется только при повторном импорте или обновлении подписки. Автороутинг привязан к URL-источнику и обновляется автоматически, что удобно для провайдеров, часто обновляющих списки блокировок.

Почему после импорта профиля появляется красный восклицательный знак?

Это означает ошибку загрузки геофайлов (geoip.dat/geosite.dat). Проверьте URL в профиле, убедитесь, что интернет-соединение стабильно, и переподключитесь. Если ошибка не исчезает, удалите профиль и импортируйте заново.

Можно ли использовать INCY без настройки маршрутизации?

Да, INCY работает и без профиля маршрутизации — весь трафик пойдёт через туннель. Но для российских пользователей это может вызвать проблемы с банками и госуслугами, поэтому рекомендуется настроить хотя бы базовый профиль «Россия напрямую».

Как обновить геофайлы вручную?

Геофайлы обновляются автоматически при обновлении профиля или подписки. Если нужно обновить вручную, переимпортируйте профиль или нажмите кнопку обновления в настройках маршрутизации. INCY проверит хеш и скачает файл только если он изменился.

Что такое FakeDNS и когда его включать?

FakeDNS подставляет виртуальные IP-адреса вместо реальных, чтобы ядро обрабатывало запросы по правилам профиля. Это полезно для обхода блокировок по DNS. Включайте его, если сайты не открываются из-за DNS-подмены, но помните, что это может замедлить работу.