Раздельное туннелирование на iPhone: как пустить российские сайты мимо VPN

Почему на iPhone нельзя исключить приложение из VPN

VPN-клиенты на iPhone работают через системный фреймворк Network Extension. Привязать VPN к отдельным приложениям он умеет, но Apple в документации для разработчиков пишет прямо: единственный способ настроить per-app VPN — зарегистрировать устройство в MDM, системе управления, через которую компании настраивают рабочие телефоны. Сотрудники Apple на форуме разработчиков подтверждают, что для обычных устройств другого пути нет. Насколько нам известно, в iOS 26 это не изменилось.

Поэтому инструкции «как исключить Сбербанк из VPN на iPhone» на деле описывают правила по сайтам. Если где-то предлагают установить на личный iPhone профиль управления, чтобы получить выбор приложений, не соглашайтесь: такой профиль даёт его автору широкий контроль над устройством.

Что iOS разрешает обычному VPN-приложению, так это решать судьбу трафика по адресу назначения. Система умеет пускать мимо туннеля отдельные адреса и подсети, а внутри туннеля клиент на ядре Xray сам проверяет каждое соединение и отправляет его на сервер или напрямую. На этом и строится вся настройка.

Как правила заменяют исключение приложения

Приложение банка общается с серверами банка. Если домены и IP-адреса этих серверов попадают в правило «напрямую», трафик банка идёт мимо туннеля, хотя само приложение никуда не исключено. Для банка результат тот же: он видит ваш российский адрес.

Разница с Android проявляется в мелочах. На Android исключённое приложение целиком работает без VPN. На iPhone правила смотрят на каждый адрес отдельно, и если приложение банка обращается ещё и к сторонним серверам, например картографическим, эти соединения пойдут по своим правилам, возможно через VPN. Обычно это ни на что не влияет: банк проверяет адрес, с которого вы пришли на его собственные серверы.

Минимальный набор правил для российских сервисов такой:

• geosite:category-ru в прямых сайтах: всё в зонах .ru, .su и .рф плюс домены российских компаний в других зонах;
• geoip:ru в прямых IP-адресах: серверы, которые по базе находятся в России;
• адреса домашней сети (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). В профилях Happ и Incy они прописаны по умолчанию, добавлять их не нужно.

Если пускать напрямую всё российское не хочется, возьмите узкие категории. В geosite:category-gov-ru входят государственные сайты, включая gosuslugi.ru, в geosite:category-bank-ru — сайты банков, в том числе Сбербанка, Т-Банка, ВТБ и Альфа-Банка. Тогда остальной российский трафик пойдёт через VPN, но и риск, что какой-то сервис не попадёт в список, выше.

Чтобы было понятнее, что куда входит, мы сверились с открытым списком доменов v2fly/domain-list-community, из которого собраны геофайлы Happ и Incy. Состояние на 30 октября 2026 года:

Списки пополняются, а обновлённые геофайлы клиенты скачивают сами или получают с обновлением приложения. Если сервис из таблицы всё равно идёт через VPN, проверьте, не устарели ли геофайлы, и обновите их в настройках профиля.

Как настроить раздельное туннелирование в Happ

В Happ правила задаются профилем маршрутизации, и проще всего собрать его в конструкторе разработчиков. Шаги описаны для конструктора и приложения в версиях октября 2026 года.

1. Откройте в Safari routing.happ.su, официальный конструктор профилей Happ.
2. На вкладке Main задайте имя профиля, например «Россия напрямую». GlobalProxy оставьте включённым: всё, что не совпало с правилами, пойдёт через VPN.
3. На вкладке с исключениями и правилами добавьте в DirectSites строку geosite:category-ru, а в DirectIp строку geoip:ru. Адреса домашней сети там уже есть.
4. Скопируйте готовую ссылку вида happ://routing/add/… Если хотите, чтобы профиль стал активным сразу после загрузки, включите вариант onadd.
5. Откройте Happ и добавьте профиль из буфера обмена в разделе маршрутизации. Ссылку можно и просто открыть на iPhone: она сама запустит Happ.
6. Проверьте, что маршрутизация включена и для вашей подписки выбран этот профиль.
7. Отключитесь и подключитесь снова: Happ применяет изменения маршрутизации только после переподключения.

Прежде чем собирать свой профиль, загляните в список профилей. Некоторые VPN-сервисы присылают профиль маршрутизации вместе с подпиской, и Happ сразу привязывает его к ней. Если такой профиль уже есть, посмотрите, что в нём: возможно, российские сайты в нём уже идут напрямую.

В конструкторе есть и режим правки JSON. Профиль из примера выглядит так, недостающие поля Happ возьмёт из профиля по умолчанию:

{
  "Name": "Россия напрямую",
  "GlobalProxy": "true",
  "DirectSites": ["geosite:category-ru"],
  "DirectIp": ["geoip:ru", "10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16"],
  "DomainStrategy": "IPIfNonMatch"
}

У каждой подписки в Happ свой набор профилей. Добавили вторую подписку — выберите профиль и для неё. При удалении подписки её профили удаляются вместе с ней. Остальные настройки клиента описаны в нашем разборе Happ.

Как настроить маршрутизацию в Incy

Incy понимает профили маршрутизации в том же формате, что и Happ: поля DirectSites, DirectIp, ProxySites, BlockSites и остальные совпадают. Поэтому профиль из конструктора Happ подходит и ему. Названия пунктов приведены для Incy 2.6.

1. Соберите профиль в конструкторе, как описано выше, и скопируйте ссылку.
2. Замените в начале ссылки happ:// на incy://, остальную часть оставьте как есть. По документации Incy понимает и ссылки с чужой схемой, но так надёжнее.
3. Откройте Incy и нажмите «+ Добавить» → «Вставить». Incy сам определяет, что за ссылку вы вставили, и для профиля маршрутизации предупредит, что он будет добавлен.
4. Если вставка не сработала, откройте раздел «Маршрутизация» в настройках и воспользуйтесь импортом там.
5. Проверьте в разделе «Маршрутизация», что ваш профиль выбран, а маршрутизация включена.
6. Переподключитесь. Профиль заработает, когда скачаются геофайлы.

Если сервис работает наполовину: добавляем адреса вручную

Списки geosite и geoip неполные. Признаки знакомые: банк открывается, а платёж падает, маркетплейс грузит страницу без картинок, приложение доставки не видит ваш адрес. Значит, какой-то из серверов сервиса не попал в правило «напрямую» и пошёл через VPN.

Найти его помогает журнал соединений, он есть и в Happ, и в Incy. Если запись журнала выключена, включите её в настройках клиента. Потом повторите действие, на котором всё ломается, и посмотрите, какие адреса в этот момент ушли через прокси. Нужный адрес обычно узнаётся по названию: в нём есть имя сервиса или сочетание cdn, static, img.

• Домен добавьте в DirectSites строкой domain:имя-домена. Поддомены подхватятся сами.
• IP-адрес или подсеть добавьте в DirectIp как есть, например 203.0.113.0/24.
• Сохраните профиль под тем же именем и импортируйте снова. Happ перезапишет профиль с таким именем, дубликата не будет.

Бывает и обратная задача: российский сайт нужно открыть через VPN. Тогда добавьте его в ProxySites. В конструкторе Happ порядок по умолчанию такой: сначала блокировка, потом «через прокси», потом «напрямую», поэтому ручное правило окажется сильнее категории.

Как проверить, что всё работает

1. Подключитесь и откройте приложение банка или Госуслуги. Вход должен пройти так же, как без VPN.
2. Откройте в Safari зарубежный сайт проверки IP-адреса. Он должен показать адрес VPN-сервера.
3. Откройте российский сайт проверки IP. Он покажет ваш настоящий адрес, потому что сам попал в правило «напрямую». Так и должно быть.
4. Загляните в журнал клиента: соединения с российскими адресами должны идти через direct.

Какие сайты проверки выбрать и как найти утечки DNS и WebRTC, рассказываем в статье о проверке VPN.

Профиль не включается

Геофайлы скачиваются в фоне, и пока загрузка не закончится, новый профиль не активируется. Если файлы не скачались за 3 минуты, Happ и Incy останавливают загрузку, показывают ошибку на главном экране и ставят красный восклицательный знак у профиля. Проверьте интернет и повторите. Ошибка исчезнет сама, как только файлы загрузятся.

Что-то сломалось после настройки

Выключите маршрутизацию общим переключателем и переподключитесь. Всё вернётся к режиму «весь трафик через VPN», и станет понятно, виноваты правила или что-то другое. Если без правил всё работает, включайте их обратно и ищите адрес, который мешает, по журналу.

После включения маршрутизации VPN стал отключаться сам

Причина может быть в памяти. iOS выделяет расширению VPN мало памяти, в документации Happ называется цифра 50 МБ, и тяжёлые геофайлы в неё не всегда помещаются. На этот случай в профиле Happ есть параметр UseChunkFiles: клиент вырезает из геофайлов только те категории, которые есть в правилах, и передаёт ядру облегчённые файлы.

Если приложение всё равно не работает с VPN

Часть приложений проверяет сам факт VPN-подключения на iPhone, и правила здесь бессильны: трафик идёт напрямую, но VPN в системе включён. Остаётся выключать его на время работы с таким приложением. Почему банки так делают и какие ещё есть варианты, мы разобрали в статье «Банки и Госуслуги не работают с VPN».

Выключать VPN удобнее не через приложение. Incy поддерживает виджеты и действия для «Команд», с ними VPN включается и выключается без открытия клиента.

Можно пойти дальше и настроить автоматизацию в «Командах»: при открытии приложения банка VPN отключается, при закрытии подключается снова. Для этого создайте личную автоматизацию с триггером «Приложение» и добавьте действие клиента для отключения, а вторую автоматизацию с обратным действием. Сначала проверьте, что ваш клиент такие действия поддерживает, и выберите запуск без подтверждения, иначе iPhone будет каждый раз спрашивать разрешение.