Список доменов для VPN: как настроить выборочную маршрутизацию трафика

Зачем нужны списки доменов для VPN

При использовании VPN часто возникает проблема: одни сайты открываются только через туннель, другие, наоборот, перестают работать или начинают тормозить. Например, российские маркетплейсы Ozon и Avito могут блокировать трафик с зарубежных IP-адресов, а зарубежные сервисы — требовать подключения через VPN. Постоянно включать и выключать VPN неудобно, а держать его включённым для всего трафика — неоптимально: растёт пинг в играх, снижается скорость, а некоторые ресурсы и вовсе становятся недоступны.

Решение — настроить выборочную маршрутизацию: через VPN направлять только те домены и IP-адреса, которые нужны, а остальной трафик пускать напрямую. Для этого используются списки доменов и подсетей. Такой подход называют split tunneling или split routing. Он позволяет одновременно пользоваться заблокированными сервисами и российскими сайтами без конфликтов.

Списки доменов для VPN бывают двух типов: белые (allow) — перечень ресурсов, которые должны идти через туннель, и чёрные (deny) — адреса, которые нужно исключить из VPN. В зависимости от задачи выбирается подходящий вариант. Например, если вы хотите обходить блокировки, удобнее белый список заблокированных сервисов. Если же VPN мешает работе с российскими сайтами, можно составить чёрный список для исключений.

Как работают белые и чёрные списки

Белый список (allow list) — это перечень доменов, IP-адресов или подсетей, для которых трафик направляется через VPN. Всё остальное идёт напрямую. Такой подход удобен, когда нужно обойти блокировку конкретных сервисов: YouTube, Discord, Instagram и других. Вы включаете VPN только для этих ресурсов, а остальной интернет работает как обычно.

Чёрный список (deny list) — наоборот, исключает определённые адреса из туннеля. Например, если вы используете VPN для доступа к зарубежным сайтам, но хотите, чтобы российские банки и госуслуги открывались напрямую, вы добавляете их IP-подсети в исключения. Это снижает нагрузку на VPN-сервер и уменьшает задержки.

На практике часто используют комбинированный подход: основной трафик идёт через VPN, а для российских ресурсов прописываются исключения. Либо наоборот — VPN включается только для нужных доменов. Выбор зависит от ваших задач и возможностей используемого программного обеспечения.

Важно понимать, что списки доменов и IP-адресов не статичны. Крупные сервисы, такие как Google или Meta, используют множество подсетей, которые могут меняться. Поэтому готовые списки нужно регулярно обновлять, а при самостоятельном составлении — проверять актуальность адресов.

Готовые списки доменов: что предлагают проекты

Существуют готовые списки доменов и IP-адресов, которые поддерживаются сообществом. Один из популярных проектов — itdoginfo/allow-domains на GitHub. Он содержит как общий список Russia inside (домены, которые должны идти через VPN из России), так и отдельные списки для конкретных заблокированных сервисов. Также есть список Russia outside — домены российских сервисов, к которым нужно подключаться из-за рубежа.

Эти списки регулярно обновляются, что важно, так как IP-адреса крупных сайтов меняются. Проект позволяет скачать готовые файлы для использования в различных VPN-клиентах и роутерах. Например, можно импортировать список в WireGuard, OpenVPN или в роутер с OpenWRT.

Другой проект — AntiZapret-VPN от GubernievS. Он автоматически генерирует списки адресов для обхода блокировок и предоставляет готовые конфигурации для популярных устройств. Этот инструмент ориентирован на пользователей, которые хотят получить рабочее решение без ручной настройки.

При использовании готовых списков важно проверять их актуальность и соответствие вашим задачам. Например, список Russia inside может включать не все нужные вам сервисы, а некоторые адреса могут быть устаревшими. Поэтому рекомендуется комбинировать готовые списки с собственными настройками.

Как самостоятельно составить список доменов

Если готовые списки не подходят, можно составить собственный перечень доменов и IP-адресов. Для этого понадобится определить, к каким серверам обращается нужный вам сервис. Есть несколько способов.

Первый способ — использовать расширение для браузера IPvFoo. Оно показывает все домены и IP-адреса, к которым обращается сайт при загрузке. Вы включаете VPN, открываете нужный ресурс и смотрите, какие адреса используются. Затем через сервис whois (например, 2ip.ru) определяете подсеть, которой принадлежит адрес, и добавляете её в список. Так можно собрать адреса для YouTube, Instagram и других сервисов.

Второй способ — использовать инструменты разработчика в браузере. Например, для Discord можно открыть консоль (F12) и ввести фильтр "RTC connected to media server:" — так вы увидите IP-адреса голосовых серверов. Этот метод полезен, когда расширение не показывает нужные данные, например для UDP-трафика.

Третий способ — анализировать сетевые подключения с помощью команды netstat -aon в Windows или Wireshark. Это более сложный метод, но он позволяет увидеть все соединения конкретного приложения. Вы находите PID процесса в диспетчере задач и ищете соответствующие внешние IP-адреса.

После сбора адресов их нужно преобразовать в формат CIDR (например, 142.250.0.0/15) и добавить в конфигурацию VPN. Важно помнить, что списки нужно периодически обновлять, так как IP-адреса могут меняться.

Настройка маршрутизации в WireGuard и VLESS

WireGuard — популярный VPN-протокол, который поддерживает выборочную маршрутизацию через параметр AllowedIPs в конфигурационном файле. По умолчанию там указано 0.0.0.0/0, что означает направление всего трафика через туннель. Чтобы маршрутизировать только нужные адреса, замените это значение на список IP-адресов или подсетей, разделённых запятыми. Например: AllowedIPs = 8.8.8.8, 1.1.1.1 — тогда через VPN пойдут только запросы к DNS-серверам Google и Cloudflare.

Важно понимать, что WireGuard работает на уровне IP-адресов, а не доменов. Поэтому для маршрутизации по доменам потребуется предварительно преобразовать домены в IP-адреса. Это можно сделать вручную или с помощью скриптов, которые автоматически резолвят домены и обновляют конфигурацию.

VLESS — более гибкий протокол, который поддерживает маршрутизацию по доменам. Например, в приложении NekoRay можно указать список доменов, которые будут идти через туннель. Это удобно, так как не нужно вручную отслеживать изменения IP-адресов. Однако не все клиенты поддерживают такую функцию, поэтому перед выбором протокола стоит изучить его возможности.

При настройке маршрутизации важно учитывать, что некоторые сервисы используют CDN (Content Delivery Network), и их IP-адреса могут принадлежать сторонним компаниям, таким как Google или Cloudflare. В этом случае через VPN может пойти лишний трафик, но это обычно не критично.

Маршрутизация на уровне роутера

Если вы хотите, чтобы выборочная маршрутизация работала для всех устройств в домашней сети, можно настроить её на роутере. Многие современные роутеры поддерживают VPN-клиенты и позволяют задавать списки адресов для исключений или, наоборот, для направления через туннель.

Например, в роутерах MikroTik можно использовать Address List и правила маршрутизации, чтобы направлять определённые подсети через VPN-туннель. Это требует некоторых знаний сетевых технологий, но даёт гибкие возможности.

Для роутеров с OpenWRT существуют пакеты Podkop и PBR (Policy Based Routing), которые позволяют фильтровать трафик по доменам или IP-адресам. Они интегрируются с VPN-клиентами и автоматически обновляют списки. Это удобное решение для тех, кто готов потратить время на настройку.

Если у вас нет подходящего роутера, можно использовать отдельное устройство, например, одноплатный компьютер или старый ПК с Linux, который будет раздавать Wi-Fi с VPN. На нём можно настроить iptables и ipset для маршрутизации по IP-адресам. Такой подход даёт полный контроль над трафиком, но требует технических навыков.

Особенности российских сервисов и VPN

Российские интернет-сервисы, такие как Ozon, Avito, Яндекс, часто блокируют трафик с зарубежных IP-адресов. Это связано с требованиями законодательства и защитой от мошенничества. Поэтому при использовании VPN с зарубежным сервером эти сайты могут быть недоступны или работать с ошибками.

Чтобы решить эту проблему, можно использовать VPN-серверы с российскими IP-адресами. Существуют проекты, например VPN Obratno, которые предоставляют бесплатные VPN-серверы с российскими IP. Они работают на основе проекта VPN Gate и позволяют получить доступ к российским ресурсам из-за рубежа.

Однако такие серверы могут быть нестабильными и медленными, так как они поддерживаются добровольцами. Кроме того, использование российских VPN-серверов может не подходить для обхода блокировок, так как они сами находятся в юрисдикции РФ.

Альтернативный подход — настроить маршрутизацию так, чтобы российские домены шли напрямую, а зарубежные — через VPN. Для этого нужно составить список российских подсетей и добавить их в исключения. Готовые списки можно найти в проекте itdoginfo/allow-domains (раздел Russia outside).

Инструменты для автоматизации обновления списков

Ручное обновление списков доменов и IP-адресов может быть утомительным, особенно если вы используете много сервисов. К счастью, существуют инструменты, которые автоматизируют этот процесс.

Проект AntiZapret-VPN генерирует списки адресов на сервере и предоставляет готовые файлы для загрузки в роутер или VPN-клиент. Он регулярно обновляется, поэтому вам не нужно следить за изменениями вручную.

Для пользователей OpenWRT пакет Podkop может автоматически обновлять списки доменов и IP-адресов из внешних источников. Он поддерживает различные форматы и может быть настроен на периодическую загрузку.

Также можно написать собственный скрипт, который будет резолвить домены из списка и обновлять конфигурацию WireGuard или iptables. Например, скрипт может запускаться по расписанию через cron и проверять изменения IP-адресов.

Автоматизация особенно важна для крупных сервисов, таких как YouTube, которые используют множество динамических подсетей. Без регулярного обновления списки быстро устаревают, и VPN перестаёт работать корректно.

Практические примеры настройки

Рассмотрим несколько практических примеров настройки выборочной маршрутизации.

Пример 1: YouTube через WireGuard. Вы хотите, чтобы только YouTube шёл через VPN, а остальной трафик — напрямую. Для этого в конфигурации WireGuard укажите AllowedIPs с подсетями Google, которые используются для YouTube. Например: 74.125.0.0/16, 172.217.0.0/16, 173.194.0.0/16, 142.250.0.0/15, 64.233.160.0/19, 108.177.0.0/17, 216.58.192.0/19, 209.85.128.0/17. Эти подсети покрывают большинство серверов Google, включая YouTube.

Пример 2: Discord через VLESS. В приложении NekoRay добавьте домены discord.com, discord.gg, discordapp.com и другие в список маршрутизации. VLESS будет автоматически резолвить их в IP-адреса и направлять через туннель. Это удобно, так как не нужно вручную отслеживать изменения.

Пример 3: Исключение российских сайтов из VPN. Если вы используете VPN для всего трафика, но хотите, чтобы Ozon и Avito работали напрямую, добавьте их IP-подсети в исключения. Например, для Ozon это может быть подсеть 62.140.224.0/20, для Avito — 212.45.64.0/18. Точные подсети можно узнать через whois.

Эти примеры показывают, что настройка не слишком сложна, но требует внимательности и понимания основ сетевых технологий.

Ограничения и подводные камни

При использовании списков доменов для VPN важно учитывать несколько ограничений.

Во-первых, списки IP-адресов могут быть неполными. Крупные сервисы используют множество подсетей, и некоторые из них могут быть пропущены. Это приведёт к тому, что часть трафика пойдёт напрямую, и сервис может работать некорректно.

Во-вторых, IP-адреса могут меняться. Сервисы часто добавляют новые подсети или переносят свои серверы. Поэтому списки нужно регулярно обновлять, иначе VPN перестанет работать.

В-третьих, маршрутизация по IP-адресам не учитывает CDN. Например, если сайт использует Cloudflare, его IP-адреса могут принадлежать Cloudflare, а не самому сайту. В этом случае через VPN может пойти трафик других сайтов, использующих тот же CDN. Это не критично, но может снизить скорость.

В-четвёртых, некоторые VPN-клиенты не поддерживают маршрутизацию по доменам. Если вы используете WireGuard, вам придётся вручную преобразовывать домены в IP-адреса. Это может быть трудоёмко для больших списков.

Наконец, не забывайте о безопасности. Использование VPN-серверов с российскими IP-адресами может быть небезопасно, так как они могут быть скомпрометированы. Всегда проверяйте репутацию сервера и используйте надёжные протоколы шифрования.

Вопросы и ответы