Что такое раздельное туннелирование (split tunneling) VPN? Представьте дорогу с двумя съездами. Один направляет определенный интернет-трафик через виртуальную частную сеть (VPN), а другой пускает данные в обход этого туннеля. Устройство выбирает маршрут на основе заданных правил.
Такая схема позволяет рабочему приложению оставаться на связи с корпоративной сетью работодателя, пока стриминговый сервис работает через прямое интернет-соединение. Однако такой выбор меняет не только путь передачи данных. Он также определяет, какие уровни защиты применяются к трафику и кто может отслеживать отдельные фрагменты соединения.
Как раздельное туннелирование распределяет трафик
Раздельное туннелирование VPN использует выборочную маршрутизацию: правила определяют, какие соединения направляются в VPN-туннель, а какие идут в обход него. Напротив, полное туннелирование направляет абсолютно весь поддерживаемый сетевой трафик пользователя через VPN, не делая исключений. Представьте это как одну безальтернативную магистраль вместо двух раздельных маршрутов.
VPN-клиент — программа на вашем устройстве — устанавливает зашифрованный туннель к VPN-серверу. При правильной настройке этот туннель обеспечивает шифрование данных между вашим устройством и конечной точкой VPN. Однако он не шифрует соединение автоматически на всем дальнейшем пути за пределами этой точки; для этого приложениям требуются собственные протоколы защиты, такие как HTTPS.
Трафик вне туннеля вовсе не обязательно передается в открытом виде. Веб-сайт, использующий HTTPS, сохраняет сквозное шифрование соединения, даже если обращение к нему идет в обход VPN. При доступе к ресурсам публичного интернета туннелированный трафик, как правило, отображает публичный IP-адрес VPN-шлюза, тогда как прямой трафик передает реальный IP-адрес вашего интернет-подключения. Таким образом, одно и то же устройство для внешнего мира может выходить в сеть под разными адресами.
Типы раздельного туннелирования
Программное обеспечение VPN может сортировать соединения несколькими способами. Ключевое различие заключается в том, по какому критерию срабатывает правило: по приложению, целевой сети или доменному имени. Отдельные списки включения и исключения определяют, пойдет ли совпадающий трафик в туннель или мимо него.
- Раздельное туннелирование по приложениям: вы выбираете, какие именно программы используют VPN. Например, можно направить рабочую программу через туннель, а приложению с видео предоставить прямое подключение. В зависимости от программного обеспечения эти параметры задаются пользователями или системными администраторами.
- Раздельное туннелирование на основе маршрутизации: сопоставление целевых IP-адресов или диапазонов подсетей. При такой IP-маршрутизации используются записи в таблице маршрутизации (по сути, инструкции для устройства, как добираться до различных сетей), чтобы направить пакеты по правильному пути.
- Раздельное туннелирование по доменам: фильтрация по именам целевых доменов в сервисах, поддерживающих эту функцию. Некоторые разработчики называют подобные возможности туннелированием на основе URL, однако не стоит ожидать, что они способны различать отдельные веб-страницы в пределах одного сайта. Всегда проверяйте, по каким именно критериям продукт анализирует трафик.
- Политики включения и исключения: политика включения отправляет через VPN только строго определенный трафик, тогда как политика исключения пускает через туннель все соединения, кроме указанных. Разработчики иногда называют инвертированную конфигурацию «обратным раздельным туннелированием», поэтому внимательно изучайте документацию сервиса, а не полагайтесь только на названия.
В каких случаях полезно раздельное туннелирование
Наглядный пример — удаленная работа. Корпоративный VPN для удаленного доступа может перенаправлять подключения к внутренним сетям компании через туннель, пока обычный интернет-трафик идет напрямую. Сотрудники получают доступ к ресурсам организации без необходимости пропускать каждый видеозвонок или загрузку обновлений через корпоративный VPN-шлюз.
Исключение второстепенного трафика снижает нагрузку на канал VPN-шлюза и помогает предотвратить заторы в сети. Более короткий или менее загруженный прямой маршрут также уменьшает задержку (пинг), что актуально для стриминга и онлайн-игр. Однако общая скорость соединения от этого автоматически не вырастет: раздельное туннелирование не суммирует пропускную способность VPN и прямого канала для ускорения одной загрузки.
Еще одно преимущество — сохранение локального доступа. Правила маршрутизации позволяют устройству взаимодействовать с локальной сетью (LAN) даже при активном VPN-подключении, благодаря чему остаются доступны сетевые принтеры и другие домашние или офисные устройства. Однако есть условие: и VPN-клиент, и сетевые политики должны явно это разрешать. Простое включение раздельного туннелирования не открывает доступ к локальной сети автоматически.
Риски безопасности и компромиссы приватности
Риски безопасности начинаются с того, что именно идет в обход туннеля. При прямых подключениях ваш интернет-провайдер видит конечные IP-адреса ресурсов, к которым вы обращаетесь. В случае с зашифрованным VPN-трафиком эти данные скрыты внутри туннеля до самого шлюза, хотя сам факт подключения к этому шлюзу провайдер все равно фиксирует.
Корпоративные средства защиты также играют немалую роль. Трафик, идущий в обход корпоративного VPN, не проходит через средства безопасности шлюза компании — например, через межсетевые экраны или системы глубокого анализа пакетов. Защитные программы, установленные непосредственно на вашем устройстве, продолжают работать, однако они не заменяют полноценный комплекс шлюзовой защиты.
Особого внимания требует DNS. Система доменных имен преобразует понятные имена сайтов в цифровые IP-адреса, и ее запросы могут обрабатываться по иным правилам маршрутизации, чем трафик приложений. Некорректно настроенная маршрутизация может привести к утечкам DNS (когда запросы уходят провайдеру) либо помешать разрешению имен внутренних корпоративных ресурсов.
В публичных сетях Wi-Fi не стоит рассчитывать на то, что VPN защищает исключенные приложения: для них надежное шифрование HTTPS по-прежнему жизненно необходимо. Кроме того, функция аварийного отключения (Kill Switch), призванная блокировать весь трафик при обрыве туннеля, в разных программах может обрабатывать исключенный трафик по-разному. Проверьте поведение этой функции заранее, а не предполагайте, что она безусловно блокирует абсолютно все каналы связи.
Что проверить в настройках VPN
Начните с совместимости на уровне операционной системы. Доступность функций раздельного туннелирования зависит от конкретного VPN-клиента, платформы и корпоративных политик безопасности. Провайдер может предлагать совершенно разные параметры управления на Windows, Android и macOS. Если вы работаете на корпоративном устройстве, обязательно проконсультируйтесь с ИТ-отделом, прежде чем менять конфигурацию VPN.
Выбирайте минимальный список исключений, закрывающий ваши насущные потребности. Затем протестируйте каждый маршрут: убедитесь, что рабочие ресурсы доступны, локальные устройства откликаются, а публичные сайты видят именно тот IP-адрес, который предполагался. Обязательно проверьте поведение DNS и реакцию системы при внезапном разрыве соединения. Сам по себе открывающийся веб-сайт еще не гарантирует, что политика маршрутизации работает безупречно.
Эта статья создана при участии технологий искусственного интеллекта и прошла фактчекинг и научную редактуру редакторами HowStuffWorks.
