Раздельная маршрутизация на роутере: российские сайты напрямую, остальное в туннель
Туннель на роутере включили, и через день выясняется, что банк просит подтвердить вход по СМС, а сайт доставки показывает цены для Европы. Раздельная маршрутизация решает именно это: роутер сам решает, какой запрос отправить через провайдера, а какой через сервер за границей. Настроить правило можно за вечер. Дольше приходится разбираться со списками, по которым роутер принимает решение.
Правило пишут один раз, а список живёт своей жизнью
У любой развилки две части. Первая часть, само правило: «всё из списка напрямую, остальное в туннель» или наоборот. Его задают один раз в настройках прошивки. Вторая часть, список, по которому роутер сверяет каждый запрос. Список бывает трёх видов, и у каждого своя слабость.
Список устройств самый простой: телевизор и рабочий ноутбук ходят через сервер, телефоны напрямую. Ломаться тут нечему, но и разделения по сайтам нет. Банковское приложение на ноутбуке из такой политики увидит иностранный адрес.
Список доменов точнее: в нём зоны .ru и .рф и имена сервисов, у которых адрес на .com. Роутер узнаёт, куда идёт запрос, в момент, когда устройство спрашивает адрес сайта у DNS. Отсюда главная тонкость: если устройство спросит адрес не у роутера, а у своего DNS через HTTPS, роутер ничего не узнает и правило не сработает.
Список подсетей держит адреса российских сетей целиком, это тысячи диапазонов. Он ловит приложения, которые обращаются к серверу по IP, минуя DNS. Зато подсети перетекают: сеть продали, хостинг переехал, и сервис, вчера бывший «российским», сегодня уходит в туннель.
Поэтому на практике домены и подсети ставят вместе, а сверху добавляют свой короткий список исключений: сайт работодателя, личный кабинет провайдера, онлайн-кинотеатр с российским каталогом.
Что умеют прошивки
Keenetic
Штатно есть оба простых варианта. Политики доступа на странице «Приоритеты подключений» отправляют в туннель выбранные устройства. С версии KeeneticOS 5.0 появились маршруты DNS: список доменов, для которого указывают подключение. Справка ставит условия: устройство остаётся в политике по умолчанию, а DNS-сервером у него указан сам роутер. Подсетей российских сетей штатно нет, их добавляют пакетами через Entware, и поддержка производителя на них уже не распространяется. Меню по шагам разобрано в статье Туннель на роутере Keenetic.
OpenWrt
Здесь развилку собирают из пакетов. Обычная схема: dnsmasq при каждом запросе к домену из списка кладёт полученный адрес в набор, а правило межсетевого экрана отправляет этот набор в нужную сторону. Подсети подгружают отдельным файлом, а скрипт по расписанию обновляет оба. Настроить можно что угодно, но и ошибиться легко: опечатка в правиле отправит в туннель весь дом или, наоборот, никого.
TP-Link, Xiaomi, ASUS
У большинства моделей выбор есть только по устройствам: Device List у TP-Link, Fusion у части ASUS. Маршрутов по доменам в штатных прошивках обычно нет. Если развилка по сайтам нужна именно на роутере, смотрите в сторону моделей, которые её умеют: критерии собраны в статье какой роутер подходит для защищённого канала.
Пять мест, где развилка пропускает трафик не туда
- Браузер с включённым DNS через HTTPS. Роутер не видит, какой домен открывают, и список доменов молчит. Выключите эту настройку на устройствах, которые должны подчиняться роутеру, или полагайтесь на подсети.
- Приложение ходит по IP. Банковские и игровые клиенты нередко обращаются к серверу напрямую по адресу. Их ловит только список подсетей.
- DNS уходит в туннель. Если адрес российского сайта спросить у сервера за границей, ответ может прийти с ближайшего к Европе узла сети доставки, и страница откроется с чужим регионом или лишними проверками. Российские имена лучше спрашивать у DNS провайдера.
- IPv6 мимо правил. Многие развилки написаны только для IPv4, а провайдер раздаёт и IPv6. Часть трафика тогда идёт напрямую, хотя должна в туннель. Проверьте, включён ли IPv6 на роутере, и либо добавьте правила для него, либо выключите.
- Список не обновляется. Новый сервис или переезд старого на другой хостинг, и он уходит не в ту сторону. Ставьте обновление по расписанию и держите свой короткий список исключений.
Проверка за две минуты
Возьмите устройство из той сети, где работает развилка. Откройте российский сайт, который показывает IP-адрес, например Яндекс Интернетометр: там должен быть адрес провайдера и ваш город. Затем откройте иностранный сервис проверки IP: там должна быть страна сервера. Если оба показывают одно и то же, развилка не работает: проверьте, в какой политике устройство и кто у него DNS-сервер. Порядок настройки туннеля до этой проверки описан в материале как настроить туннель на роутере.
Siberian V: развилка уже в приложении
Отдельно собирать списки для подписки Siberian V не нужно. Файла для роутера в ней нет: туннель поднимает приложение Karing на телефоне, компьютере или телевизоре на Android TV, а правило «российские сайты напрямую» уже вшито в подписку. Банк, Госуслуги и доставка видят ваш обычный домашний адрес. Одно отличие от роутера стоит знать: приложение банка на том же телефоне может заметить, что включён туннель, хотя его трафик в туннель не идёт. Если в кабинете есть блок INCY, это запасной клиент: если в вашей сети одно приложение не подключается, попробуйте второе.
Если на роутере уже настроен туннель другого сервиса, оставьте устройство с Karing в политике по умолчанию, чтобы одно защищённое соединение не шло внутри другого. Подключить можно несколько своих устройств, одновременно не больше чем из двух сетей, а всё, что стоит за домашним роутером, считается одной сетью. Что ещё входит в подписку, описано в статье что входит в подписку для роутера, а сравнение «роутер или приложение» есть в обзоре Подключение через роутер.
Частые вопросы
Что такое раздельная маршрутизация на роутере?
Это правило, по которому роутер отправляет часть трафика через провайдера, а часть через туннель. Решение он принимает по списку устройств, доменов или подсетей. Обычно российские сайты идут напрямую, остальное через сервер за границей.
Чем раздельная маршрутизация отличается от раздельного туннелирования?
По сути это одно и то же. Раздельным туннелированием чаще называют настройку в приложении на устройстве, раздельной маршрутизацией называют правила на роутере, которые действуют на всю домашнюю сеть.
Почему банк всё равно видит иностранный адрес?
Чаще всего приложение банка обращается к серверу по IP, а в списке только домены. Добавьте подсети российских сетей или домены банка в свой список исключений и проверьте, что устройство берёт DNS у роутера.
Как часто обновлять списки доменов и подсетей?
Обычно обновление ставят по расписанию раз в сутки или раз в неделю, а свой короткий список исключений дополняют вручную, когда какой-то сервис ушёл не в ту сторону.
Нужно ли настраивать маршрутизацию на роутере для подписки Siberian V?
Нет. Подписка подключается в приложениях Karing и INCY, и правило «российские сайты напрямую» в ней уже есть. Роутер остаётся прежним, файла для него в подписке нет.