Автор: Александр Д.
08.09.2026 · 6 МИН ЧТЕНИЯ
ОБНОВЛЕНО

Раздельное туннелирование (часть приложений мимо туннеля), оно же split tunneling, позволяет выбрать, какой трафик идёт через зашифрованный туннель, а какой напрямую в интернет.

Полный туннель отправляет через VPN всё. Раздельный пускает в туннель, скажем, браузер, а банковское приложение, принтер и игру оставляет снаружи. Нужен он потому, что «всё через VPN» это самый безопасный вариант, но не всегда самый удобный.

Коротко:

  • Раздельное туннелирование пускает через VPN только часть трафика, а исключённые приложения работают так, будто VPN выключен: реальный IP, DNS провайдера, без шифрования.
  • Из туннеля обычно выносят банковские приложения, принтер и NAS, игры и большие загрузки, а браузер почти всегда должен оставаться внутри.
  • Разумное умолчание: полный туннель везде, исключения только для локальной сети и одного-двух приложений, которые правда ломаются, а в общественных сетях исключения отключают полностью.
ПОЛНЫЙ ТУННЕЛЬРИС. 01всёчерез VPNРАЗДЕЛЬНЫЙ ТУННЕЛЬбраузер, почтачерез VPNбанк, принтер, игранапрямуюреальный IPDNS провайдерабез шифрования
Исключённый трафик ведёт себя так, будто VPN выключен совсем: это и есть цена удобства.

Раздельное туннелирование и полный туннель: разница

Полный туннель. Приложение создаёт виртуальный сетевой интерфейс и заворачивает в него каждый пакет каждого приложения. Провайдер и локальная сеть видят одно зашифрованное соединение, сайты видят адрес сервера. Утечек нет, если ничего не настроено криво. Это правильный режим в общественных сетях и везде, где вам важна приватность.

Раздельный туннель. Туннель поднят, но добавлены исключения. Варианты реализации: по приложениям (эта программа идёт мимо VPN), по адресам (этот сайт или диапазон идёт мимо), или наоборот (только эти приложения через VPN, остальное напрямую). Исключённый трафик ведёт себя так, будто VPN выключен: реальный IP, DNS провайдера, никакого шифрования сверх того, что даёт само приложение.

РАЗНИЦА В ТАБЛИЦЕ МАРШРУТОВПОЛНЫЙ ТУННЕЛЬМаршрут по умолчаниювесь трафикVPN-интерфейсшифрованиеРАЗДЕЛЬНЫЙ ТУННЕЛЬМаршрут по умолчаниюостаётся обычнымОбычная сетьреальный IP, DNS провайдераОтдельные правилаили по приложениямVPN-интерфейсшифрование
Полный туннель меняет маршрут по умолчанию, раздельный оставляет его и добавляет правила.

С точки зрения сети разница в таблице маршрутов: полный туннель делает маршрут по умолчанию через VPN-интерфейс, раздельный оставляет обычный маршрут и добавляет отдельные правила или использует правила по приложениям в операционной системе.

ДВА РЕЖИМАРИС. 02включить выбранныев туннель идёт только списокостальное напрямуюисключить выбранныев туннель идёт всёкроме списка

Когда нужно раздельное туннелирование?

  • Банковские и платёжные приложения, которые отказываются работать через VPN или закрывают вход в аккаунт при смене страны. Исключаете их, всё остальное защищено.
  • Локальные устройства: принтер, NAS, телевизор, приставка в той же сети. Строгий туннель может скрыть локальную сеть; исключение локальных адресов лечит это.
  • Игры и большие загрузки, которым не нужна приватность: без крюка через сервер. Почему крюк стоит скорости, разобрано в статье почему VPN медленный.
  • Рабочие инструменты, которым нужно видеть реальную сеть, пока браузер остаётся приватным.
  • Экономия трафика на мобильном пакете: тяжёлое вне туннеля, важное внутри.
КОГДА ПОМОГАЕТРИС. 03банк не работает через туннельрабочая сеть требует прямого выходалокальный принтер и NASтяжёлые загрузки мимо туннеляраздельный туннельпомогает

Чем опасно раздельное туннелирование?

Каждое исключённое приложение полностью открыто. Три типичные ошибки:

  1. Исключить браузер, потому что какой-то сайт не открылся, и забыть. Браузер как раз почти всегда должен оставаться внутри.
  2. Пользоваться исключениями в чужой сети. В кафе исключённый трафик виден сети ровно как без VPN. Раздельный туннель это история для дома.
  3. DNS мимо туннеля. Некоторые реализации отправляют DNS-запросы напрямую даже для приложений внутри туннеля, отдавая список сайтов провайдеру. После настройки прогоните проверку из статьи утечки DNS и WebRTC.
ТРИ ОШИБКИРИС. 041исключить браузер и забытьбраузер почти всегда внутри2исключения в чужой сетив кафе исключённое виднокак без VPN3DNS мимо туннелясписок сайтов уходит провайдеру
Три ошибки, которые встречаются чаще всего. Первая обычно делается один раз и забывается навсегда.

Kill Switch защищает только трафик внутри туннеля. Исключённые приложения продолжают работать при обрыве VPN, и так и задумано.

СХЕМАРИС. 05Kill Switch закрывает только туннельобрыв VPNвнутри туннеляинтернет отключёнисключенияработают дальшетак и задумано
Важное следствие, которое легко упустить: аварийный выключатель не распространяется на то, что вы сами вынесли наружу.

Как настроить раздельное туннелирование

Android. Раздельный туннель по приложениям встроен в систему. Где: настройки приложения VPN → «Раздельное туннелирование», «Приложения» или «Маршрутизация». Названия разные, смысл один: список программ с галочками, где вы снимаете отметку с тех, кого хотите вывести из туннеля. Отдельно в системных настройках есть «Постоянная VPN» и параметр, который пускает трафик только через VPN, и второе действует только на приложения внутри туннеля. Подробнее в статье VPN на Android.

iPhone и iPad. iOS не даёт обычным VPN-приложениям исключать программы по отдельности (это доступно только для управляемых устройств). Приложения могут исключать адреса, например локальную сеть, и включать VPN по требованию в определённых сетях. Если приложение для iOS обещает раздельный туннель по программам, уточните, что именно оно исключает.

Windows и macOS. Большинство приложений показывают список установленных программ для включения или исключения. На macOS обычно есть отдельная галка «разрешить локальную сеть» для принтеров и AirPlay.

ЧТО ДАЁТ ИСКЛЮЧАТЬ КАЖДАЯ СИСТЕМАANDROIDПо приложениямвстроено в системуIPHONE, IPADПо приложениямтолько управляемыеПо адресамлокальная сетьWINDOWSПо приложениямисключить, включитьMACOSПо приложениямисключить, включитьЛокальная сетьотдельная галка«Только через VPN» на Android действует лишь на приложения внутри туннеля.
По приложениям исключают Android, Windows и macOS; iPhone обычно только по адресам.

Роутер. Раздельный туннель на роутере это правило маршрутизации: одни устройства идут через туннель, другие нет. Единственный способ не замедлить весь дом, разбор в статье VPN на роутере.

ЧТО ОБЫЧНО ОСТАВЛЯЮТ СНАРУЖИРИС. 06банкне любит чужую странупринтер, NASживут в локальной сетиигрылишняя задержкалокальное ТВпроверяет регионвсё остальное идёт в туннель

Что такое обратный режим раздельного туннеля?

Некоторые приложения позволяют перевернуть логику: через VPN идут только выбранные программы, всё остальное напрямую. Удобно, когда защитить нужно одну программу, например отдельный профиль браузера. Риск здесь зеркальный: всё, что не выбрано, идёт вне туннеля, так что список выбранного и есть то, что вы защищаете, а не список исключений.

Список исключений проще составить один раз и правильно.

Промт для нейросети
Помоги составить список исключений для туннеля.

Устройство: (Android / iPhone / Windows / macOS).
Что не работает через туннель: (перечислите
приложения).
Чем пользуюсь чаще всего: (перечислите).
Есть ли дома принтер, NAS или камеры: (да / нет).

Скажи, что действительно стоит вынести из
туннеля, а что нельзя выносить ни в коем случае
и почему.
Список держи коротким: чем он длиннее, тем
меньше смысла в туннеле.

Что выбрать по умолчанию: полный туннель или раздельный?

Полный туннель везде, с двумя исключениями максимум: доступ к локальной сети и одно-два приложения, которые действительно ломаются через VPN. Раз в несколько месяцев пересматривайте список. В общественных сетях отключайте исключения полностью: там туннель нужнее всего, а исключённый трафик виднее всего.

РАЗУМНОЕ УМОЛЧАНИЕРИС. 07полный туннель вездеисключение: локальная сетьисключение: 1-2 приложениякоторые правда ломаютсяв общественных сетях: без исключений вообще
Настройка по умолчанию, к которой стоит возвращаться. Список исключений имеет свойство разрастаться сам.

404 VPN поддерживает раздельное туннелирование по приложениям на Android, macOS и Linux, умеет исключать локальную сеть и держит DNS внутри туннеля для всего, что через него идёт, с Kill Switch для защищённого трафика. Подробнее на странице возможностей, а начать можно с главной.

Частые вопросы

Что значит split tunneling в VPN?

Это раздельное туннелирование: вы выбираете, какие приложения или адреса идут через VPN, а какие напрямую в интернет. Исключённый трафик работает так, будто VPN выключен: с реальным IP и DNS провайдера.

Где включить раздельное туннелирование на Android?

В настройках приложения VPN: пункт называется «Раздельное туннелирование», «Приложения» или «Маршрутизация». Там список программ: снимите отметку с тех, которые хотите вывести из туннеля.

Можно ли на айфоне исключить приложение из VPN?

Нет, iOS не даёт обычным VPN-приложениям исключать программы по отдельности: так можно только на управляемых устройствах. Исключать можно адреса, например локальную сеть.

Почему с VPN не работает принтер или NAS?

Строгий туннель может скрыть локальную сеть. Исключите локальные адреса из туннеля, а на macOS для этого обычно есть галка «разрешить локальную сеть».

Безопасно ли раздельное туннелирование в общественном Wi-Fi?

Для исключённых приложений нет: в общественной сети их трафик виден так же, как без VPN. Поэтому в кафе и других чужих сетях исключения лучше отключать полностью.