Прокси по приложениям на iOS в Incy: ограничения, настройка и альтернативы

Почему на iOS нет раздельного туннелирования по приложениям

Многие пользователи Incy, переходя с Android на iPhone, ожидают увидеть знакомую функцию раздельного туннелирования по приложениям. На Android действительно можно отметить галочками программы, чей трафик пойдёт через прокси или напрямую. Однако на iOS такой возможности нет, и это не прихоть разработчиков Incy, а архитектурное ограничение операционной системы.

iOS передаёт VPN-клиенту весь сетевой трафик устройства целиком, не сообщая, какое именно приложение его породило. Система не предоставляет API для фильтрации по идентификатору процесса или пакета, как это делает Android через VpnService. Поэтому любой VPN-клиент на iPhone, включая Incy, принимает решения о маршрутизации не по программам, а по адресам назначения — доменам и IP-адресам.

Это ограничение касается всех VPN-приложений в App Store, и появление выбора приложений в будущих версиях Incy зависит исключительно от Apple. Разработчики Incy не могут обойти это ограничение, не нарушая правила App Store и не прибегая к джейлбрейку.

Как работает маршрутизация в Incy на iOS

Incy построен на ядре Xray-core, и маршрутизация в нём — это упорядоченный список правил. Каждое соединение проверяется сверху вниз, и первое совпавшее правило определяет, что сделать с трафиком: отправить через прокси (PROXY), напрямую (DIRECT) или заблокировать (BLOCK).

На iOS доступны все те же типы правил, что и на других платформах, кроме правил по приложениям. Вы можете использовать:

• Правила по доменам — domain:example.com (домен и поддомены), full:example.com (точное совпадение), regexp: и keyword:.
• IP-адреса и подсети — например, 192.168.0.0/16 или geoip:ru.
• Гео-категории — geosite:ru, geosite:category-ads-all, geoip:private и другие.

Параметр GlobalProxy определяет, что делать с трафиком, который не совпал ни с одним правилом. Если GlobalProxy = true, весь нераспознанный трафик идёт через прокси; если false — напрямую. Это позволяет реализовать две базовые схемы: «локальное напрямую, остальное через прокси» или «только выбранные сервисы через прокси».

Что делать вместо списка приложений: стратегия для iPhone

Хотя точного аналога раздельного туннелирования по приложениям на iOS нет, задачу можно решить через правила по доменам. Результат будет почти тот же, если подойти к делу системно.

Шаг 1. Определите, что должно идти напрямую. Обычно это банковские приложения, государственные сервисы и локальные ресурсы. Для них прямой доступ предпочтителен: он снижает задержку и избегает проблем с двухфакторной аутентификацией, которая часто привязана к IP-адресу.

Шаг 2. Найдите домены, к которым обращаются эти приложения. Как правило, это основной домен сервиса и его поддомены. Например, для Сбербанка это sberbank.ru и online.sberbank.ru, для Госуслуг — gosuslugi.ru и lk.gosuslugi.ru.

Шаг 3. Добавьте правила по доменам. Одно правило на домен второго уровня покрывает все его поддомены. В Incy это делается через раздел «Маршрутизация» → «Правила» → «Добавить правило».

Шаг 4. Используйте готовые списки geosite. Категории geosite заменяют десятки ручных правил. Например, geosite:ru включает большинство российских доменов, а geosite:category-gov-ru — государственные сайты. Это значительно упрощает настройку.

Практический предел. Если приложение обращается к десяткам разных адресов, полностью «вывести» его из туннеля правилами сложно. В таких случаях проще временно отключить VPN на время работы с этой программой.

Пошаговая настройка маршрутизации на iOS

Рассмотрим, как импортировать готовый профиль маршрутизации или создать свой на iPhone или iPad.

Импорт готового профиля

1. Скопируйте полную ссылку профиля, обычно она начинается с incy://routing/ или incy://autorouting/. Не удаляйте символы в конце и не добавляйте пробелы.
2. Временно отключите туннель, чтобы загрузка геофайлов не прервалась.
3. Откройте ссылку в Safari или мессенджере — iOS предложит открыть её в Incy.
4. Подтвердите импорт и дождитесь загрузки геофайлов, если они требуются.
5. Проверьте, что новый профиль активен: Настройки → Туннель → Профили маршрутизации → Маршрутизация.
6. Подключитесь к серверу и проверьте, что нужные ресурсы открываются правильно.

Создание профиля вручную

1. Перейдите в Настройки → Туннель → Профили маршрутизации → Маршрутизация → Настроить.
2. Выберите базовый режим GlobalProxy. Для схемы «российские сайты напрямую, остальное через прокси» установите true.
3. В поле DirectSites добавьте домены и категории, которые должны идти напрямую, например: sberbank.ru; geosite:ru; geosite:category-gov-ru.
4. В поле DirectIp добавьте частные диапазоны, чтобы не потерять доступ к роутеру и локальным устройствам: 10.0.0.0/8; 172.16.0.0/12; 192.168.0.0/16; 169.254.0.0/16.
5. Сохраните профиль, активируйте его и переподключитесь к VPN.

Готовые профили маршрутизации для Incy

Incy предлагает несколько предустановленных профилей, которые покрывают основные сценарии. Они переключаются одним нажатием и могут быть дополнены ручными правилами.

• «Умный (RU напрямую)» — российские домены и IP (geosite:ru, geoip:ru, geosite:category-gov-ru), локальная сеть и рекламные трекеры (блокируются) идут напрямую, всё остальное — через прокси. Это профиль по умолчанию для пользователей в России.
• «Полный (всё через прокси)» — весь трафик, кроме локальной сети, идёт через сервер. Подходит для публичного Wi-Fi, поездок и проверки нового ключа.
• «Только выбранные приложения» — на iOS этот профиль работает через домены, а не через приложения. Вы указываете домены, которые должны идти через прокси, всё остальное — напрямую.

Профили можно комбинировать: взять «Умный» за основу и добавить к нему свои правила. Например, чтобы направить конкретный зарубежный сервис через прокси, добавьте правило domain:example.com → proxy выше категорий Geo.

Если провайдер прикрепил к подписке собственный профиль, он появится в списке с пометкой «Из подписки» и будет обновляться вместе с серверами. Ваши ручные правила при этом сохраняются и имеют приоритет.

Частые сценарии: банк, мессенджер, локальные сайты

Рассмотрим типичные задачи и их решения на iOS.

Банк — напрямую. Добавьте правило domain:sberbank.ru → direct или используйте категорию geosite:category-gov-ru, если банк государственный. Для коммерческих банков, таких как Тинькофф (tinkoff.ru), потребуется ручное правило.

Мессенджер — через сервер. Если нужно, чтобы Telegram или WhatsApp работали через прокси, добавьте их домены в ProxySites. Для Telegram это telegram.org, t.me, web.telegram.org. Учтите, что в России Telegram может быть заблокирован, и правило proxy поможет обойти блокировку.

Локальные сайты — напрямую. Для доступа к домашнему NAS, роутеру или внутреннему корпоративному сайту добавьте их IP-адреса или домены в DirectIp / DirectSites. Не забудьте про частные диапазоны 192.168.0.0/16, 10.0.0.0/8 и т.д.

Всё через сервер. Установите GlobalProxy = true и оставьте списки Direct минимальными. Это максимально простой полный туннель, но учтите, что российские сервисы могут работать медленнее или требовать повторной авторизации.

Реклама и трекеры — блокировка. Добавьте правило geosite:category-ads-all → block первым в списке. Это отсечёт рекламные сети и трекеры ещё до того, как они попадут в туннель или прямой канал.

Особенности iOS: фоновые обрывы, установка, серверы

При использовании Incy на iPhone стоит учитывать несколько системных особенностей.

Фоновое соединение. iOS может выгружать VPN-соединение из памяти, когда приложение долго работает в фоне. Это приводит к обрывам защищённого соединения. Чтобы минимизировать проблему, включите автозапуск и проверьте настройки энергосбережения.

Установка только из App Store. Incy для iPhone устанавливается исключительно из App Store. Не пытайтесь загрузить APK или установочный файл с других сайтов — это не сработает и может быть опасно.

Список серверов не приходит. Иногда на iPhone не отображаются серверы после импорта ссылки провайдера. Это может быть связано с ошибкой в ссылке, просроченным доступом или проблемами с сетью. Попробуйте добавить заведомо рабочую ссылку для проверки.

Ограничения iPad. На iPad действуют те же ограничения, что и на iPhone, поскольку iPadOS основана на iOS. Раздельное туннелирование по приложениям также недоступно.

Проверка результата и устранение неполадок

После настройки маршрутизации важно убедиться, что всё работает как задумано.

Проверка за 2 минуты.

1. Подключитесь к серверу.
2. Откройте сайт, который должен идти напрямую (например, российский банк), и убедитесь, что он открывается без задержек.
3. Откройте сайт, который должен идти через прокси (например, зарубежный сервис), и проверьте его IP-адрес через сервис определения IP — он должен отличаться от вашего реального.
4. Если что-то не так, проверьте активный профиль и порядок правил.

Частые ошибки.

• Российские сайты открываются через сервер. Чаще всего устарел файл geosite.dat. Обновите базы: Настройки → Базы данных → Обновить. Также проверьте, не выбран ли профиль «Полный».
• Ошибка geosite.dat. Файл повреждён или удалён антивирусом. Перезагрузите его через «Обновить» или обратитесь в поддержку.
• Сайт не открывается вообще. Проверьте, не попадает ли он под правило block. Если да, удалите или измените правило.

Совет. Меняйте по одному правилу за раз и проверяйте результат. Два изменения подряд затрудняют поиск ошибки.

Безопасность и ограничения при импорте профилей

Профиль маршрутизации — это мощный инструмент: он может задавать DNS-серверы, загружать geoip/geosite-файлы, отправлять домены напрямую, через прокси или в блокировку. Поэтому важно соблюдать осторожность.

Не импортируйте случайные ссылки. Используйте только профили от доверенных поставщиков. Сокращённые ссылки и профили из непроверенных источников могут перенаправить ваш трафик на мошеннические серверы или изменить DNS-настройки.

Проверяйте источник. Официальные ресурсы Incy — incy.cc, incy.app.com и репозиторий github.com/incy-dev/incy-platforms. Справочные сайты, такие как incy.to, не являются официальными, но могут содержать полезную информацию.

DNS-настройки. Incy разделяет DNS для проксируемых и прямых ресурсов: Remote DNS для трафика через прокси, Domestic DNS для прямого. Если вы не уверены в параметрах, оставьте значения по умолчанию или используйте настройки из проверенного профиля.

Экспорт профиля. Перед экспериментами экспортируйте текущий профиль в JSON. Это позволит быстро вернуться к рабочей конфигурации или перенести её на другое устройство.

Вопросы и ответы