Короткий ответ: обычный VPN уводит через сервер весь телефон целиком, включая те приложения, которым это мешает. Работает другой подход — маршрутизировать не телефон, а отдельные приложения: то, что должно ходить напрямую, оставить напрямую.
Что на самом деле меняется, когда включается туннель
Приложение на телефоне не знает, что вы что-то включили. Оно знает одно: адрес, с которого вышло в сеть. Пока телефон работает через оператора или домашний Wi-Fi, этот адрес принадлежит вашему провайдеру и вашему городу. Как только весь трафик уходит через сервер, адресом становится адрес сервера — с другим оператором, другой страной, а иногда и с историей: до вас с него в тот же сервис мог заходить кто-то ещё.
Для приложения это выглядит как резкая смена обстановки. Секунду назад вы были в одном месте, теперь в другом, без единого промежуточного шага и без всякого объяснения.
Почему банк, госуслуги и доставка реагируют сильнее прочих
У этих приложений адрес входа — часть проверки. Банк смотрит, не выглядит ли вход необычно. Государственный сервис может работать только внутри своей страны. Служба доставки определяет по адресу город и предлагает не тот склад. Ни одно из них не ломается — все они делают ровно то, для чего написаны.
Отсюда и симптомы, по которым это узнают: бесконечная загрузка вместо экрана входа, внезапная просьба подтвердить вход, выход из аккаунта, сообщение о недоступности сервиса в вашем регионе, не тот город в адресе доставки.
Почему «включить и выключить» — не решение
Самый частый способ — держать туннель выключенным и включать вручную, когда он нужен. Работает, но плохо: вы каждый раз вспоминаете о нём сами, а половина случаев, когда он нужен, происходит в фоне — пока телефон лежит в кармане.
Второй способ — раздельное туннелирование, если приложение его умеет. Это ближе к делу, но у многих оно сделано как один переключатель «весь список или ничего»: без правил по адресам и без запасного варианта на случай, когда сервер не отвечает.
Что работает: маршрут для приложения, а не для телефона
Задача формулируется иначе. Не «включить VPN», а «решить для каждого приложения, каким путём оно ходит». Тогда банк, госуслуги и доставка остаются на привычном маршруте, никакие проверки не срабатывают, а через сервер идёт ровно то, ради чего он понадобился.
Так устроен Stealtify. Приложения назначаются на группы, у группы задан прокси, и трафик приложений этой группы идёт через него. Всё, что вы не отметили, идёт напрямую — как будто на телефоне ничего не включено.
Одна деталь, которую стоит знать заранее: пока в клиенте нет ни одного правила, поднятый туннель ведёт через прокси весь трафик целиком. Как только появляется хотя бы одно правило, решают правила, а всё, что под них не попало, идёт напрямую.
Когда удобнее правило не по приложению, а по адресу сайта
Иногда через сервер нужно не приложение целиком, а один сайт. Для этого есть правила по домену: точный адрес вида example.com, поддомен mail.example.com или маска *.example.com.
У доменных правил есть граница, о которой лучше знать заранее. Совпадение ищется по имени хоста, которое видно на этапе установления TLS-соединения, — а не по адресу назначения. Приложение, которое ходит через DNS-over-HTTPS или держит адреса зашитыми внутри себя, под доменное правило не попадёт: такое маршрутизируют целиком, правилом по приложению.
Чего раздельная маршрутизация не чинит
Она решает ровно одну задачу — кто каким путём ходит. Она не делает соединение быстрее: скорость задаёт сервер и расстояние до него. Она не прячет вас от того, кто держит сервер: ему видно, куда вы обращаетесь. И она не отменяет главного условия — доступ к серверу вы приносите свой. Клиент серверов не предоставляет и не продаёт.
С чего начать, если хочется попробовать
Порядок такой: поставить клиент, добавить сервер — свой или тот, доступ к которому у вас уже есть, — и назначить на группу с этим сервером только те приложения, которым нужен другой маршрут. Банку, госуслугам и доставке правило не нужно вовсе: без правила они и так идут напрямую.