INCY маршрутизация: полное руководство по настройке профилей и правил

Что такое маршрутизация в INCY и зачем она нужна

Маршрутизация в INCY — это набор правил, которые определяют, как клиент обрабатывает каждый домен или IP-адрес. Вместо того чтобы гнать весь трафик через VPN-сервер, можно указать, какие ресурсы открывать напрямую, какие через прокси, а какие блокировать. Это позволяет решать сразу несколько задач: ускорять доступ к локальным сервисам, обходить блокировки, защищать приватность и экономить трафик.

Основная идея — разделение трафика на три категории: DIRECT (напрямую), PROXY (через сервер) и BLOCK (заблокировать). Поведение трафика, который не попал ни под одно правило, задаётся параметром GlobalProxy. Если он установлен в true, весь нераспознанный трафик идёт через прокси; если false — напрямую. Это базовый переключатель, который определяет логику всей маршрутизации.

INCY — это клиент, а не поставщик VPN-серверов. Поэтому перед настройкой маршрутизации у вас уже должен быть добавлен рабочий сервер или подписка. Маршрутизация лишь распределяет трафик, но не создаёт само подключение.

Основные понятия: DIRECT, PROXY, BLOCK и GlobalProxy

Каждое правило в профиле маршрутизации приводит к одному из трёх результатов:

• DIRECT — трафик идёт напрямую через обычное подключение провайдера, минуя прокси. Это полезно для локальных ресурсов, банков, домашней сети, но снижает приватность для этих направлений.
• PROXY — трафик проходит через выбранный сервер INCY. Это основной режим для обхода блокировок и скрытия реального IP.
• BLOCK — соединение с указанным доменом или IP не устанавливается вовсе. Используется для блокировки рекламы, трекеров и нежелательных ресурсов.

Параметр GlobalProxy определяет, что делать с трафиком, который не совпал ни с одним правилом. Если он равен true, весь нераспознанный трафик уходит через прокси. Если false — напрямую. Это ключевой параметр, который задаёт общую стратегию: либо «всё через прокси, кроме исключений», либо «всё напрямую, кроме выбранного».

Типовые сценарии:

• Всё через прокси — GlobalProxy = true, списки Direct пустые или минимальные. Максимально простой полный туннель.
• Локальное напрямую, остальное через прокси — GlobalProxy = true, локальные домены и IP добавлены в Direct. Подходит для России, где нужно оставить банки и госуслуги на домашнем адресе.
• Только выбранное через прокси — GlobalProxy = false, нужные домены и IP добавлены в Proxy. Обычный интернет идёт напрямую, а отдельные сервисы — через сервер.

Профили маршрутизации: что это и как их получить

В INCY маршрутизация оформлена в виде отдельной сущности — профиля. Профиль — это JSON-структура, содержащая все правила, DNS-настройки, ссылки на геофайлы и другие параметры. Профиль можно создать вручную, но гораздо удобнее импортировать готовый от провайдера.

Профили добавляются через:

• Буфер обмена — скопировать ссылку или JSON и вставить в приложение.
• Deeplink-ссылки — формат incy://routing/add/{base64} или incy://routing/onadd/{base64}.
• QR-коды — отсканировать камерой.
• HTTP-заголовок подписки — провайдер может передавать профиль в заголовке routing при обновлении подписки.
• Тело подписки — строка incy://routing/onadd/... может быть размещена прямо в теле подписки рядом с серверными конфигурациями.

Разница между add и onadd в том, что onadd сразу активирует профиль, а add просто добавляет его в список, но не включает. Также есть ссылка incy://routing/off, которая полностью отключает встроенную маршрутизацию.

Важно: не импортируйте профили из непроверенных источников. Профиль может задавать DNS-серверы, загружать геофайлы и отправлять трафик куда угодно. Всегда проверяйте, что профиль получен от доверенного поставщика.

Готовые профили для типовых сценариев

Для большинства пользователей не нужно собирать профиль вручную — достаточно выбрать готовый сценарий. Вот несколько типовых профилей, которые покрывают основные потребности:

P1: Россия напрямую — российские сайты (зоны .ru, .su, .рф, .moscow, .tatar) и домашняя сеть идут напрямую, всё остальное (YouTube, Telegram) — через туннель. Это самый спокойный вариант для повседневного использования, так как банки и госуслуги не требуют подтверждений и капчи.

P2: Россия и игры — то же самое, но дополнительно игровые сервисы (Steam, Epic Games, Riot, Faceit, Twitch) и обновления Windows/Apple идут напрямую, чтобы не повышать пинг и не замедлять загрузку. Также блокируется реклама и телеметрия Windows.

P3: Только банки и госуслуги — обратный подход: из туннеля выведены только банки, госуслуги и домашняя сеть. Весь остальной трафик, включая .ru-сайты, идёт через прокси. Подходит для максимальной приватности, но может вызвать проблемы с российскими сервисами, которые требуют локальный IP.

P4: Точный список блокировок — в туннель уходит только то, что действительно заблокировано в России (по спискам РКН), а сервисы, которые пускают только с российских адресов, остаются напрямую. Это самый точный и сбалансированный вариант, но база геофайлов тяжелее (около 5 МБ).

P5: Всё через туннель — профиль-возврат, который включает полный туннель без исключений, кроме домашней сети. Полезен, если после экспериментов с правилами что-то сломалось и нужно вернуться к базовому поведению.

Каждый профиль можно установить одной ссылкой-командой incy://routing/onadd/..., которая открывает INCY и показывает диалог импорта. Внутри профиля — JSON, который можно посмотреть и понять, какие правила он содержит.

Ручная настройка профиля: пошаговое руководство

Если готового профиля нет или нужно добавить небольшое исключение, можно создать профиль вручную. Начните с минимального набора правил и добавляйте записи постепенно.

Шаг 1. Выберите базовый режим — определите значение GlobalProxy. Если хотите, чтобы локальные ресурсы шли напрямую, а всё остальное через прокси, установите true и заполните DirectSites/DirectIp. Если нужен режим «только выбранное через прокси», установите false и заполните ProxySites/ProxyIp.

Шаг 2. Заполните правила — используйте поля DirectSites, DirectIp, ProxySites, ProxyIp, BlockSites, BlockIp. В них можно указывать конкретные домены (например, example.com), IP-адреса и подсети (например, 192.168.0.0/16), а также гео-категории вида geosite:ru или geoip:ru. Гео-категории работают только если выбранные геофайлы содержат такие категории.

Шаг 3. Сохраните доступ к домашней сети — обязательно добавьте в DirectIp частные диапазоны: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16. Это позволит обращаться к роутеру, принтеру, NAS и другим локальным устройствам.

Шаг 4. Настройте DNS — INCY разделяет DNS для проксируемых и прямых ресурсов. RemoteDNS используется для трафика через прокси, DomesticDNS — для прямого. Поддерживаются DoH и DoU. Если не уверены, оставьте значения по умолчанию или возьмите из проверенного профиля.

Шаг 5. Выберите стратегию доменов — параметр DomainStrategy определяет, как проверяются правила. AsIs (по умолчанию) проверяет домены без преобразования в IP. IPIfNonMatch сначала проверяет доменные правила, а если совпадения нет — получает IP и проверяет IP-правила. IPOnDemand всегда резолвит домены в IP перед проверкой. Для смешанных профилей обычно удобно начать с IPIfNonMatch.

Настройка DNS в профиле маршрутизации

DNS — важная часть маршрутизации, так как от неё зависит, как разрешаются имена для разных категорий трафика. INCY разделяет DNS на два потока:

• Remote DNS — используется для ресурсов, которые идут через прокси. По умолчанию это Cloudflare DoH (https://cloudflare-dns.com/dns-query с IP 1.1.1.1).
• Domestic DNS — для прямых ресурсов. По умолчанию это UDP-сервер (например, 77.88.8.8 от Яндекса или 8.8.8.8 от Google).

Параметры DNS в профиле:

• RemoteDNSType / RemoteDNSDomain / RemoteDNSIP — настройка удалённого DNS.
• DomesticDNSType / DomesticDNSDomain / DomesticDNSIP — настройка локального DNS.
• DnsHosts — ручные соответствия «домен → IP», аналог файла hosts.
• FakeDNS — если включён, клиент выдаёт виртуальные IP, чтобы ядро обрабатывало запросы по правилам профиля.

Практический совет: не меняйте DNS одновременно с маршрутами, иначе будет сложно понять, что вызвало проблему. Сначала настройте маршрутизацию, проверьте, затем при необходимости меняйте DNS.

Геофайлы: geoip.dat и geosite.dat, оптимизация загрузки

Геофайлы — это базы данных, которые содержат списки IP-адресов (geoip.dat) и доменов (geosite.dat) по категориям. Они используются для правил вида geoip:ru или geosite:youtube. В INCY предустановлены базовые геофайлы, но профиль может ссылаться на свои URL.

Полные геофайлы весят десятки мегабайт, поэтому INCY использует оптимизированное скачивание:

• Сначала скачивается файл {filename}.sha256 (несколько байт) с тем же URL.
• Если хеш совпадает с сохранённым и файл существует локально, скачивание пропускается.
• Если файл .sha256 недоступен, используется сравнение временных меток LastUpdated.
• Если файл изменился, скачивается полный файл, вычисляется SHA-256 и заменяется старый.

Для экономии трафика и памяти можно включить опцию useChunkFiles. Она обрезает геофайлы до реально используемых категорий. Однако на десктопных версиях (Windows, Linux) эта опция пока игнорируется — там используются полные файлы. На Android и iOS обрезка работает через встроенный Go-модуль.

Рекомендация для провайдеров: размещайте файлы .sha256 рядом с геофайлами, чтобы клиенты могли пропускать скачивание неизменившихся файлов. Это экономит трафик и ускоряет обновление.

Импорт профилей: Android, iOS, Windows, macOS, Linux

Процесс импорта профиля зависит от платформы, но общая логика одинакова.

Android:

1. Скопируйте ссылку профиля или подготовьте QR-код.
2. Откройте вкладку «Серверы» и используйте кнопку импорта из буфера, либо просто нажмите deeplink-ссылку.
3. Подтвердите импорт.
4. Перейдите в «Настройки» → «Туннель» → «Маршрутизация».
5. Включите переключатель «Профили маршрутизации», если он есть.
6. Выберите нужный профиль и подключитесь к серверу.

iOS и iPadOS:

1. Откройте «Настройки» → «Туннель».
2. Включите «Профили маршрутизации».
3. Нажмите «Настроить» → «Импорт профиля».
4. Вставьте ссылку и нажмите «Импортировать».
5. Выберите новый профиль и подключите VPN (iOS может запросить разрешение на добавление VPN-конфигурации).

Windows, macOS, Linux:

1. Откройте настройки приложения, найдите раздел туннеля или routing profiles.
2. Выберите импорт профиля, вставьте deeplink или данные от администратора.
3. Дождитесь загрузки геофайлов (первая загрузка может занять время).
4. Активируйте профиль и перезапустите соединение, чтобы правила точно применились.

Если профиль приходит через подписку, просто обновите подписку в INCY — профиль может быть передан через HTTP-заголовок routing или отдельной строкой в теле подписки.

Проверка результата и устранение неполадок

После настройки маршрутизации важно проверить, что всё работает как задумано. Вот несколько шагов:

1. Подключитесь к серверу и откройте сайт, который должен идти напрямую (например, российский банк). Проверьте, что он открывается без капчи и подтверждений.
2. Откройте сайт, который должен идти через прокси (например, YouTube). Проверьте, что он доступен и ваш IP изменился.
3. Проверьте, что заблокированные ресурсы (если вы их добавили) действительно не открываются.

Типичные проблемы:

• Красный восклицательный знак в списке профилей — ошибка загрузки геофайлов. Проверьте URL геофайлов и интернет-соединение.
• Сайты не открываются напрямую — возможно, вы забыли добавить их в DirectSites или DirectIp, или GlobalProxy установлен в false, и они уходят через прокси.
• Локальные устройства недоступны — проверьте, что частные диапазоны добавлены в DirectIp.
• Проблемы с DNS — если сайты не резолвятся, проверьте настройки RemoteDNS и DomesticDNS.

Если что-то пошло не так, откатитесь к предыдущему профилю или отключите маршрутизацию через incy://routing/off. Также можно удалить профиль и импортировать заново.

Автообновляемая маршрутизация (autorouting) и обновление профилей

INCY поддерживает автообновляемые профили маршрутизации. Ссылка формата incy://autorouting/onadd/{URL} скачивает профиль по URL, включает автообновление и активирует его. Это удобно, когда правила часто меняются (например, списки блокировок).

Профили с одинаковым полем Name обновляются, а не дублируются. Поле LastUpdated (Unix timestamp) контролирует актуальность: обновление происходит только если новая метка больше сохранённой. Это предотвращает лишние загрузки.

При обновлении профиля также обновляются геофайлы, если их URL изменился или хеш не совпадает. Если профиль использует useChunkFiles, после обрезки хеш пересчитывается локально, и повторное скачивание не запустится, пока исходный .sha256 на сервере не сменится.

Для провайдеров важно правильно настроить HTTP-заголовок routing в ответе подписки. Он может содержать base64-профиль, полную ссылку или значение off для отключения маршрутизации. Это позволяет управлять маршрутизацией пользователей без их участия.

Вопросы и ответы