Раздельное туннелирование: через VPN только выбранные приложения

По умолчанию VPN работает как полный туннель: каждый пакет с вашего устройства идёт через зашифрованный выход. Раздельное туннелирование это меняет — вы сами решаете, какой трафик идёт в туннель, а какой остаётся на обычном соединении. Разновидностей две: по приложениям (это приложение — через VPN, то — напрямую) и по назначению (эти диапазоны IP или сайты — через VPN, остальное — напрямую).

Польза чисто практическая. Сайт банка или чувствительную к задержкам игру оставляете на быстром локальном соединении, а скрапер или сервис с геоограничениями пускаете через VPN. Или дотягиваетесь до устройств в локальной сети — принтера, NAS, — которые полный туннель иначе отрезал бы. Платите за это тем, что трафик вне туннеля не защищён: это настоящий компромисс, а не бесплатный бонус.

Раздельное туннелирование выигрывает там, где полный туннель избыточен или просто мешает: доступ к локальным устройствам, вынос доверенного тяжёлого трафика (видеозвонки, бэкапы) за пределы VPN, одно приложение «за границей», пока остальные дома, или снижение нагрузки на выход с тарификацией по трафику. AllowedIPs в WireGuard делает разделение по назначению тривиальным — это буквально таблица маршрутизации туннеля, — а многие клиенты добавляют сверху ещё и разделение по приложениям.

Честное предупреждение: всё, что идёт мимо туннеля, идёт с вашего настоящего IP и без всякой защиты. Если разделяете по приложениям, убедитесь, что выведенное наружу приложение не сливает ничего чувствительного, и помните: раздельный туннель ослабляет гарантию «спрятано всё», которую даёт полный. Следите также за утечками DNS — без явного закрепления DNS может пойти не тем путём. VPN от s4m поддерживает оба режима: берите полный туннель, когда приватность в приоритете, и разделяйте только тогда, когда есть конкретная причина и вы понимаете, что остаётся открытым.