Добавить Happ в исключения в Linux: раздельный туннель

Когда нужны исключения для Happ на Linux

Самый частый случай: корпоративная сеть или домашняя инфраструктура перестаёт работать при включённом VPN. NAS, сетевой принтер, медиасервер — всё это обычно адресуется по локальным IP или NetBIOS-именам, и если VPN перехватывает весь трафик, локальные ресурсы становятся недоступны.

Второй сценарий: определённые приложения должны работать напрямую без VPN. Например, корпоративный клиент, который проверяет IP-адрес пользователя, или игровой клиент, который не работает через VPN из-за античит-системы. В таких случаях нужно вынести конкретное приложение за пределы туннеля.

Третий случай — производительность. Если у вас медленный VPN-сервер, а торрент-клиент или другое приложение не требует защиты — можно пустить его напрямую, сохранив VPN только для нужных программ. На Linux это делается через политики маршрутизации или через утилиты типа cgroup.

Способ 1: Исключения через маршрутизацию

Самый прямой способ — добавить статические маршруты, которые отправляют определённый трафик в обход VPN-интерфейса. Когда Happ создаёт tun0 (или wireguard0) интерфейс и становится шлюзом по умолчанию, любой трафик, для которого явно указан физический интерфейс, пойдёт мимо туннеля.

Пример для локальной сети: если ваша домашняя сеть — 192.168.1.0/24, а физический интерфейс — eth0 с шлюзом 192.168.1.1, добавьте маршрут: `sudo ip route add 192.168.1.0/24 via 192.168.1.1 dev eth0`. После этого трафик к локальным устройствам будет идти напрямую, а весь остальной — через VPN Happ.

Для конкретного IP внешнего сервера (например, если нужно пустить определённый сайт без VPN): `sudo ip route add [IP-адрес]/32 via [шлюз] dev [интерфейс]`. Маршрут добавляется временно и сбрасывается при перезагрузке. Для постоянного эффекта добавьте команду в скрипт, который запускается при установке VPN-соединения.

• ip route add — добавить статический маршрут в обход VPN
• ip rule add fwmark — маркировать трафик для политик маршрутизации
• iptables MARK — маркировать трафик на уровне фаервола
• cgroup + routing — отправить процесс по другому маршруту

Способ 2: Маркировка трафика через iptables

Более гибкий подход — маркировать трафик через iptables и использовать политики маршрутизации на основе маркеров. Это позволяет создавать правила для конкретных портов, протоколов или даже UID процессов.

Пример: хотите, чтобы весь трафик с порта 8080 шёл мимо VPN. Создаёте маркер: `iptables -t mangle -A OUTPUT -p tcp --dport 8080 -j MARK --set-mark 100`. Потом добавляете таблицу маршрутизации для этого маркера: `ip rule add fwmark 100 table 200` и маршрут в таблицу 200: `ip route add default via [физический шлюз] table 200`. Теперь трафик с портом 8080 идёт напрямую.

Для исключения по UID (конкретное приложение): iptables поддерживает матч по uid-owner в таблице mangle. Пример: `iptables -t mangle -A OUTPUT -m owner --uid-owner 1001 -j MARK --set-mark 100`. Если приложение запускается под конкретным пользователем — весь его трафик получит маркер и будет маршрутизирован в обход VPN.

Способ 3: Cgroup для изоляции процессов

Самый элегантный способ для Linux — использовать cgroup (контрольные группы) для изоляции конкретных процессов и назначения им отдельной политики маршрутизации. Это современный подход, который работает на уровне ядра и не зависит от iptables.

Создайте cgroup: `mkdir /sys/fs/cgroup/net_cls/bypass_vpn` и `echo 100 > /sys/fs/cgroup/net_cls/bypass_vpn/net_cls.classid`. Затем добавьте правило iptables для этого classid: `iptables -t mangle -A OUTPUT -m cgroup --cgroup 100 -j MARK --set-mark 200`. И маршрут: `ip rule add fwmark 200 table bypass`, `ip route add default via [шлюз] table bypass`.

Теперь любой процесс, запущенный в этой cgroup, будет идти мимо VPN. Запуск приложения в cgroup: `cgexec -g net_cls:bypass_vpn [команда]`. Это удобно, потому что не нужно знать порты или UID заранее — достаточно запустить нужный процесс через cgexec.

Базовые шаги для Впн для пк 2026 мы держим на vertexvpn.digital, чтобы не дублировать их в каждом материале.

Как проверить, что исключения работают

После настройки исключений проверьте результат с двух сторон. Первая: убедитесь, что VPN-трафик всё ещё идёт через туннель. Откройте ipleak.net в браузере — там должен быть IP VPN-сервера, а не ваш реальный IP. Если там реальный IP — что-то сломало маршрутизацию туннеля.

Вторая проверка: убедитесь, что исключённый трафик действительно идёт напрямую. Для конкретного IP: `traceroute [IP]` должен показать маршрут через ваш физический шлюз, а не через VPN-сервер. Для приложения: запустите его, и через `ss -tnp` или `netstat` посмотрите, через какой интерфейс идут соединения.

Команда `ip route get [IP-адрес]` показывает, через какой интерфейс пойдёт пакет к конкретному IP. Это быстрый способ проверить маршрутизацию без реального подключения.

После перезагрузки убедитесь, что правила сохранились. Маршруты, добавленные через `ip route add`, временные. Правила iptables, если не сохранены через iptables-save/restore, тоже. Для постоянных правил используйте соответствующие механизмы вашего дистрибутива: netplan, NetworkManager, или скрипты в /etc/network/if-up.d/.

Исключения через настройки профиля Happ

Помимо системных настроек, некоторые версии Happ предоставляют встроенный механизм split tunneling прямо в интерфейсе клиента. Если ваша версия это поддерживает — это самый простой путь: зайдите в настройки, найдите раздел "Исключения" или "Split tunneling", добавьте нужные приложения или подсети.

Проверьте настройки профиля в конфигурационном файле. Для WireGuard-профилей это секция `[Peer]` с полем `AllowedIPs`. Если там стоит `0.0.0.0/0`, весь трафик идёт через VPN. Чтобы добавить исключение — уберите нужную подсеть из AllowedIPs. Например, если 192.168.1.0/24 нужно оставить локальным, перечислите AllowedIPs без этой подсети.

Для VLESS/VMess-конфигураций в Happ исключения обычно настраиваются в секции routing. В конфигурационном файле это выглядит как правила с типом `direct` для определённых доменов или IP. Это более сложная конфигурация, которая требует понимания структуры конфига Happ.

Если профиль получен как подписка и вы не можете его редактировать напрямую — используйте системные методы маршрутизации, описанные выше. Они работают независимо от того, какой профиль загружен в клиент.