Подключено, а часть трафика идёт мимо

Короткий ответ: почему трафик расходится

Потому что решение принимается не в момент подключения, а на каждом адресе отдельно — по профилю маршрутизации.

• Исходов ровно три: через прокси, напрямую, блокировать. Правила расставляются по доменам и по IP-адресам.
• Два из трёх исходов выглядят как «не работает». «Напрямую» — сайт ведёт себя как без доступа вовсе. «Блокировать» — не открывается совсем.
• DNS живёт своей жизнью. Внешний и внутренний серверы имён настраиваются отдельно от корзин, и путаница здесь даёт тот же симптом.
• Профиль может приехать вместе с доступом. Он передаётся заголовками подписки — разбор на листе про подписку.
• Раздельный туннель по приложениям есть не везде. На Android и на компьютере он есть, на iPhone и iPad его нет — подробности ниже.

Раздельный туннель по приложениям: где он есть, а где его нет

Есть на Android и в настольной сборке. На iPhone и iPad его нет — это не спрятанная настройка, а отсутствующая возможность.

• Что это вообще такое. Выбор, какие программы идут через туннель, а какие в обход, — независимо от того, какие домены прописаны в профиле.
• Признак первый. В таблице возможностей у разработчика напротив раздельного туннеля в мобильной колонке стоит не «есть», а слово «Android».
• Признак второй. В отзывах App Store эту функцию просят добавить и ссылаются на другой клиент, где она уже работает.
• Почему это важно знать заранее. Человек с iPhone ищет переключатель, которого не существует, и уходит искать причину в маршрутах, сети и подписке. Разделять трафик на этой системе можно только правилами профиля — по доменам и адресам, а не по названиям программ.

Может ли профиль обновляться сам

Да. Профиль привязывается к адресу и перечитывается по расписанию — этот режим называется autorouting. Одноразовый импорт устроен иначе: он кладёт правила один раз и адрес источника не запоминает.

• Разница задаётся командой. ://autorouting/ включает обновляемый профиль, ://routing/ — разовый импорт без запоминания источника.
• Интервалы обновления: 12 часов, 24 часа (значение по умолчанию), 3 дня, 7 дней.
• Проверка идёт чаще интервала — каждые 30 минут. Программа смотрит, не пора ли обновиться; сама загрузка происходит по расписанию.
• Ссылка на GitHub чинится сама. Адрес вида github.com/…/blob/… при импорте и при каждом обновлении превращается в «сырой» raw.githubusercontent.com/… — вручную переделывать не нужно.
• Данные можно передать параметром запроса — ://routing/add?data={base64}. Это запасной путь для совместимости, когда длинную строку неудобно передать в самом адресе.

Откуда берётся профиль, если источников несколько

Порядок жёсткий и знать его полезно: если ваш профиль не тот, которого вы ждали, значит выиграл источник рангом выше.

1. Заголовок autorouting в ответе подписки.
2. Строка с адресом профиля в теле подписки.
3. Заголовок routing.
4. Строка с профилем в base64 в теле подписки.

Как выключить маршрутизацию целиком

Командой ://routing/off — она отключает встроенную маршрутизацию полностью. Выбранный профиль при этом не стирается: он сохраняется и возвращается обратно, когда маршрутизацию включают снова.

Что происходит, если туннель упал

Трафик обрубается. Это kill switch: при падении туннеля программа не пускает данные в обход, вместо того чтобы молча вернуть вас в открытую сеть.

• Побочный эффект знакомый. Интернет перестаёт работать целиком, и это выглядит страшнее, чем «часть сайтов не открывается». Зато не бывает незаметной утечки в обычный канал.
• Это не то же самое, что три корзины. Корзины решают, куда отправить запрос при живом туннеле. Kill switch срабатывает, когда туннеля уже нет.

Фрагментация TLS-приветствия: зачем резать первый пакет

Чтобы оборудование глубокой фильтрации не увидело в первом пакете имя узла целиком. Приветствие TLS разрезается на части, и настраивается это по трём величинам: типу пакетов, длине куска и интервалу между отправками.

• Настройка живёт не только в приложении. Те же три величины передаются прямо в ссылке отдельного сервера — параметрами fragmentPackets, fragmentLength и fragmentInterval. То есть у разных серверов из одной подписки настройки резки могут отличаться.
• Продавец доступа тоже вмешивается. Он может задать фрагментацию, подмену адреса подключения (resolveAddress, hostHeader) и предварительное разрешение имени сервера через DoH.
• И может её потерять. При превышении тарифного лимита провайдера туннель продолжает работать, а часть надстроек отключается — тема оформления, фрагментация и подмена адреса. Разбор этого механизма — на листе про отпечаток устройства.

Что ещё управляет подключением, кроме правил

Три вещи, о которых чаще всего спрашивают отдельно.

• Always-On на Android. Режим, в котором туннель поднимается сам и держится постоянно, без ручного включения после перезагрузки.
• Раздача через хотспот на Android. Через один подключённый телефон могут выходить и другие устройства рядом.
• Виджеты и быстрые команды. Подключение и отключение без открытия приложения. В настольной сборке вместо виджета — значок в трее.