Как принимается решение, куда отправить пакет
Правил может быть двадцать, а решение принимается одно. Разберём порядок, в котором они проверяются, — из него следует почти всё «странное» поведение.
Правила проверяются по порядку
Это главное, что нужно знать: список правил читается сверху вниз, и побеждает первое подошедшее. Дальше проверка прекращается — остальные правила уже не рассматриваются, даже если они точнее.
-
01
Появилось новое соединение
Приложение хочет открыть сайт. У соединения есть признаки: домен, адрес назначения, порт, иногда имя приложения-инициатора.
-
02
Правила перебираются по очереди
Первое правило, чьи условия совпали, определяет направление: в туннель, напрямую или заблокировать.
-
03
Если не подошло ни одно — действует правило по умолчанию
Обычно «всё остальное в туннель». Именно поэтому в туннель уходит подавляющая часть трафика: специальных правил мало, а умолчание одно.
Очередь на входе: пропустят того, кто стоит первым, а не того, у кого больше оснований.
Правило «все домены зоны .ru напрямую», стоящее выше правила «этот конкретный сайт в туннель», перекроет второе: до него дело просто не дойдёт.
Типичные ошибки в порядке
| Что сделали | Что получилось | Как чинится |
|---|---|---|
| Общее правило поставили выше частного | Частное никогда не срабатывает | Поднять частное выше |
| Правило «всё напрямую» где-то в середине | Ниже него ничего не работает | Убрать или опустить в конец |
| Два противоположных правила на один домен | Работает верхнее | Оставить одно |
| Правило по домену для соединения по адресу | Не срабатывает вообще | Добавить правило по адресу |
Проверьте узел «Доступ» отдельно от остальных
Понять, какая часть схемы отказала, проще всего подстановкой: вставьте в тот же клиент другую, заведомо живую ссылку-подписку. Заработало — приложение, ядро и устройство исправны, вопрос был к доступу. Не заработало — причина выше по схеме, и разбор на этой странице остаётся в силе. Ссылка Happ Plus на 3 дня выдаётся без карты.
- ссылка приходит сразу
- карта не нужна
- проверка занимает две минуты
Почему правило по домену иногда не ловит
Потому что имя должно быть видно в момент принятия решения. Если приложение уже само разрешило имя в адрес и открывает соединение по числовому адресу, ядро видит только адрес — домен ему никто не сообщил. Отсюда связь маршрутизации с разрешением имён: DNS и его роль.
Практический вывод: правила по адресам надёжнее правил по доменам, но их сложнее составить и они устаревают, когда сервис меняет адреса.
Сколько правил можно добавить?
Практически сколько угодно, но каждое проверяется при каждом новом соединении. Сотни правил на слабом устройстве заметны, десятки — нет.
Что делать, если правила запутались?
Сбросить к готовому профилю и добавить заново только то, что действительно нужно. Порядок при этом продумывать сразу: частное выше общего.
Влияют ли правила на уже открытые соединения?
Нет: решение принимается один раз, при установлении. Уже открытое соединение идёт прежним путём до конца — поэтому после смены правил нужно переподключиться.
Схема наверху держится на одном узле, который нельзя починить настройками: серверы приходят из подписки. Есть живой доступ — приложению есть что показать, ядру есть что запустить. Нет — интерфейс исправен, а список пуст. Доступ Happ Plus закрывает этот узел: одна ссылка на все устройства, серверы обновляются сами, первые 3 дня бесплатно и без карты.
Оформить доступ →