Маршрутизация INCY: профили GeoIP/GeoSite и готовый конфиг Xray

Маршрутизация в INCY — это список правил, по которому приложение решает, куда отправить каждое соединение: через сервер, напрямую или отклонить. Готовый профиль обычно приходит вместе с подпиской, а свои правила по доменам, GeoIP и GeoSite можно добавить вручную. Ниже — как выбрать профиль, готовый конфиг routing в формате Xray и способ проверить, что правило сработало.

INCY — клиент на ядре Xray-core, а не VPN-сервис: серверы и подписку даёт сервис подписки, приложение только подключается к ним. Поэтому правила маршрутизации работают одинаково с любым сервером из вашей подписки.

Как работает маршрутизация в INCY

Каждое новое соединение — запрос браузера, приложения или системы — проходит правила сверху вниз. Первое совпавшее правило назначает выход, и дальше проверка не идёт.

Условием правила может быть домен (domain:example.com, full:, keyword:, regexp:), IP-адрес или подсеть, порт, тип сети, а также готовые наборы geosite: и geoip:. Наборы хранятся в двух файлах: geosite.dat — домены по категориям, geoip.dat — диапазоны адресов по странам. Например, geoip:ru — адреса российских сетей, geoip:private — локальная сеть: роутер, принтер, сетевой диск.

Если не подошло ни одно правило, Xray отправляет соединение в первый выход из списка outbounds. Чтобы результат не зависел от этого порядка, в конце профиля ставят явное правило «всё остальное».

Профили маршрутизации для INCY: что выбрать

Профиль — это сохранённый набор правил вместе с настройками DNS. Готовые профили маршрутизации для INCY входят в любой тариф подписки: сервис передаёт их вместе со списком серверов. Названия профилей задаёт сервис, поэтому ориентируйтесь не на имя, а на то, что делают правила.

Профиль маршрутизации INCY для России — первая схема. Начните с неё и добавляйте исключения по мере надобности. Переключение локации в списке серверов профиль не меняет: правила действуют для любого сервера подписки.

Как настроить маршрутизацию в INCY вручную

Ручные правила нужны, когда готовый профиль почти подходит, но отдельный сайт идёт не туда. Названия пунктов меню отличаются между платформами и версиями, а порядок действий одинаковый.

1. 1

   Шаг 1. Откройте настройки маршрутизации

   Найдите в приложении раздел маршрутизации и посмотрите, какой профиль активен. Запомните его, чтобы при ошибке вернуться к исходному варианту.

2. 2

   Шаг 2. Добавьте условие

   Укажите домен (domain:example.com), подсеть или категорию (geosite:…, geoip:…). Для одного сайта точнее domain: — он захватывает и все поддомены.

3. 3

   Шаг 3. Выберите действие

   Через сервер, напрямую или отклонить. Для исключения из туннеля — «напрямую».

4. 4

   Шаг 4. Поставьте правило на своё место

   Узкие правила должны стоять выше широких. Почему это важно — в разделе о порядке правил ниже.

5. 5

   Шаг 5. Переподключитесь и проверьте

   Надёжнее всего новые правила применяются после переподключения. Затем проверьте результат одним из способов из последнего раздела.

Если удобнее работать с текстом, INCY умеет импортировать полный конфиг Xray в формате JSON — например, приведённый ниже. Добавление подписки и первое подключение описаны в пошаговой настройке INCY.

Готовый конфиг routing в формате Xray

Это схема «российские сайты напрямую» с одним пользовательским исключением. Теги proxy, direct и block должны совпадать с тегами outbounds в вашей конфигурации.

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      { "type": "field", "domain": ["geosite:category-ads-all"], "outboundTag": "block" },
      { "type": "field", "ip": ["geoip:private"], "outboundTag": "direct" },
      { "type": "field", "domain": ["domain:example.com"], "outboundTag": "proxy" },
      { "type": "field", "domain": ["geosite:category-ru"], "outboundTag": "direct" },
      { "type": "field", "ip": ["geoip:ru"], "outboundTag": "direct" },
      { "type": "field", "network": "tcp,udp", "outboundTag": "proxy" }
    ]
  }
}

Что делает каждое правило

1. Рекламные домены — отклонить. Правило стоит первым, чтобы такие запросы не уходили ни в туннель, ни напрямую. Если оно вам не нужно, удалите строку.
2. Локальная сеть — напрямую. geoip:private сохраняет доступ к роутеру, принтеру и сетевым дискам.
3. Ваше исключение. domain:example.com идёт через сервер, даже если домен попадает в российскую категорию.
4. Российские домены, затем российские адреса — напрямую. Сначала проверяется имя, потом IP.
5. Всё остальное — через сервер. Явное правило в конце, чтобы ничего не ушло в выход по умолчанию.

domainStrategy: "IPIfNonMatch" означает: сначала сверяются доменные правила, а если ни одно не подошло, домен превращается в IP и проверяются правила geoip:. Вариант AsIs сверяет только то, что пришло, без дополнительных DNS-запросов, поэтому geoip: для доменов не сработает. IPOnDemand получает IP сразу, как только встречает правило по адресу.

Почему порядок правил решает всё

Xray останавливается на первом совпадении. Поставьте «всё через сервер» первым — и остальные правила не сработают никогда: российские сайты тоже пойдут через туннель.

• Узкое выше широкого: full: и domain: — выше geosite:, а geosite: — выше geoip:.
• Отклонение — в начале, чтобы лишние запросы не проходили весь список.
• `geoip:private` — до правил «через сервер», иначе домашние устройства станут недоступны.
• Правило «всё остальное» — строго последним.

Типичная ошибка — исключение domain:example.com добавлено в конец списка. Домен уже совпал с geosite:category-ru выше и ушёл напрямую, до исключения очередь не дошла. Поднимите его над категорией.

Как проверить, что правило сработало

Базовая проверка: статус — «Подключено», нужные сайты открываются. Для точной проверки есть два способа.

1. Журнал ядра. Если в вашей версии INCY доступен лог с подробным уровнем, ищите строки маршрутизации. Xray-core пишет их в виде taking detour [direct] for [tcp:example.com:443] — в квадратных скобках тег выхода, который выбрало правило.
2. Контрольное правило. Временно поставьте наверх правило «отклонить» для проверяемого домена и переподключитесь. Сайт перестал открываться — значит, правила применяются и соединение доходит до этого места. После проверки удалите контрольное правило.

Если сайт из российской категории всё равно идёт через сервер, его домена нет в базе или выше стоит перекрывающее правило: добавьте явное domain: с действием «напрямую». Если правила не применяются совсем, обновите подписку и базы. Подписку, ключ и ссылку можно получить на странице ключей для INCY, свежую версию приложения — на странице скачивания. Правила по приложениям, а не по доменам, разобраны в статье раздельное туннелирование в INCY.