Маршрутизация в INCY — полное руководство

Профиль маршрутизации INCY для России — первая схема. Начните с неё и добавляйте исключения по мере надобности. Если в подписке несколько профилей, переключаться между ними можно в настройках маршрутизации без повторного добавления ссылки.

• GeoSite — списки доменов по категориям из файла geosite.dat. Правило geosite:category-ru сверяет имя сайта.
• GeoIP — диапазоны адресов по странам из файла geoip.dat. Правило geoip:ru сверяет адрес, на который ведёт сайт.
• geoip:private — локальная сеть: адреса вида 192.168.x.x и 10.x.x.x. Им туннель не нужен.

Доменное правило точнее, правило по адресу ловит соединения без имени. Набор категорий зависит от базы: если правило ссылается на категорию, которой в файле нет, ядро не запустится. Как это исправить — в статье об ошибке geosite.dat в INCY.

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      { "type": "field", "domain": ["full:ads.example.com"], "outboundTag": "block" },
      { "type": "field", "ip": ["geoip:private"], "outboundTag": "direct" },
      { "type": "field", "domain": ["domain:example.com"], "outboundTag": "proxy" },
      { "type": "field", "domain": ["geosite:category-ru"], "outboundTag": "direct" },
      { "type": "field", "ip": ["geoip:ru"], "outboundTag": "direct" },
      { "type": "field", "network": "tcp,udp", "outboundTag": "proxy" }
    ]
  }
}

1. full:ads.example.com — отклонить. Пример правила block: соединение с этим адресом не устанавливается. Не нужно — удалите строку.
2. geoip:private — напрямую. Роутер, принтер и сетевой диск остаются доступны.
3. domain:example.com — через сервер. Ваше исключение: домен идёт в туннель, даже если попадает в российскую категорию ниже.
4. geosite:category-ru, затем geoip:ru — напрямую. Сначала сверяется имя сайта, потом его адрес.
5. tcp,udp — через сервер. Явное правило «всё остальное» в конце списка.

• Узкое выше широкого: full: и domain: — над geosite:, geosite: — над geoip:.
• Отклонение — в начале, чтобы лишние запросы не проходили весь список.
• Локальная сеть — до правил «через сервер»: geoip:private выше них, иначе домашние устройства станут недоступны.
• «Всё остальное» — строго последним. Поставленное первым, оно перекроет все правила ниже.

Типичная ошибка — исключение domain:example.com добавлено в конец. Домен уже совпал с geosite:category-ru выше и ушёл напрямую. Поднимите исключение над категорией и переподключитесь.

1. Базовая проверка. Статус — «Подключено», нужные сайты открываются.
2. Журнал ядра. Если в вашей версии INCY доступен подробный лог, найдите строку вида taking detour [direct] for [tcp:example.com:443]. В квадратных скобках — тег выхода, который выбрало правило.
3. Контрольное правило. Временно поставьте наверх «отклонить» для проверяемого домена и переподключитесь. Сайт перестал открываться — правила применяются. Затем удалите контрольное правило.
4. Проверка на Android. Оставьте в туннеле одно приложение и сравните его с любым другим: первое работает через сервер, второе — как без INCY.

Правила не применяются совсем — обновите подписку и базы, затем переподключитесь. После правок INCY перестал подключаться — верните профиль из подписки и добавляйте правила по одному. Остальные сбои разобраны на странице «INCY не работает».