Inbounds og split tunneling

"Inbound" er det mest tekniske ord i panelet, men idéen bag det er enkel: det er et konfigureret indgangspunkt til din VPN på en bestemt server. I terminologi-lektionen sammenlignede vi inbounds med en bygnings døre — lad os nu se, hvad sådan en dør er lavet af, og hvilke indstillinger den har.

Hvad en inbound er

Når en brugers app forbinder til din server, banker den ikke på "serveren i almindelighed" — den banker på en bestemt inbound og får præcis de regler, du har sat i den inbound: hvilket websted den skal udgive sig for at være, om torrents og annoncer skal skæres fra, hvilken trafik der skal ledes uden om VPN'en.

Én workernode kan huse flere inbounds med forskellige indstillinger. For eksempel:

• "🇩🇪 Tyskland" — en almindelig inbound for alle;
• "🇩🇪 Tyskland · ingen torrents" — det samme, men med blokering af BitTorrent;
• "🇩🇪 Tyskland · ingen annoncer" — med blokering af annonce- og sporingsdomæner;
• "🇩🇪 Tyskland · kun blokerede websteder" — kun websteder, der er utilgængelige uden en VPN, går igennem den.

Hver inbound kører på protokollen VLESS + Reality — netop den, der får VPN-trafik til at ligne almindelige HTTPS-besøg på et populært websted.

Oprettelse af en inbound

Klik på "Ny inbound" på klyngesiden. I formularen:

1. Protokol — VLESS + Reality (den eneste, og den anbefalede).
2. Server — hvilken workernode indgangspunktet skal oprettes på. Inbounds bor kun på tilsluttede noder — du kan ikke oprette en inbound på en "ren" master.
3. Navn — netop det navn, dine brugere ser, flag inklusive.
4. Websted at maskere sig som — hvilket websted trafikken udgiver sig for at være. Vælg et stort HTTPS-websted, der virker fejlfrit i serverens land: Google/Microsoft/Apple for Europa og USA, Yandex eller VK for Rusland. Usikker på hvilken du skal vælge? Panelet kan scanne din servers subnet og foreslå rigtige nabosteder, der kan bruges som dække — se Find et maskeringswebsted: subnet-scanneren. I panelets avancerede tilstand kan du finjustere parametrene manuelt (DEST, SERVER_NAMES, FINGERPRINT) — men de fleste får aldrig brug for det.
5. Split tunneling, Bloker torrents og Bloker annoncer — gennemgås nedenfor.
6. Rute — hvilken rute det nye indgangspunkt skal knyttes til (du kan vælge "Ingen rute" og knytte den senere — men husk fra lektion 4: en inbound uden for en rute er usynlig for brugerne).

Blokering af torrents

Kontakten "Bloker torrents" skærer BitTorrent-trafik fra direkte på serveren. Det betyder noget: blokeringen virker, selv hvis brugeren slår alle regler fra i sin app — den kan ikke omgås ved at redigere konfigurationen. Den er slået til som standard for nye inbounds: torrents på en VPS er en almindelig kilde til klager fra hostingudbydere.

Blokering af annoncer

Ved siden af torrents sidder den anden serverkontakt: "Bloker annoncer". Den kasserer opkald til kendte annonce- og sporingsdomæner (en færdig liste med ~170.000 domæner): appen på telefonen rækker ud efter et banner — serveren "sluger" stille den forespørgsel. Siderne bliver renere og lettere, og samtidig falder en del af de trackere fra, der samler statistik om brugeren.

Ligesom torrents lever denne regel på serveren, ikke i appen: den kan ikke omgås ved at redigere konfigurationen, og den virker selv med split tunneling slået fra.

I modsætning til torrents er blokering af annoncer slået fra som standard — slå den til med omtanke, og kend to ærlige begrænsninger:

• Kun annonce-domæner skæres fra. Reklamer, som en tjeneste leverer fra samme domæne som selve indholdet (for eksempel klip inde i YouTube), fanger domæneblokering ikke.
• En sjælden gang går websteder i stykker, hvis de nægter at virke uden deres egne annoncescripts. Klager en bruger over sådan et websted — så slå blokeringen fra på den inbound, eller opret en separat inbound ved siden af uden den.

Split tunneling

Split tunneling besvarer spørgsmålet: hvilken trafik går gennem VPN'en, og hvilken går direkte? Du sætter reglerne én gang i inbounden, og de leveres automatisk til brugernes apps — brugerne skal ikke konfigurere noget selv.

De klassiske scenarier:

• Alt undtagen lokalt. Banken, offentlige tjenester og lokale websteder går direkte (de bryder sig ikke om udenlandske adresser); alt andet går gennem VPN'en.
• Kun listen. Kun blokerede websteder går gennem VPN'en; alt andet går direkte, uden tab af hastighed.

Tre regellister

Afsnittet "Split tunneling" har tre uafhængige blokke:

Hver blok får en tilstand:

• "Alt via VPN" — blokken er slået fra;
• "Alt undtagen listen" — punkter på listen går direkte, uden om VPN'en; alt andet går gennem VPN'en;
• "Kun listen" — kun punkter på listen går gennem VPN'en; alt andet går direkte.

Listerne udfyldes med "chips": indsæt domæner adskilt af kommaer eller linjeskift; GeoSite og GeoIP har forudindstillinger med ét klik.

Sådan når reglerne frem til brugeren

Reglerne tilføjes til abonnementet og håndhæves i brugerens app. Alle de anbefalede apps (Happ, v2rayN/v2rayNG, Streisand, V2Box) modtager dem automatisk; routere understøttes også — OpenWRT og Keenetic. Og importerer en bruger abonnementet til en eller anden eksotisk app, der ikke forstår reglerne, bliver VPN'en ved med at virke — al trafik går simpelthen gennem tunnelen.

Én finesse er klaret for dig: forskellige inbounds kan have forskellige regler, og hver "server" i brugerens app bringer sine egne med sig — skift til en anden server, få dens regler.

Vigtigste pointer

• En inbound = et indgangspunkt på en node: kamuflage + trafikregler + navnet, brugeren ser.
• Én server kan huse flere inbounds til forskellige formål.
• Blokering af torrents og annoncer virker på serveren og kan ikke omgås af klienten: torrents skæres fra som standard, annoncer efter eget valg.
• Split tunneling: tre lister (websteder, kategorier, lande), tilstandene "alt undtagen" / "kun listen", automatisk levering til apps.
• En inbound uden en rute er usynlig — glem ikke at knytte den.

Op næste gang

En inbound kan være mere end blot en dør — den kan være en kæde af flere servere i træk, hvor trafikken kommer ind i ét land og ud i et andet.