Inbounds et tunneling sélectif

« Inbound » est le mot le plus technique du panneau, mais l'idée derrière est simple : c'est un point d'entrée configuré dans votre VPN sur un serveur précis. Dans la leçon sur la terminologie, nous avons comparé les inbounds aux portes d'un bâtiment — voyons maintenant de quoi une telle porte est faite et quels sont ses réglages.

Ce qu'est un inbound

Quand l'application d'un utilisateur se connecte à votre serveur, elle ne frappe pas à « la porte du serveur en général » — elle frappe à un inbound précis, et reçoit exactement les règles que vous avez définies dans cet inbound : quel site imiter, s'il faut couper les torrents et les publicités, quel trafic envoyer en dehors du VPN.

Un même nœud worker peut héberger plusieurs inbounds avec des réglages différents. Par exemple :

• « 🇩🇪 Allemagne » — un inbound classique pour tout le monde ;
• « 🇩🇪 Allemagne · sans torrents » — le même, mais avec blocage de BitTorrent ;
• « 🇩🇪 Allemagne · sans publicités » — avec blocage des domaines publicitaires et de traçage ;
• « 🇩🇪 Allemagne · sites bloqués uniquement » — seuls les sites inaccessibles sans VPN y passent.

Chaque inbound fonctionne sur le protocole VLESS + Reality — celui-là même qui fait ressembler le trafic VPN à de simples visites HTTPS sur un site populaire.

Créer un inbound

Sur la page du cluster, cliquez sur « Nouvel inbound ». Dans le formulaire :

1. Protocole — VLESS + Reality (le seul, et le recommandé).
2. Serveur — sur quel nœud worker faire fonctionner le point d'entrée. Les inbounds ne vivent que sur des nœuds connectés — vous ne pouvez pas créer un inbound sur un master « pur ».
3. Nom — ce nom même pour vos utilisateurs, drapeau inclus.
4. Site à utiliser comme masque — quel site le trafic imite. Choisissez un grand site HTTPS qui fonctionne parfaitement dans le pays du serveur : Google/Microsoft/Apple pour l'Europe et les États-Unis, Yandex ou VK pour la Russie. Vous ne savez pas laquelle choisir ? Le panneau peut scanner le sous-réseau de votre serveur et suggérer de vrais sites voisins utilisables comme couverture — voir Trouver un site de camouflage. Dans le mode avancé du panneau, vous pouvez régler finement les paramètres à la main (DEST, SERVER_NAMES, FINGERPRINT) — mais la plupart des gens n'en ont jamais besoin.
5. Tunneling sélectif, Bloquer les torrents et Bloquer les publicités — traités ci-dessous.
6. Route — à quelle route rattacher le nouveau point d'entrée (vous pouvez choisir « Aucune route » et la rattacher plus tard — mais rappelez-vous de la leçon 4 : un inbound en dehors d'une route est invisible pour les utilisateurs).

Blocage des torrents

Le commutateur « Bloquer les torrents » coupe le trafic BitTorrent directement sur le serveur. Cela compte : le blocage fonctionne même si l'utilisateur désactive toutes les règles dans son application — il ne peut pas être contourné en modifiant la configuration. Il est activé par défaut pour les nouveaux inbounds : les torrents sur un VPS sont une source fréquente de plaintes de la part des hébergeurs.

Blocage des publicités

À côté des torrents se trouve un second commutateur côté serveur : « Bloquer les publicités ». Il rejette les requêtes vers les domaines publicitaires et de traçage connus (une liste toute prête d'environ 170 000 domaines) : l'application sur le téléphone va chercher une bannière — le serveur « avale » silencieusement cette requête. Les pages deviennent plus propres et plus légères, et au passage une partie des traceurs qui collectent des statistiques sur l'utilisateur tombe.

Comme les torrents, cette règle vit sur le serveur, pas dans l'application : elle ne peut pas être contournée en modifiant la configuration, et elle fonctionne même lorsque le tunneling sélectif est désactivé.

Contrairement aux torrents, le blocage des publicités est désactivé par défaut — activez-le en connaissance de cause, en gardant à l'esprit deux limites honnêtes :

• Seuls les domaines publicitaires sont coupés. Les publicités qu'un service diffuse depuis le même domaine que son contenu (par exemple les clips au sein de YouTube), le blocage par domaine ne les attrape pas.
• De temps en temps, des sites qui refusent de fonctionner sans leurs scripts publicitaires se cassent. Si un utilisateur se plaint d'un tel site — désactivez le blocage sur cet inbound, ou créez à côté un inbound distinct sans blocage.

Tunneling sélectif

Le tunneling sélectif répond à la question : quel trafic passe par le VPN, et lequel passe en direct ? Vous définissez les règles une seule fois dans l'inbound, et elles sont transmises automatiquement aux applications des utilisateurs — ceux-ci n'ont rien à configurer.

Les scénarios classiques :

• Tout sauf le local. La banque, les services gouvernementaux et les sites locaux passent en direct (ils n'aiment pas les adresses étrangères) ; tout le reste passe par le VPN.
• Liste uniquement. Seuls les sites bloqués passent par le VPN ; tout le reste passe en direct, sans perte de vitesse.

Trois listes de règles

La section « Tunneling sélectif » comporte trois blocs indépendants :

Chaque bloc a un mode :

• « Tout via VPN » — le bloc est désactivé ;
• « Tout sauf la liste » — les éléments de la liste passent en direct, en contournant le VPN ; tout le reste passe par le VPN ;
• « Uniquement la liste » — seuls les éléments de la liste passent par le VPN ; tout le reste passe en direct.

Les listes se remplissent avec des « chips » : collez des domaines séparés par des virgules ou des sauts de ligne ; GeoSite et GeoIP disposent de préréglages en un clic.

Comment les règles parviennent à l'utilisateur

Les règles sont ajoutées à l'abonnement et appliquées dans l'application de l'utilisateur. Toutes les applications recommandées (Happ, v2rayN/v2rayNG, Streisand, V2Box) les reçoivent automatiquement ; les routeurs sont pris en charge aussi — OpenWRT et Keenetic. Et si un utilisateur importe l'abonnement dans une application exotique qui ne comprend pas ces règles, le VPN continue de fonctionner — tout le trafic passe simplement par le tunnel.

Une subtilité a été gérée pour vous : des inbounds différents peuvent porter des règles différentes, et chaque « serveur » dans l'application de l'utilisateur apporte les siennes — changez de serveur, obtenez ses règles.

Points clés à retenir

• Un inbound = un point d'entrée sur un nœud : camouflage + règles de trafic + le nom que voit l'utilisateur.
• Un même serveur peut héberger plusieurs inbounds à des fins différentes.
• Les blocages des torrents et des publicités fonctionnent sur le serveur et ne peuvent pas être contournés par le client : les torrents sont coupés par défaut, les publicités à la demande.
• Tunneling sélectif : trois listes (sites, catégories, pays), modes « tout sauf » / « liste uniquement », livraison automatique aux applications.
• Un inbound sans route est invisible — n'oubliez pas de le rattacher.

Prochaine étape

Un inbound peut être bien plus qu'une simple porte — il peut être une suite de plusieurs serveurs à la suite, où le trafic entre dans un pays et sort dans un autre.