Inbounduri și tunel divizat

„Inbound” este cel mai tehnic cuvânt din panou, dar ideea din spatele lui este simplă: este un punct de intrare configurat în VPN-ul tău, pe un anumit server. În lecția de terminologie am comparat inbound-urile cu ușile unei clădiri — acum să vedem din ce este alcătuită o astfel de ușă și care sunt setările ei.

Ce este un inbound

Când aplicația unui utilizator se conectează la serverul tău, ea nu bate la „serverul în general” — bate la un inbound anume și primește exact regulile pe care le-ai stabilit în acel inbound: sub ce site se mascară, dacă taie torrentele și reclamele, ce trafic trimite pe lângă VPN.

Un singur nod worker poate găzdui mai multe inbound-uri cu setări diferite. De exemplu:

• „🇩🇪 Germania” — un inbound obișnuit, pentru toată lumea;
• „🇩🇪 Germania · fără torrente” — la fel, dar cu blocarea BitTorrent;
• „🇩🇪 Germania · fără reclame” — cu blocarea domeniilor de publicitate și de tracking;
• „🇩🇪 Germania · doar site-uri blocate” — prin el trec doar site-urile inaccesibile fără VPN.

Fiecare inbound rulează pe protocolul VLESS + Reality — cel care face ca traficul VPN să arate ca niște vizite HTTPS obișnuite pe un site popular.

Crearea unui inbound

Pe pagina clusterului, apeși „Inbound nou”. În formular:

1. Protocol — VLESS + Reality (singurul disponibil, și cel recomandat).
2. Server — pe ce nod worker se ridică punctul de intrare. Inbound-urile există doar pe noduri conectate — nu poți crea un inbound pe un master „pur”.
3. Nume — chiar acel nume pentru utilizatorii tăi, cu steag inclus.
4. Site pentru mascare — sub ce site se deghizează traficul. Alege un site HTTPS mare, care funcționează impecabil în țara serverului: Google/Microsoft/Apple pentru Europa și SUA, Yandex sau VK pentru Rusia. Nu ești sigur pe care s-o alegi? Panoul poate scana subrețeaua serverului tău și sugera site-uri vecine reale utilizabile drept mască — vezi Cum găsești un site pentru mascare. În modul avansat al panoului poți ajusta manual parametrii (DEST, SERVER_NAMES, FINGERPRINT) — dar majoritatea oamenilor nu au nevoie de asta niciodată.
5. Tunel divizat, Blochează torrentele și Blochează reclamele — le acoperim mai jos.
6. Rută — la ce rută se leagă noul punct de intrare (poți alege „Fără rută” și să-l legi mai târziu — dar ține minte din lecția 4: un inbound în afara unei rute este invizibil pentru utilizatori).

Blocarea torrentelor

Comutatorul „Blochează torrentele” taie traficul BitTorrent chiar pe server. Asta contează: blocarea funcționează chiar dacă utilizatorul dezactivează toate regulile din aplicația lui — nu poate fi ocolită prin editarea configurației. Este activată implicit pentru inbound-urile noi: torrentele pe un VPS sunt o sursă frecventă de plângeri din partea furnizorilor de hosting.

Blocarea reclamelor

Lângă torrente se află al doilea comutator de pe server: „Blochează reclamele”. El aruncă cererile către domeniile cunoscute de publicitate și de tracking (o listă gata făcută de ~170 de mii de domenii): aplicația de pe telefon se întinde după un banner — serverul „înghite” tăcut acea cerere. Paginile devin mai curate și mai ușoare, iar totodată cade și o parte dintre trackerele care adună statistici despre utilizator.

La fel ca torrentele, această regulă trăiește pe server, nu în aplicație: nu poate fi ocolită prin editarea configurației și funcționează chiar și cu tunelul divizat oprit.

Spre deosebire de torrente, blocarea reclamelor este oprită implicit — pornește-o în mod conștient, cunoscând două limitări oneste:

• Sunt tăiate doar domeniile de publicitate. Reclamele pe care un serviciu le livrează de pe același domeniu ca și conținutul propriu (de exemplu, clipurile din interiorul YouTube) nu sunt prinse de blocarea pe domenii.
• Rareori se strică site-urile care refuză să funcționeze fără scripturile lor de publicitate. Dacă un utilizator se plânge de un astfel de site — oprește blocarea pe acel inbound sau creează alături un inbound separat fără ea.

Tunel divizat

Tunelul divizat răspunde la întrebarea: ce trafic trece prin VPN și ce trafic merge direct? Setezi regulile o singură dată, în inbound, iar acestea sunt livrate automat aplicațiilor utilizatorilor — utilizatorii nu trebuie să configureze nimic.

Scenariile clasice:

• Totul, în afară de local. Banca, serviciile guvernamentale și site-urile locale merg direct (nu le plac adresele străine); tot restul trece prin VPN.
• Doar lista. Prin VPN trec doar site-urile blocate; tot restul merge direct, fără nicio pierdere de viteză.

Trei liste de reguli

Secțiunea „Tunel divizat” are trei blocuri independente:

Fiecare bloc primește un mod:

• „Tot prin VPN” — blocul este dezactivat;
• „Tot, mai puțin lista” — elementele din listă merg direct, ocolind VPN-ul; tot restul trece prin VPN;
• „Doar lista” — doar elementele din listă trec prin VPN; tot restul merge direct.

Listele se completează prin „chips”: lipești domenii separate prin virgule sau linii noi; GeoSite și GeoIP au preset-uri dintr-un click.

Cum ajung regulile la utilizator

Regulile sunt adăugate în abonament și aplicate în aplicația utilizatorului. Toate aplicațiile recomandate (Happ, v2rayN/v2rayNG, Streisand, V2Box) le primesc automat; sunt suportate și routerele — OpenWRT și Keenetic. Iar dacă un utilizator importă abonamentul într-o aplicație exotică, care nu înțelege regulile, VPN-ul continuă să funcționeze — tot traficul trece pur și simplu prin tunel.

O subtilitate a fost deja rezolvată pentru tine: inbound-uri diferite pot avea reguli diferite, iar fiecare „server” din aplicația utilizatorului le aduce pe ale sale — treci pe alt server, primești regulile lui.

Idei de reținut

• Un inbound = un punct de intrare pe un nod: mascare + reguli de trafic + numele pe care îl vede utilizatorul.
• Un server poate găzdui mai multe inbound-uri, pentru scopuri diferite.
• Blocarea torrentelor și a reclamelor funcționează pe server și nu poate fi ocolită de client: torrentele sunt tăiate implicit, reclamele — la alegere.
• Tunel divizat: trei liste (site-uri, categorii, țări), moduri „tot, mai puțin” / „doar lista”, livrare automată către aplicații.
• Un inbound fără rută este invizibil — nu uita să-l legi.

Urmează

Un inbound poate fi mai mult decât o simplă ușă — poate fi un lanț din mai multe servere consecutive, în care traficul intră într-o țară și iese din alta.