Маршрутизация в Happ: что это, как работает и какие правила в нашей подписке

Маршрутизация решает, какой трафик пойдёт через защищённое соединение, какой — напрямую, а какой не пойдёт никуда. Без неё все сайты, включая банк и соседний интернет-магазин, ходят через сервер в другой стране. Ниже — как это устроено в Happ (Хапп) и какие правила приходят вместе с нашей подпиской.

Три действия: через соединение, напрямую, блок

• › Через соединение — трафик шифруется и уходит на сервер выбранной страны. Так по умолчанию идёт всё, что не попало в другие правила.
• › Напрямую — сайт открывается как обычно, без сервера посередине. Быстрее, и сайт видит ваш обычный адрес.
• › Блок — запрос не уходит вообще. Так отсекают рекламу и вредоносные сайты ещё до загрузки.

Какой сайт к чему относится, Happ узнаёт из геофайлов — geosite.dat (списки доменов по категориям) и geoip.dat (диапазоны адресов). Правила ссылаются на категории из этих файлов, а сами файлы скачиваются по ссылкам из профиля маршрутизации.

Профиль «Kirians VPW»: что в нём

Вместе с нашей подпиской Happ получает профиль маршрутизации «Kirians VPW» и наши собственные геофайлы. Правила такие:

• › Напрямую: российские сайты и адреса (банки, Госуслуги, маркетплейсы, сервисы в зонах .ru и .su), игры и игровые магазины — ради низкой задержки, крупные сервисы вроде обновлений Microsoft и Apple — ради скорости больших загрузок, и локальная сеть (роутер, принтер, телевизор).
• › Блок: реклама и трекеры (список HaGeZi Light, около 42 тысяч доменов), вредоносные и фишинговые сайты, телеметрия Windows и сайты торрент-трекеров.
• › Через соединение: всё остальное.

Список рекламы мы подбирали под ограничения iPhone: на iOS туннелю выделено около 50 МБ памяти, и полный список на 159 тысяч доменов в него не помещался — приложение падало с ошибкой лимита памяти. Облегчённый список на 42 тысячи отсекает основную рекламу и укладывается в лимит.

DNS: как узнаются адреса сайтов

Прежде чем открыть сайт, устройство спрашивает его адрес у DNS-сервера — и этот запрос тоже может многое рассказать о том, куда вы ходите. В нашем профиле оба вида запросов зашифрованы (DNS-over-HTTPS): адреса сайтов, которые идут через соединение, узнаются у публичного DNS Google, а российских — у DNS Яндекса, чтобы они открывались на ближайших к вам серверах.

Как это работает на разных устройствах

• › Телефон (iPhone, Android) — профиль приходит с подпиской и обычно включается сам.
• › Windows — профиль добавляется, но в нашей проверке Happ не давал его выбрать. Без профиля весь трафик идёт через соединение, а адреса сайтов Happ может узнавать мимо него. Если часть сайтов не открывается, включите в браузере «Безопасный DNS» — подробнее в гайде «Happ на ПК».
• › Отдельные приложения пускать через соединение или мимо него умеют Happ на Android и компьютере; на iPhone такого нет — там разделение только по сайтам.

Ошибки геофайлов

Если правила ссылаются на категорию, которой нет в геофайлах на устройстве, ядро Xray не запускается вовсе — Happ показывает «в файле geosite.dat отсутствует секция …». Так бывает, когда геофайлы давно не обновлялись или на устройстве остался профиль от другой подписки: Happ держит одну гео-базу на всё приложение. Мы на этом обжигались сами, поэтому в наши геофайлы включены и категории из распространённых сторонних профилей — чтобы соседний профиль на том же устройстве не ломался.

Порядок починки: подключитесь без профиля маршрутизации, обновите геофайлы уже через работающее соединение и включите профиль снова. Подробно — в гайде «Happ не работает».

Частые вопросы