Маршрутизация в INCY: готовые профили и GeoIP/GeoSite

Маршрутизация — то, что отличает INCY от «кнопки включить VPN». Клиент на ядре Xray-core решает для каждого соединения, куда его отправить: через сервер, напрямую или в блок. Благодаря этому банки и Госуслуги работают без туннеля, реклама не грузится, а зарубежные сервисы идут через прокси. Ниже — как устроена маршрутизация в INCY, что делают готовые профили «Умный», «Полный» и «Белые списки», готовый JSON правил и порядок обновления баз GeoIP и GeoSite. Краткая версия с картинкой — на странице маршрутизации.

Как работает маршрутизация в INCY

У INCY три выхода (outbound): proxy — выбранный сервер, direct — ваш обычный интернет, block — соединение обрывается. Правила проверяются сверху вниз, срабатывает первое подходящее; если не подошло ни одно, используется выход по умолчанию. Условия правил — это домены (domain:, geosite:), IP-адреса и подсети (geoip:, ip:), порты, протоколы и на Windows — имена процессов. Базы geosite.dat и geoip.dat содержат готовые списки: geosite:ru — российские домены, geoip:ru — российские подсети, geosite:category-ads-all — рекламные сети.

Отдельная часть — DNS. Чтобы правило по домену сработало, INCY должен увидеть имя, а не только IP: в режиме TUN он перехватывает DNS-запросы и подставляет фиктивные адреса (FakeDNS), по которым потом узнаёт исходный домен. Поэтому в профилях провайдера включён «DNS через прокси» — без него часть доменных правил превращается в IP-правила и работает хуже.

Профили маршрутизации для INCY: что выбрать

Профили переключаются в «Маршрутизация → Профиль». Изменить можно любой: INCY создаёт копию с пометкой «пользовательский», а оригинал остаётся для сброса. Профиль привязан к приложению, а не к ключу или серверу, поэтому смена сервера правила не трогает. В подписке провайдера (см. тарифы) все три профиля приходят готовыми вместе со списком локаций.

Как настроить маршрутизацию в INCY вручную

1. 01

   Откройте редактор правил

   «Маршрутизация → Профиль → ⋯ → Редактировать». Доступны два режима: список правил с формой и «JSON», где виден исходный конфиг Xray.

2. 02

   Добавьте правило

   Укажите условие (домен, geosite, geoip, порт, процесс) и выход: proxy, direct или block. Новое правило встаёт в конец списка — перетащите его выше, если оно должно перекрывать общие.

3. 03

   Проверьте порядок

   Более узкие правила (domain:telegram.org) должны стоять выше широких (geosite:ru), иначе они никогда не сработают.

4. 04

   Сохраните и переподключитесь

   INCY перечитывает правила при следующем подключении. Проверить результат можно во вкладке «Соединения»: там показан выход для каждого адреса.

Готовый конфиг: INCY routing в формате Xray

Ниже — правила профиля «Умный» в чистом виде. Их можно вставить в режиме «JSON» или использовать как основу для своего профиля.

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      { "type": "field", "domain": ["geosite:category-ads-all"], "outboundTag": "block" },
      { "type": "field", "domain": ["geosite:telegram", "domain:telegram.org"], "outboundTag": "proxy" },
      { "type": "field", "ip": ["geoip:telegram"], "outboundTag": "proxy" },
      { "type": "field", "ip": ["geoip:private"], "outboundTag": "direct" },
      { "type": "field", "domain": ["geosite:ru", "geosite:private"], "outboundTag": "direct" },
      { "type": "field", "ip": ["geoip:ru"], "outboundTag": "direct" },
      { "type": "field", "network": "tcp,udp", "outboundTag": "proxy" }
    ]
  }
}

Что делает каждое правило

1. Реклама в блок. geosite:category-ads-all обрывает соединения с рекламными сетями до того, как они попадут в туннель — страницы грузятся быстрее, а туннель не занят лишним.
2. Telegram через прокси. Стоит выше правила geoip:ru, потому что часть адресов Telegram резолвится в подсети, которые база относит к РФ. Подробнее — в разборе почему Telegram не работает через INCY.
3. Локальная сеть напрямую. geoip:private — принтеры, роутер, NAS. Без этого правила профиль «Полный» сломал бы домашнюю сеть.
4. Российские домены и IP напрямую. Два отдельных правила: по домену и по IP. Домен проверяется первым, IP — если домена в базе нет.
5. Всё остальное — прокси. Последнее правило-ловушка; без него сработал бы выход по умолчанию, и лучше указать его явно.

domainStrategy: IPIfNonMatch означает: сначала сравнить домен, и только если ни одно доменное правило не подошло, резолвить адрес и проверять IP-правила. Вариант AsIs быстрее, но игнорирует geoip для доменов; IPOnDemand резолвит всегда и заметно медленнее.

Обновление geoip.dat и geosite.dat

Базы обновляются в проекте Xray примерно раз в неделю; в них добавляются новые подсети и домены. INCY проверяет обновления при запуске и скачивает файлы в папку данных (%APPDATA%\INCY\core на Windows). Принудительно — «Настройки → Маршрутизация → Обновить GeoIP / GeoSite». Версия базы видна там же: дата рядом с названием файла. Если категория, которую вы используете (например, geoip:telegram), появилась позже даты базы, правило будет молча пропущено — обновите файлы перед тем, как искать ошибку в правилах. Актуальная сборка приложения со свежими базами всегда доступна на странице скачивания. Если файлы повреждены, ядро не стартует с ошибкой чтения правил — что делать, описано в статье об ошибке geosite.dat.

Проверка: куда реально ушёл трафик

Откройте «Соединения» в INCY: для каждого активного соединения показан домен, IP и выход. Если сайт из geosite:ru идёт через proxy, значит, выше стоит перекрывающее правило или домена нет в базе — добавьте его явно. Для быстрой проверки одного домена есть «Маршрутизация → Проверить домен»: введите адрес и получите правило, которое сработает, без подключения. Сложные случаи с приложениями, которые не должны ходить через туннель, решает раздельное туннелирование. Базовая настройка приложения перед всем этим — в руководстве по настройке.