Ниже, как сделать так, чтобы все российские ресурсы в РФ открывались без VPN, а «плохие», как Instagram или Twitter, через VPN. Из-за текущей ситуации рекомендуется для мобильного трафика использовать любой другой VPN кроме Wireguard.

Цель этого поста была в том, чтобы сделать shadowrocket config file с бесшовной работой, но получилось чуть больше. С одной стороны моя конфигурации позволяет одновременно заходить в госуслуги и читать соцсеть X. Трафик для заблоченных ресурсов идет через VPN, а для всех остальных напрямую. Если в рамках квартиры можно запустить Квас с тем же алгоритмом работы, то с мобильным телефоном на iOS оказалось чуть проще.

Инструкция

Процедура стандартная: находим приложение Shadowrocket, покупаем за 279₽, скачиваем и настраиваем:

Оплатить покупку можно с номера телефона МТС или Билайн.

1. На вкладке Home добавляем сервер Wireguard или любой другой через QR-код. Если у вас его еще нет, то в этом посте рассказал, как его поставить с веб-интерфейсом;
2. Заходим в Global Routing (Config) и оставляем Config, если не выбран, то укажите;
3. Открываем вкладку Config, жмем на + и добавляем ссылку на готовый конфиг в поле Download from URL. Можете использовать мой для теста:

https://raw.githubusercontent.com/misha-tgshv/shadowrocket-configuration-file/main/template-ios-ru.conf

Разница с default.conf и моим в логике работы. В моем конфиге выборочный обход: запрещенка через VPN, а все остальное через мобильного оператора. Этот конфиг не будет конфликтовать, если вы подключитесь к Wi-Fi;

4. После скачивания нажимаем на ссылку в блоке REMOTE FILES и выбираем Use Config.

Файл конфигурации

Список доменов автора для которых будет работать VPN

Для тех, кто хочет самостоятельно разобраться и понять, как все работает. Если вам не нужно, то можно пропустить. Просмотрев с десяток разных файлов, оказалось, что есть изящное решение, когда конфиг выглядит не портянкой на 200 строчек, а занимает всего с пару десятков и будет понятен даже школьнику:

# Общие настройки
[General] 

# Настройка обхода включена 
bypass-system = true 

# Пропуск специфических ip-адресов и доменов в зоне ru. Они будут идти без VPN
skip-proxy = 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, localhost, *.local, captive.apple.com, *.ru

# Исключение диапазонов для обхода
bypass-tun = 10.0.0.0/8, 100.64.0.0/10, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.0.0/24, 192.0.2.0/24, 192.88.99.0/24, 192.168.0.0/16, 198.18.0.0/15, 198.51.100.0/24, 203.0.113.0/24, 224.0.0.0/4, 255.255.255.255/32 

# ДНС сервера гугловые, но при этом если они не будут отвечать, то запрос будет идти через системные, через вашего провайдера
dns-server = 8.8.8.8, 8.8.4.4 
fallback-dns-server = system

# Адрес обновления конфига 
update-url = https://raw.githubusercontent.com/misha-tgshv/shadowrocket-configuration-file/main/template-ios-ru.conf

# Правила для работы трафика
[Rule]

# Массовое правило, где подключаются список доменов, для которых будет работать VPN
RULE-SET,https://raw.githubusercontent.com/misha-tgshv/shadowrocket-configuration-file/main/proxy.list,PROXY

# Опционально. Если домен в базе Geolite2 из РФ, то трафик идет напрямую
GEOIP,RU,DIRECT

# Последнее правило. Оно определяет политику по умолчанию для запросов, которые не соответствуют каким-либо другим правилам. В данном случае трафик идет напрямую без VPN
FINAL,DIRECT

# Локальный хост
[Host]
localhost = 127.0.0.1

# Автоматическое изменение адреса с yandex.ru на ya.ru 
[URL Rewrite]
^http://(www.)?yandex.ru https://www.ya.ru 302

Если хочется более наглядно, чтобы видеть где какие ресурсы идут через прокси, а какие напрямую через вашего провайдера, то можно присмотреться к этому конфигу:

https://github.com/misha-tgshv/shadowrocket-configuration-file/blob/main/template-ios-ru-domain.conf

Описание настроек

Популярные вопросы

Как добавить в конфиг автора свой ресурс?

В приложении идем во вкладку Config. Напротив названия конфига жмем на иконку i. Жмем вверху на иконку +, выбираем Add Rule. В Type выбираете DOMAIN-SUFFIX например hulu.com, если важно, чтобы обход работал по ключевому слову, то лучше выбрать DOMAIN-KEYWORD. Тогда независимо от того, как набрать hulu.com или hulu.ru будет срабатывать конфиг. После чего указываете Policy: Proxy — через VPN, Direct — трафик напрямую. В DOMAIN указываете название домена.

Включение GEOIP

Сайт проверяется в базе MaxMind Geolite2. Например, можно сделать, чтобы все ресурсы из РФ шли напрямую, тогда название доменной зоны не будет иметь значение. Регистрируемся на MaxMind Geolite2. Идем Account → Manage License Keys → Generate new license key. Сохраняем Account ID и License key. Затем в Settings добавляем Account ID и License key, жмем сроку Update.

Если нужен доступ к российским банкам из-за границы

Подключаете сервер в РФ, а в конфиге добавляете строку:

RULE-SET,https://raw.githubusercontent.com/misha-tgshv/shadowrocket-configuration-file/main/proxy-finance-ru.list proxy-finance-ru.list,PROXY

Отключение рекламы

Самый эффективный — использовать собственный сервер AdguardHome с шифрованием, развернутый на VPS или роутере. Около 4-5 баз режут примерно 77% рекламы, кроме попапов. Кроме того ваш ДНС не сможет перехватить провайдер. При этом в настройках ДНС нужно обязательно удалить строку system, чтобы все работало.

Впечатления

Настроил и забыл. Shadowrocket не нужно открывать/закрывать каждый раз, как программу с VPN, чтобы зайти в Инсту и Тви.

Цена. 279₽ единоразово за такой функционал — отлично.

Отсутствует документация. Базовый роутинг понятен, но, к сожалению, какие-то частные решения придется изучать и пробовать методом тыка.

Дизайн. Выглядит как типичное китайское приложение, где все выкинуто, кроме основ работы с трафиком.

Еще по теме

Как нескомпромитировать личный VPS и заодно настроить 3x-ui

Установка Shadowsocks с v2ray в Докере

Проверить геолокацию вашего ip-адреса через сервис ipinfo.io

Приложение Shadowrocket для iOS в Апсторе.

Документация Surge (цена 49.99$), где описана большая часть правил и функционала, которая подходит Shadowrocket. При беглом изучении обеих программ оказалось, что китайцы скопировали функционал Surge и адаптировали на сколько смогли. Ибо дизайн Surge гораздо лучше.

Список доменов, который подключается к домену для обхода блокировок.