Почему VPN мешает банковскому приложению

Когда туннель включен, весь трафик выходит в интернет через сервер выбранной локации. Сервис на другом конце видит адрес этого сервера, и любые выводы о вашем местоположении он делает из этого адреса. Существуют базы, которые сопоставляют диапазоны адресов со странами и городами; по ним сервис и делает вывод «этот запрос из Нидерландов».

Для большинства сайтов это ничего не меняет. Но есть класс сервисов, для которых страна запроса — часть логики, а не украшение: банки, государственные порталы, платежные системы, маркетплейсы. У них поведение при смене страны меняется резко, и выглядит это как поломка приложения, хотя ломается не приложение, а его представление о том, откуда вы пришли.

Банковское приложение оценивает не отдельный запрос, а картину целиком: устройство, версия приложения, время суток, привычные суммы и, обязательно, география. Резкая смена страны при неизменном устройстве похожа на угон сессии: так выглядит вход злоумышленника с чужого адреса после кражи данных. Система не знает про ваш туннель, она видит только аномалию.

Дальше срабатывает эскалация. Сначала мягкая: дополнительный код, повторный вход, просьба подтвердить операцию. Потом жесткая: отказ в платеже, временная блокировка операции, требование пройти проверку. Особенно неприятно, когда страна меняется в середине сессии — например, приложение открыли до подключения туннеля, а платеж отправили уже после.

У государственных порталов и части российских сервисов дело не в антифроде, а в прямом региональном ограничении: часть функций доступна только с адресов внутри страны. Запрос из-за рубежа не считается подозрительным. Он просто не обслуживается, и пользователь видит ошибку загрузки или пустой раздел.

У маркетплейсов и сервисов доставки к этому добавляется региональная логика витрины. Регион определяет и ассортимент, и список пунктов выдачи, и сроки. При выходе через зарубежный сервер витрина перестраивается, сохраненный адрес слетает или подставляется другой город, а часть карточек товаров исчезает. Формально сервис работает, но пользоваться им нельзя.

Инженерное решение этой задачи называется раздельным туннелированием. Смысл в том, что не весь трафик обязан идти одним путем. Устройство разделяет соединения на два потока: часть уходит в туннель, а часть идет напрямую через провайдера, как будто туннеля нет.

Разделение задается списком. Белый список — это перечень приложений или доменов, для которых делается исключение: их трафик идет мимо туннеля, поэтому сервис видит обычный домашний адрес и ведет себя как всегда. Остальное продолжает идти через сервер локации. Списки бывают двух видов: по приложениям (удобно на мобильных, где каждое приложение отдельная сущность) и по адресам или доменам (удобно на компьютере и роутере).

У этого решения есть ограничение: исключенный трафик идет открыто, по обычному маршруту. Размен осознанный. Вы отдаете часть трафика провайдеру ради того, чтобы сервис корректно определил вашу страну.

В TUZVPN российские приложения продолжают работать при включенном туннеле, отключать его ради банка, госуслуг или маркетплейса не нужно. Это снимает главную бытовую проблему: не приходится помнить, что перед оплатой надо что-то выключить, а после оплаты включить обратно.

Под мобильные белые списки выделено отдельно 50 ГБ трафика; на основных серверах трафик не ограничен. Локации входят в один ключ подписки: Швеция, Латвия, Нидерланды, Польша, Германия, США. Переключение между ними не требует ничего докупать. Подключение выполняется через INCY или Happ на iOS, Android, Windows, macOS и Linux; на Apple TV и Android TV используется Happ. Одна подписка покрывает 5 устройств одновременно, лимит расширяется до 10 — телефон, ноутбук и планшет можно держать подключенными одновременно.

Первое: посмотреть, какой адрес и какую страну видит внешняя сторона. Страница /ip показывает это напрямую, и половина вопросов закрывается на этом шаге: становится видно, идет трафик через туннель или мимо.

Второе — не менять состояние соединения в середине операции. Если платеж или подтверждение уже начались, доведите их до конца, а переключением локации займитесь после. Приложения кэшируют состояние сессии, и смена адреса на середине для них выглядит хуже, чем чужая страна с самого начала.

Третье: после переключения дать приложению переустановить соединение, то есть закрыть его полностью и открыть заново, а не сворачивать. Многие приложения держат открытые соединения и не переустанавливают их сами, из-за чего часть запросов еще какое-то время идет по старому маршруту.