Режим TUN

В режиме TUN Throne создаёт виртуальный сетевой адаптер и направляет через него трафик всего компьютера, включая DNS-запросы и приложения, игнорирующие настройки прокси. Как выбрать между режимом TUN и системным прокси, см. в разделе Какой режим выбрать.

Включение режима TUN

1. Установите флажок Режим TUN (Tun Mode) в главном окне или выберите Режим работы (Operation Mode) → Режим TUN в меню трея.
2. При первом включении Throne запросит права, необходимые для режима TUN. Подтвердите запрос, см. Права.
3. Запустите профиль, если ни один не запущен.

Включение и выключение режима TUN перезапускает запущенный профиль. Режим TUN работает, только пока запущен профиль; чтобы блокировать трафик, пока ни один профиль не запущен, включите kill switch.

Права

Режиму TUN нужны системные права, чтобы создать адаптер и изменить маршруты компьютера. Если вы выдаёте права сами, например через возможности (capabilities) Linux, описанные ниже, параметр Настройки (Settings) → Основные настройки (Basic Settings) → Безопасность (Security) → Не запрашивать повышение прав (Disable Privilege request) запрещает Throne запрашивать их (только в расширенном режиме, см. Простой и расширенный режим).

Windows

• Throne должен работать от имени администратора. При первом включении Режим TUN нажмите Да (Yes) и подтвердите запрос Windows: Throne перезапустится от имени администратора с включённым режимом TUN. Если затем брандмауэр Windows спросит о ThroneCore, разрешите доступ.
• После этого Throne запрашивает права администратора при каждом запуске. Чтобы это прекратить, установите флажок Настройки → Основные настройки → Безопасность → Всегда запускать Throne от имени обычного пользователя (Always Start as Standard User) (только в расширенном режиме); тогда Throne будет запрашивать права при включении режима TUN.
• Если включить Программа (Program) → Запускать вместе с системой (Start with system), пока Throne работает от имени администратора, Throne будет запускаться с правами администратора при входе в систему, без запроса.

См. также FAQ.

Linux

• Права root нужны только ядру — ThroneCore. При первом включении Режим TUN нажмите Да и введите пароль: Throne с помощью pkexec (входит в polkit) делает root владельцем ThroneCore и устанавливает бит SUID. Затем снова установите флажок Режим TUN.
• Никогда не запускайте сам Throne через sudo.
• Вместо бита SUID можно выдать ядру пять возможностей (capabilities). Throne принимает ядро, только если у него есть все пять:

sudo setcap cap_net_admin,cap_net_raw,cap_net_bind_service,cap_sys_ptrace,cap_dac_read_search+ep /path/to/Throne/ThroneCore

Некоторые сторонние пакеты не могут сами изменить ядро и вместо этого показывают инструкции от пакета. См. также FAQ.

macOS

• Перед включением режима TUN переместите Throne.app в /Applications. Выдать права может не получиться, пока приложение находится в папке Downloads.
• При первом включении Режим TUN нажмите Да. Откроется Терминал с командой sudo для ядра. Введите там свой пароль, затем снова установите флажок Режим TUN.
• Для sudo нужна учётная запись администратора. Под стандартной учётной записью пользуйтесь системным прокси.

Параметры TUN

Откройте Настройки → Настройки режима TUN (Tun Settings). Если режим TUN включён, выключите и снова включите его, чтобы применить изменения. В простом режиме показаны только Вкл. IPv6 в TUN (Tun Enable IPv6), Строгая маршрутизация (Strict Route), Вкл. TUN-маршрутизацию (Enable Tun Routing) и Перезапустить ядро (Restart Core) (см. Простой и расширенный режим).

Параметр	По умолчанию	Назначение
MTU	1500	Максимальный размер пакета для адаптера, от 1000 до 10000. При включённом Вкл. IPv6 в TUN используйте не меньше 1280, иначе IPv6 может не работать.
Вкл. IPv6 в TUN (Tun Enable IPv6)	выкл.	Направляет трафик IPv6 через туннель. Включайте, только если ваш сервер поддерживает IPv6.
Строгая маршрутизация (Strict Route)	вкл. в Windows 10 и новее, выкл. в остальных системах	В Windows блокирует DNS-запросы в обход туннеля; см. Защита от утечек DNS в Windows.
Вкл. TUN-маршрутизацию (Enable Tun Routing)	выкл.	Выводит из туннеля диапазоны IP и наборы правил geoip-*, которые ваша маршрутизация направляет в direct. Большие наборы правил могут вызывать очень высокую нагрузку на процессор в Windows.
Автоматическое перенаправление (Auto Redirect)	вкл.	Только Linux. Улучшает маршрутизацию и скорость с помощью nftables. Пока параметр включён, этот компьютер не может быть сетевым шлюзом для других устройств.
Обход через L3-мост (L3 Bridge Bypass)	выкл.	Отправляет прямой трафик UDP и ICMP сразу через сетевой адаптер: это быстрее и сохраняет работу NAT для игр и P2P. Недоступно в Windows на ARM.
IPv4 CIDR, IPv6 CIDR	172.19.0.1/24, fdfe:dcba:9876::1/96	Адреса адаптера. Меняйте их, только если они пересекаются с сетью, которой вы пользуетесь.
Обход частных диапазонов (Private Range Bypass)	вкл.	Диапазоны адресов, которые идут прямо на ваш сетевой адаптер, а не через туннель, — по одному в строке.
Перезапустить ядро (Restart Core)	–	Останавливает запущенный профиль и перезапускает ядро — на случай, если режим TUN не запускается.

По умолчанию список Обход частных диапазонов содержит 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16, 224.0.0.0/4, fc00::/7, fe80::/10 и ff00::/8.

Побочные эффекты

Локальная сеть и виртуальные машины

Когда Обход частных диапазонов включён, принтеры, сетевые диски, роутер и другие локальные устройства доступны напрямую, вне туннеля, если только правило маршрутизации не направляет их диапазон в прокси или не блокирует его. Docker, WSL и виртуальные машины так же идут в обход туннеля; если их сеть использует диапазон, которого нет в списке, добавьте его. См. Рецепты.

Мобильный хот-спот в Windows

Если мобильный хот-спот Windows или общий доступ к подключению к интернету (Internet Connection Sharing) раздаёт ваш обычный сетевой адаптер, режим TUN перестаёт работать, и Throne предупреждает: «Пересылка IPv4 нарушает работу режима TUN» (IPv4 forwarding breaks Tun mode). В параметрах мобильного хот-спота выберите throne-tun в поле «Share my internet connection from» (с какого подключения раздавать интернет) или выключайте хот-спот, пока пользуетесь режимом TUN. См. Рецепты.

Другие VPN

Два VPN на одном компьютере конкурируют за маршруты и DNS. Выключайте другие VPN-приложения, пока включён режим TUN. Как одновременно пользоваться корпоративной сетью, см. на странице Рецепты.

DNS

Все DNS-запросы попадают в Throne, но тест на утечку DNS всё равно может показывать вашего интернет-провайдера для сайтов, которые идут напрямую; см. DNS.

В macOS, пока работает режим TUN, Throne указывает DNS-сервер 127.0.0.53 для ваших сетевых служб, например Wi-Fi; там ядро отвечает согласно настройкам DNS Throne. Когда режим TUN останавливается, Throne возвращает ваши прежние серверы.

Устранение неполадок

Откройте вкладку Логи (Logs) и найдите ошибки, возникающие при запуске режима TUN. Общие шаги описаны на странице Устранение неполадок.

Windows

Подключено, но ничего не загружается. Брандмауэр Windows может блокировать ThroneCore. Разрешите его в Безопасность Windows (Windows Security) → Брандмауэр и безопасность сети (Firewall & network protection) → Разрешить работу с приложением через брандмауэр (Allow an app through firewall) для частных и общественных сетей.

Антивирус. Некоторые антивирусы, например Avast и ESET, блокируют адаптер или ядро. Добавьте папку Throne в исключения.

«Строгая маршрутизация недоступна» (Strict routing unavailable). Снимите флажок Строгая маршрутизация (Strict Route) в окне Настройки режима TUN и снова запустите профиль. Без него DNS-запросы могут утекать; см. Защита от утечек DNS в Windows.

«Некорректное поведение устройства TUN» (Tun device misbehaving). Нажмите Сбросить (Reset), чтобы перезапустить ядро, затем снова запустите профиль.

«Оставшийся адаптер TUN» (Leftover Tun adapter). После сбоя или принудительного завершения Windows может удерживать адаптер предыдущего сеанса. Нажмите Запустить снова (Start Again). Если ошибка повторяется, перезагрузите Windows.

Режим TUN очень долго запускается. При запуске режима TUN Throne очищает DNS-кэш Windows, а с очень большим файлом HOSTS, например списком блокировки рекламы, это очень медленно. Уменьшите этот файл.

Linux

«Please install "pkexec" first.» (сначала установите pkexec). Установите polkit с помощью менеджера пакетов или задайте возможности (capabilities), описанные в разделе Права в Linux.

«file exists» при запуске режима TUN. Выключите Автоматическое перенаправление (Auto Redirect) в окне Настройки режима TUN.

Нет DNS при использовании systemd-resolved. Если в /etc/systemd/resolved.conf параметр DNSOverTLS включён для всех интерфейсов, режим TUN перестаёт работать. Выключите его там или для адаптера Throne, пока адаптер существует:

sudo resolvectl dnsovertls throne-tun no

DNS не работает после остановки режима TUN (локальный DNS-прокси). У локального DNS-прокси на 127.0.0.1, например dnscrypt-proxy, unbound или dnsmasq, соединение с вышестоящим сервером по IP может попасть в туннель; DNS возвращается после перезапуска прокси. Чтобы этого избежать, добавьте адрес вышестоящего сервера в Обход частных диапазонов (Private Range Bypass) в окне Настройки режима TUN, например 1.1.1.1/32 для https://1.1.1.1/dns-query (только в расширенном режиме, см. Простой и расширенный режим). Затем выключите и снова включите режим TUN и перезапустите прокси.

Пакеты из AUR, Nix и других репозиториев. Их поддерживает сообщество. Если в них режим TUN не работает, попробуйте официальную сборку; см. FAQ.

macOS

Ошибка про «the system DNS» при запуске режима TUN. Ядру не удалось направить системный DNS на себя (см. DNS); в продолжении сообщения указана причина. Нажмите Перезапустить ядро (Restart Core) в окне Настройки режима TUN, затем снова запустите профиль.

Нет DNS после принудительного завершения или сбоя Throne. Если у сетевой службы всё ещё указан DNS-сервер 127.0.0.53, запустите Throne один раз: его ядро вернёт ваши прежние серверы. Или сами удалите 127.0.0.53 у этой службы в сетевых настройках macOS.

На Android

В режиме VPN Throne для Android работает так же, как режим TUN. Его параметры находятся в Настройки (Settings) → TUN / VPN; см. Режимы VPN и прокси.