DNS, TUN и маршрутизация в INCY — без магии, по шагам

TUN: что реально делает INCY

TUN создаёт виртуальный сетевой интерфейс. Трафик приложений попадает в INCY, клиент шифрует его и отправляет на узел Xray из подписки. Без TUN или системного VPN-профиля Connect в интерфейсе может быть, а маршруты — нет.

На Android INCY запрашивает разрешение VPN при первом Connect. Отказ — туннель не поднимется. На ПК нужны права администратора для драйвера TUN.

Режим «только прокси для браузера» без TUN не пустит через VPN native apps — Instagram и Telegram пойдут мимо.

DNS: где чаще всего ломается

Утечка DNS: IP через VPN, а запросы имён резолвятся у провайдера. Сайты «не открываются» или открываются с задержкой. После Connect проверьте DNS через публичный тест утечек.

Private DNS на Android (Google, Cloudflare, AdGuard) иногда обходит TUN. На диагностику отключите в настройках сети, проверьте INCY, затем решите, оставлять ли.

DNS из subscription URL задаёт провайдер подписки. Менять вручную в INCY имеет смысл только после стабильного базового Connect.

Маршрутизация: весь трафик или часть

По умолчанию маршрут по умолчанию — через VPN. Локальная сеть (принтер, NAS) может пропасть — добавьте исключения LAN, если клиент поддерживает.

Split tunnel: whitelist или blacklist приложений и доменов. Включайте после того, как полный TUN уже открывает целевой сервис.

Geo-файлы и правила «RU direct, остальное proxy» — для продвинутых. Ошибка в правиле даёт «Connect есть, половина сайтов мёртва» — откатывайте по одному правилу.

Пошаговая диагностика

Шаг 1: подписка на incy.top активна, URL свежий из бота Nasa VPN, список узлов не пуст.

Шаг 2: Connect, проверка IP — адрес должен смениться.

Шаг 3: DNS-тест — без утечки.

Шаг 4: целевой сайт или app. Только после этого — эксперименты с split и MTU.

Настройки DNS в INCY

Если в клиенте есть поле DNS — «авто» или из профиля обычно достаточно. Ручной 1.1.1.1 без понимания маршрутов может ухудшить ситуацию.

DoH/DoT в системе Android и в INCY одновременно — источник путаницы. Упростите стек на время теста.

После смены DNS переподключите VPN — старые кэши резолвера держатся секунды.

TUN и энергосбережение Android

Фоновый TUN рвётся на MIUI/Samsung — кажется, что «маршрутизация сломалась». Исключения батареи для INCY обязательны.

При смене Wi‑Fi ↔ LTE Android пересоздаёт VPN — reconnect в INCY нормален.

Kill switch, если включён, блокирует весь трафик при обрыве — не путайте с «DNS не работает».

MTU и «сайты открываются наполовину»

Длинные страницы обрываются, мессенджеры шлют, но медиа не грузят — попробуйте MTU 1280–1380 в INCY после проверки DNS.

Меняйте MTU одним параметром за раз. Одновременная смена сервера, DNS и MTU не даёт понять, что помогло.

На перегруженном LTE MTU важнее выбора «самого быстрого» ping.

Типичные ошибки

Включили split до проверки полного TUN — неясно, что сломано.

Копировали правила маршрутизации с форума без своего subscription URL — конфликт с провайдером.

Ждут, что INCY «сам настроит DNS» без импорта ключа — пустой профиль.

Wi‑Fi и LTE

На домашнем роутере DNS-over-HTTPS в прошивке может конфликтовать с TUN. Временно отключите на тест.

LTE оператора режет UDP — симптом похож на DNS, лечится сменой узла, не только DNS.

Запишите рабочую комбинацию «сеть + сервер + DNS» для каждой сети отдельно.

Когда писать в поддержку

Приложите: версия INCY, тип сети, скрин DNS-теста, текст ошибки, меняли ли split/MTU.

Перевыпуск URL — бот Nasa VPN. Вопросы маршрутов в raw JSON — к провайдеру подписки.

На incyclient.digital смежные гайды по per-app VPN и UDP blocked дополняют эту схему.

Fake DNS и локальные имена

Некоторые профили Xray используют fake DNS — резолвинг идёт внутри туннеля. Симптом сбоя — локальные .local имена не открываются. Добавьте LAN в bypass.

Корпоративные домены intranet.company.ru при полном TUN могут уходить в туннель — настройте исключение.

После смены fake DNS перезапустите INCY полностью, не только reconnect.

IPv6 через INCY

Если провайдер выдаёт IPv6, утечка возможна мимо IPv4-туннеля. Проверьте IPv6 leak тестом после Connect.

Отключение IPv6 на Android в настройках сети — крайняя мера на диагностику.

Не все узлы подписки поддерживают IPv6 одинаково — при сбоях тестируйте другой сервер.

Чек-лист после настройки DNS/TUN

Утро: Connect, IP, DNS-тест на Wi‑Fi. День: повтор на LTE. Вечер: запись рабочего сервера и MTU, если меняли.

Подписка incy.top активна — refresh в INCY после продления.

Split tunnel включён только если полный TUN уже проверен.

URL из бота Nasa VPN сохранён в менеджере паролей.

Оформление подписки на incy.top

Если ключа ещё нет — оформите подписку на incy.top, затем импорт в INCY. Клиент не выдаёт узлы без subscription URL.

После оплаты откройте бота Nasa VPN по ссылке из кабинета — там subscription URL и QR.

Партнёрская метка maxfuckin не меняет механику: оплата на incy.top, ключ в боте.

Заметки по сетям

Короткая заметка «дом EU-2, улица TCP-5» экономит время при следующем обрыве. [dns tun marshrutizatsiya incyclient digital.html]

После смены квартиры или SIM пересмотрите избранные серверы — старый пресет может устареть.

INCY не чинит гостевой Wi‑Fi без авторизации — сначала пройдите портал отеля.

Ошибки после апдейта

Если INCY перестал коннектиться сразу после обновления — refresh, перезапуск, смена сервера. [dns tun marshrutizatsiya incyclient digital.html]

Откат на предыдущий релиз — только с официального архива, не с форума.

Переустановка без сохранённого URL — лишний шаг; ключ всё равно в боте.

Перевыпуск ключа

При подозрении на утечку — перевыпуск в боте, старый URL отзовётся. [dns tun marshrutizatsiya incyclient digital.html]

INCY не «банит» ключ — отзыв делает провайдер подписки.

После перевыпуска импортируйте новую ссылку, не refresh старого профиля.

Поддержка и логи

Текст ошибки из INCY важнее скрина «нет интернета». [dns tun marshrutizatsiya incyclient digital.html]

Логи без URL — нормальная практика для GitHub Issues.

Провайдер подписки не чинит sideload APK с левого сайта.

Заметка по этому гайду

На incyclient.digital полезно закончить короткой записью: какая сеть, какой сервер и какой способ импорта сработали. [dns tun marshrutizatsiya incyclient digital.html]

Через неделю такая заметка быстрее повторного чтения — особенно если вы меняли только сервер, а не весь профиль.

Тема Incy скачать на андроид на incyclient.digital описана короче — здесь же разбираем то, что чаще всего спрашивают в поддержку.

Перевыпуск ключа

Subscription URL равен паролю к слоту. При утечке запросите перевыпуск в боте — старая ссылка перестанет работать.

Не публикуйте QR и текст ключа в соцсетях и тикетах поддержки клиента.

После перевыпуска импортируйте новый URL в INCY и сделайте refresh.

Wi‑Fi и LTE

Стабильный Connect дома и timeout в метро — разные узлы или transports из одного feed, не смена подписки.

Зафиксируйте рабочий сервер для каждой сети в заметках — сэкономит время при следующем входе.

Captive portal в кафе и отеле: сначала авторизация в браузере без VPN, затем Connect в INCY.

Смена узла до паники

Handshake failed на одном сервере — переключите соседний регион в списке до переустановки APK или смены тарифа.

Пинг в клиенте — ориентир, не гарантия: на LTE handshake может занять дольше, чем на Wi‑Fi.

Refresh подписки после работ провайдера на пуле — часто быстрее, чем поиск «другого клиента».