VLESS через точку доступа: почему VPN не работает при раздаче интернета

Распространённый сценарий:

1. На телефоне запущен HAPP.
2. VLESS подключён и работает.
3. На телефоне сайты показывают IP VPN-сервера.
4. Включается мобильная точка доступа.
5. Ноутбук или телевизор подключается к hotspot.
6. На втором устройстве оказывается обычный IP мобильного оператора.

Возникает логичный вопрос:

почему VLESS через точку доступа не передался вместе с интернетом?

Потому что:

VPN на телефоне и раздача интернета с телефона — два разных сетевых механизма.

Включённый VPN не означает автоматически, что tethering-клиенты тоже будут маршрутизироваться через его туннель.

Это особенно важно понимать на Android и iPhone.

Короткий ответ

Если VPN работает на самом телефоне, а подключённый к его точке доступа ноутбук идёт напрямую, это вполне возможно и не означает неисправность VLESS.

Самый надёжный вариант:

установить HAPP непосредственно на ноутбук, планшет или другое устройство и подключить VLESS там.

Если это невозможно, существуют дополнительные варианты:

• LAN Proxy в HAPP;
• HTTP/SOCKS5 proxy;
• специальные tethering-схемы;
• root и ручная маршрутизация.

Но стандартный переключатель:

«Точка доступа»

сам по себе не обязан превращать телефон в VPN-роутер.

Как работает VPN на Android

Android предоставляет приложениям VpnService.

VPN-приложение создаёт виртуальный сетевой интерфейс.

Упрощённо:

Приложения телефона
↓
Android VPN interface
↓
HAPP
↓
VLESS
↓
VPN-сервер
↓
Интернет

Android описывает VpnService именно как механизм создания виртуального сетевого интерфейса: исходящие пакеты, направленные в него системой, получает VPN-приложение и передаёт VPN gateway.

Ключевая фраза здесь:

пакеты, направленные в VPN-интерфейс.

Трафик другого устройства, подключённого к hotspot, появляется в системе другим способом.

Как работает точка доступа Android

Tethering — отдельная подсистема Android.

Она позволяет делиться интернетом через:

• Wi-Fi hotspot;
• USB;
• Bluetooth;
• Ethernet.

Android Open Source Project прямо описывает tethering как механизм, который получает трафик от подключённых клиентских устройств и передаёт его между downstream- и upstream-интерфейсами.

Упрощённая схема:

Ноутбук
↓ Wi-Fi
Телефон / Hotspot
↓
Мобильная сеть
↓
Интернет

Это не тот же самый поток, что:

Приложение телефона
↓
VpnService
↓
HAPP

Поэтому пересечение двух механизмов зависит от реализации операционной системы и конкретной VPN-схемы.

Почему hotspot может обходить VPN телефона

На Android tethering может работать как обычный IP forwarding.

Более того, система поддерживает tethering offload.

Android позволяет переносить обработку tethered traffic в hardware и создавать прямой путь между:

• modem;
• Wi-Fi;
• USB.

AOSP прямо описывает такой режим как передачу tethering traffic между модемом и peripheral interface, которая может обходить основной application processor.

Для производительности и энергопотребления это отлично.

Но для пользовательского VPN возникает очевидное следствие:

нельзя рассчитывать, что каждый пакет подключённого ноутбука обязательно попадёт в HAPP VpnService.

Это значит, что Android никогда не раздаёт VPN?

Нет.

Поведение зависит от:

• версии Android;
• производителя;
• VPN-приложения;
• типа tethering;
• реализации routing;
• root/custom firmware.

На некоторых устройствах конкретная схема может фактически провести tethered traffic через VPN.

На другом телефоне тот же сценарий уйдёт напрямую.

Поэтому правильный подход:

не угадывать — проверить внешний IP второго устройства.

Как проверить, идёт ли hotspot через VLESS

На телефоне:

1. Включите HAPP.
2. Подключитесь к VLESS.
3. Проверьте внешний IP.

Допустим:

Телефон → IP Франции

Теперь включите hotspot и подключите ноутбук.

На ноутбуке снова проверьте внешний IP.

Вариант 1

Телефон → VPN IP
Ноутбук → тот же VPN IP

Значит в вашей текущей конфигурации tethered traffic действительно проходит через VPN.

Вариант 2

Телефон → VPN IP
Ноутбук → IP мобильного оператора

Точка доступа обходит HAPP.

И это уже не проблема VLESS-сервера.

Почему проверять нужно именно второе устройство

IP телефона доказывает только:

трафик телефона идёт через VLESS.

Он ничего не доказывает про:

• ноутбук;
• телевизор;
• консоль,

подключённые к hotspot.

Это фактически отдельные сетевые клиенты.

HAPP работает на телефоне, а ноутбук через hotspot нет

Это один из наиболее типичных вариантов.

Схема может выглядеть так:

Телефон
↓
HAPP
↓
VLESS

Ноутбук
↓
Hotspot
↓
Mobile Network
↓
Direct

Сам VLESS здесь исправен.

Просто ноутбук не является приложением внутри Android и не попадает в тот же VpnService.

Самое надёжное решение — установить VPN на ноутбук

Если устройство поддерживает HAPP, это почти всегда лучший вариант.

Например:

Android
→ HAPP
→ VLESS

Windows
→ HAPP
→ VLESS

Телефон при этом просто предоставляет ноутбуку обычный интернет.

А сам ноутбук создаёт собственный VPN tunnel.

Преимущества:

• предсказуемый routing;
• нормальный TUN;
• UDP;
• Discord;
• игры;
• не зависит от особенностей Android tethering.

Можно ли использовать одну VLESS-подписку

Зависит от условий сервиса.

Если тариф разрешает несколько устройств, одну подписку можно использовать:

• на телефоне;
• ПК;
• ноутбуке;

в пределах разрешённого количества устройств.

Это значительно удобнее, чем превращать телефон в сложный VPN-router.

А если установить VPN на второе устройство нельзя

Такое бывает.

Например:

• Smart TV;
• игровая консоль;
• устройство без VLESS-клиента.

Тогда появляется второй вариант:

LAN Proxy.

HAPP имеет отдельную функцию:

Allow LAN Connections / Разрешить LAN-подключения.

Она позволяет другим устройствам в локальной сети использовать HTTP или SOCKS5 proxy, поднятый HAPP.

Как работает LAN Proxy HAPP

Схема отличается от автоматической раздачи VPN.

Получается:

Ноутбук
↓
HTTP / SOCKS5 Proxy
↓
HAPP на телефоне или компьютере
↓
VLESS
↓
Интернет

То есть клиентское устройство явно подключается к proxy HAPP.

Как включить LAN-подключения в HAPP

По официальной документации:

1. Откройте HAPP.
2. Перейдите в Advanced Settings.
3. Включите Allow LAN Connections.
4. Подключитесь к VPN.

После этого HAPP показывает:

• локальный IP;
• SOCKS5 port;
• HTTP port.

В документации приводятся, например:

SOCKS5: 10808
HTTP:   10809

Конкретные значения смотрите непосредственно в приложении.

Что нужно сделать на ноутбуке

На втором устройстве задаётся proxy:

IP → локальный адрес телефона
Port → HTTP/SOCKS port HAPP

После этого приложения, которые используют этот proxy, отправляют соединения:

Ноутбук
↓
Телефон:HAPP
↓
VLESS

Это уже настоящий способ поделиться VLESS без установки полноценного VLESS-клиента на второе устройство.

Работает ли это через hotspot

Потенциально — да, если:

• устройство видит локальный IP телефона;
• hotspot разрешает соединения с хостом;
• HAPP слушает нужный локальный интерфейс.

Но это лучше проверить на конкретном устройстве.

Функция HAPP документирована для устройств в одной локальной сети; поведение конкретного Android hotspot и производителя может различаться.

Это полноценная замена TUN на ноутбуке?

Нет.

LAN Proxy остаётся proxy.

Например:

Браузер → proxy → VLESS

может работать прекрасно.

Но программа, которая:

• игнорирует HTTP proxy;
• не поддерживает SOCKS;
• активно использует UDP,

может работать иначе.

Поэтому для Windows, macOS или Android лучше установить полноценный VPN-клиент непосредственно на устройство.

LAN Proxy отлично подходит для браузера

Например, временная задача:

ноутбук подключён через hotspot и нужно открыть сайты.

В таком случае:

Browser
↓
HTTP proxy HAPP
↓
VLESS

может полностью решить проблему.

Нет необходимости перестраивать tethering Android.

А для Discord?

Текстовая часть может работать через подходящую proxy-схему.

Но Discord voice использует real-time traffic и UDP.

Для него гораздо лучше:

HAPP непосредственно на ноутбуке + системный TUN.

То же относится к:

• играм;
• видеозвонкам;
• приложениям без proxy support.

А для Smart TV?

Если телевизор позволяет вручную задать HTTP proxy, LAN Proxy может помочь некоторым приложениям.

Но далеко не каждое TV-приложение обязано уважать системный HTTP proxy.

Для постоянного использования надёжнее:

• HAPP/совместимый клиент на Android TV;
• либо VPN на роутере.

Игровая консоль

Здесь ситуация ещё сложнее.

У консоли обычно нет VLESS-клиента.

HTTP proxy может не охватывать игровой UDP-трафик.

Поэтому для:

• PlayStation;
• Xbox;
• других консолей

чаще нужен уже полноценный gateway/router, который действительно маршрутизирует весь клиентский трафик через VPN.

Обычная точка доступа телефона для этого не является гарантированным решением.

USB tethering меняет ситуацию?

Не принципиально.

Android tethering поддерживает несколько downstream transport:

• Wi-Fi;
• USB;
• Bluetooth;
• Ethernet.

То есть схема:

ПК
↓ USB
Телефон

всё равно остаётся tethering.

Сам факт USB-соединения не означает:

теперь трафик обязательно пройдёт через Android VPN.

Но USB может быть стабильнее Wi-Fi

Да.

Он может дать:

• стабильное физическое соединение;
• меньше помех;
• одновременно зарядку телефона.

Но вопрос:

проходит ли tethered traffic через HAPP,

от этого автоматически не решается.

Нужно снова проверить IP на компьютере.

Bluetooth tethering

Тот же принцип.

Меняется только downstream transport.

VPN-routing остаётся отдельной задачей.

Для высокой скорости Bluetooth обычно менее интересен, но для временного доступа работать может.

Почему root меняет возможности

На rooted Android появляется значительно больше контроля над:

• iptables/nftables;
• forwarding;
• routing;
• NAT.

Технически можно построить схему:

Hotspot clients
↓
Android forwarding
↓
VPN interface
↓
VLESS

Но это уже отдельная системная конфигурация.

Для обычного пользователя такой вариант значительно сложнее:

• зависит от Android;
• производителя;
• root;
• обновлений;
• VPN-клиента.

Поэтому готовый VLESS-сервис обычно не должен обещать поддержку такой схемы.

Приложения для VPN tethering

Существуют сторонние Android-инструменты, которые пытаются перенаправлять tethered traffic через VPN.

Часть из них требует:

• root;
• дополнительные proxy-настройки;
• ADB;
• отдельный клиент на принимающем устройстве.

Перед использованием важно понимать архитектуру.

Не стоит давать неизвестному приложению широкие сетевые/root-права только ради одной раздачи VPN.

Почему простой «VPN Hotspot» не всегда прост

Потому что необходимо соединить две разные подсистемы:

Android VPN

и:

Android Tethering

При этом нужно корректно обработать:

• IPv4;
• IPv6;
• NAT;
• DNS;
• UDP;
• MTU;
• routing.

Поэтому штатный Android не превращает любой VPN-клиент автоматически в VPN-router.

А что с iPhone

На iPhone принцип диагностики похожий:

не нужно считать, что включённый на самом iPhone VPN автоматически становится VPN для клиентов Personal Hotspot.

Apple описывает Personal Hotspot как механизм передачи мобильного интернет-соединения iPhone подключённым устройствам.

То есть сначала нужно проверить фактический внешний IP подключённого ноутбука.

Важная особенность Personal Hotspot iPhone

Apple прямо указывает:

Personal Hotspot на iPhone раздаёт cellular internet connection.

Штатно нельзя:

iPhone подключён к Wi-Fi
↓
раздать этот Wi-Fi через Personal Hotspot

Personal Hotspot использует именно мобильное соединение.

Это отличается от некоторых Android-сценариев и устройств.

VPN может мешать локальной сети iPhone

Apple отдельно предупреждает: если используется VPN, его конфигурация не должна блокировать local networking, иначе могут возникнуть проблемы с некоторыми Continuity-функциями.

Это ещё одна причина не считать:

VPN + Personal Hotspot

одной простой сетевой функцией.

Как проверить Personal Hotspot iPhone

Тот же A/B-тест.

На iPhone

Подключить HAPP/VLESS и проверить IP.

На ноутбуке

Подключиться к Personal Hotspot и проверить IP отдельно.

Если IP отличаются:

VPN iPhone не используется этим hotspot-клиентом.

Тогда надёжнее включить VPN непосредственно на ноутбуке.

Можно ли заставить iPhone раздавать VLESS

Штатно обычному пользователю значительно проще не пытаться превращать iPhone в VLESS-router.

Лучший вариант:

iPhone → Personal Hotspot
↓
Ноутбук → HAPP → VLESS

Телефон даёт connectivity.

Ноутбук сам создаёт VPN.

Так схема значительно предсказуемее.

А если на ноутбук HAPP поставить нельзя

Тогда proxy sharing может быть вариантом только если конкретный клиент и платформа позволяют поднять доступный LAN proxy.

Но для iPhone возможности системного forwarding значительно более закрыты, чем у rooted Android или обычного компьютера.

Поэтому для TV/console лучше рассмотреть другой gateway.

Раздача VPN с компьютера

Есть и обратный сценарий:

Windows PC
↓
HAPP/VLESS
↓
Mobile Hotspot
↓
другое устройство

И здесь действует то же правило:

наличие VPN на Windows не гарантирует, что Windows Mobile Hotspot автоматически выберет его как upstream.

Нужно проверять реальный маршрут на принимающем устройстве.

HAPP LAN Connections на компьютере

Для Windows это особенно удобная альтернатива.

HAPP позволяет открыть:

• SOCKS5;
• HTTP proxy

для локальной сети.

Тогда, например, телевизор или ноутбук подключается к Wi-Fi/локальной сети компьютера и вручную использует proxy HAPP.

Не нужно пытаться заставить Windows ICS автоматически NAT’ить всё через TUN.

Но снова: proxy — не полный VPN

Очень важно не путать:

LAN Proxy

и:

VPN gateway

Proxy обслуживает поддерживаемые proxy-соединения.

Gateway маршрутизирует IP traffic целиком.

Для:

• игр;
• UDP;
• некоторых приложений

это принципиальная разница.

Почему DNS тоже может вести себя странно

Представим:

Ноутбук
↓ hotspot
↓
обычный DNS мобильного оператора

но браузерные соединения при этом идут через:

HTTP proxy → VLESS

Получается смешанная схема.

Часть DNS может оставаться direct.

Это не обязательно ломает интернет, но при сложной routing-конфигурации способно дать неожиданный результат.

SOCKS5 может работать лучше HTTP proxy

SOCKS — более универсальный proxy-механизм.

Но конкретная программа должна его поддерживать либо система должна уметь направить туда её трафик.

HAPP предоставляет как SOCKS5, так и HTTP LAN ports.

Для обычного браузера HTTP proxy проще.

Для более универсальных proxy-aware приложений можно использовать SOCKS5.

UDP через proxy — отдельный вопрос

Не стоит автоматически считать:

есть SOCKS5 → любой UDP любого приложения заработает.

Это зависит от:

• поддержки SOCKS UDP самим клиентом;
• реализации proxy;
• программы.

Для игр и voice системный VPN на конечном устройстве остаётся значительно надёжнее.

Почему телефон и ноутбук могут показывать разные страны

Это как раз один из главных признаков обхода VPN.

Например:

Телефон → France
Ноутбук hotspot → Netherlands / оператор

Всё работает ожидаемо с точки зрения tethering.

Просто ноутбук не попал в VLESS.

Можно ли считать это VPN leak

Для самого телефона — нет.

Если VPN обещает защищать трафик телефона, он может выполнять задачу полностью.

Tethered laptop является отдельным downstream-клиентом.

Если сервис или приложение специально не обещает VPN tethering, direct traffic второго устройства правильнее считать особенностью маршрутизации, а не утечкой VPN телефона.

Почему kill switch телефона может не помочь

Kill switch/lockdown применяется к трафику, охваченному системным VPN.

Трафик tethering может находиться в другой forwarding-схеме.

Поэтому нельзя использовать:

у меня включена блокировка соединений без VPN

как доказательство, что ноутбук через hotspot тоже защищён.

Проверяйте IP непосредственно на ноутбуке.

Always-on VPN тоже не означает VPN hotspot

То же относится к Android Always-on VPN.

Android умеет поддерживать VpnService для трафика устройства и автоматически восстанавливать его после reboot/update.

Но:

VPN постоянно включён на телефоне

и:

телефон является VPN-router для tethered clients

— разные требования.

Что делать, если без VPN hotspot работает, а с HAPP вообще пропадает интернет

Такой сценарий уже интереснее.

Например:

HAPP off → ноутбук через hotspot работает

HAPP on → ноутбук теряет internet access.

Это может означать конфликт:

• routing;
• local network;
• tethering;
• VPN policy.

Сначала проверьте, продолжает ли сам телефон иметь интернет.

Если телефон тоже потерял интернет

Тогда проблема не в tethering.

Сначала чините обычный HAPP/VLESS:

• другой сервер;
• другую сеть;
• subscription;
• DNS.

Hotspot здесь вторичен.

Если телефон работает, а hotspot-клиент нет

Тогда уже проблема специфична для:

VPN + tethering.

Попробуйте:

1. выключить HAPP;
2. убедиться, что hotspot работает;
3. снова включить HAPP;
4. проверить IP и connectivity клиента.

Если результат воспроизводится, нет смысла менять VLESS UUID.

Может ли мобильный оператор ограничивать раздачу

Да, политика tethering может зависеть и от оператора.

Android даже предусматривает отдельные механизмы и network capabilities, связанные с DUN/tethering upstream. В некоторых реализациях оператор может различать обычный мобильный трафик телефона и tethering.

Поэтому если hotspot:

не работает вообще даже без VPN,

проверяйте:

• тариф;
• APN;
• ограничения оператора.

Это уже не проблема VLESS.

Не меняйте APN только ради VPN hotspot

Если обычная раздача работает, случайная смена APN редко является хорошим первым шагом.

Сначала разделите две задачи:

Hotspot без VPN

Работает?

Hotspot с VPN

Какой IP получает клиент?

Только после этого становится понятно, где проблема.

Почему скорость через hotspot ниже

Даже без VLESS появляется дополнительный участок:

мобильная сеть
↓
телефон
↓
Wi-Fi hotspot
↓
ноутбук

Добавляется:

• Wi-Fi radio;
• NAT;
• обработка tethering.

Если поверх этого ещё применяется VPN/proxy, появляется ещё один слой.

Поэтому небольшая потеря скорости нормальна.

Почему телефон показывает 300 Мбит/с, а ноутбук 80

Это не обязательно ограничение VLESS.

Возможные причины:

• hotspot 2.4 GHz;
• помехи Wi-Fi;
• слабый сигнал;
• энергосбережение;
• аппаратные возможности телефона.

Сначала сравните скорость hotspot вообще без VPN.

2.4 GHz или 5 GHz hotspot

Если телефон позволяет выбирать диапазон, 5 GHz обычно способен дать:

• выше скорость;
• меньше помех,

на небольшом расстоянии.

2.4 GHz:

• дальше добивает;
• лучше проходит стены;

но чаще перегружен.

Это относится к локальному соединению и не связано с протоколом VLESS.

MTU при двойной схеме тоже может проявиться

При:

ноутбук
→ hotspot
→ телефон
→ VPN

возникает несколько сетевых слоёв.

Если полноценный tunnel действительно проходит через такую схему, некорректный MTU может проявляться как:

• часть сайтов работает;
• крупные передачи зависают;
• некоторые соединения очень медленные.

Но менять MTU первым делом не стоит.

Сначала выясните главное:

трафик второго устройства вообще проходит через VPN или нет?

IPv6 тоже нужно учитывать

Hotspot может раздавать клиенту:

• IPv4;
• IPv6;
• оба.

Если VPN охватывает только одну address family, результат может быть смешанным.

Например:

IPv4 → VPN
IPv6 → Direct

Поэтому при серьёзной диагностике полезно отдельно проверить оба типа IP.

Но для обычного пользователя внешний IP-check уже даст первую полезную информацию.

Самый простой тест без технических команд

Нужно всего два устройства.

Телефон

Проверить IP при включённом VLESS.

Ноутбук

Подключиться к hotspot и проверить IP.

Если совпадает VPN-выход — отлично.

Если ноутбук показывает мобильного оператора — VLESS не распространяется через tethering.

Дальше выбирайте способ решения.

Три практических варианта решения

Вариант 1. VPN на каждом устройстве

Лучший вариант.

Телефон → HAPP
Ноутбук → HAPP

Плюсы:

• полноценный VPN;
• TUN;
• UDP;
• предсказуемость.

Вариант 2. HAPP Allow LAN Connections

Подходит proxy-aware устройствам.

Клиент → HTTP/SOCKS HAPP → VLESS

Плюсы:

• не нужен отдельный VLESS-клиент;
• быстро настраивается.

Минусы:

• не весь трафик;
• приложения должны поддерживать proxy;
• UDP сложнее.

Вариант 3. Полноценный VPN gateway/router

Подходит:

• телевизорам;
• консолям;
• большому числу устройств.

Но требует отдельной сетевой настройки и уже выходит за рамки обычной точки доступа телефона.

Что лучше для ноутбука

Однозначно:

установить HAPP на ноутбук.

Нет особого смысла строить:

Windows
→ Android proxy
→ HAPP

если Windows сама способна запустить HAPP и TUN.

Что лучше для Android TV

Если телевизор поддерживает HAPP или другой совместимый VLESS-клиент:

установить VPN непосредственно на телевизор.

Это значительно проще и надёжнее proxy sharing.

Что лучше для консоли

Если нужен именно весь игровой трафик:

полноценный VPN-router/gateway.

HTTP proxy с телефона для такого сценария слабая замена.

Нужно ли покупать второй VPN

Не обязательно.

Если ваш тариф допускает несколько устройств, один доступ можно использовать на телефоне и ноутбуке в рамках условий сервиса.

Проверьте только:

• лимит устройств;
• HWID;
• одновременные подключения.

VLESS.ART и раздача интернета

Если используется VLESS.ART, основной поддерживаемый сценарий — HAPP или совместимый клиент непосредственно на конечном устройстве.

То есть:

Телефон → HAPP
ПК → HAPP

предпочтительнее схемы, где телефон пытается выступать VPN-router для всей локальной сети.

Если второе устройство не поддерживает VLESS, можно рассмотреть LAN Proxy HAPP или отдельный маршрутизатор.

Почему такой подход проще поддерживать

Потому что при схеме:

ПК → HAPP → VLESS

есть понятные уровни:

• клиент;
• сервер;
• сеть.

А при:

ПК
→ hotspot
→ Android forwarding
→ VPN
→ VLESS

добавляются:

• tethering;
• NAT;
• hardware offload;
• vendor implementation;
• downstream interface.

Диагностика становится заметно сложнее.

Быстрая таблица диагностики

Самая короткая последовательность действий

Если VLESS через точку доступа не работает, делайте так:

1. Проверить VLESS на самом телефоне.
2. Проверить hotspot без VPN.
3. Включить VLESS.
4. Проверить внешний IP телефона.
5. Проверить внешний IP второго устройства.
6. Если IP второго устройства обычный — не менять VLESS-конфигурацию.
7. Установить HAPP на второе устройство, если возможно.
8. Если невозможно — попробовать HAPP Allow LAN Connections.
9. Для TV/console рассмотреть полноценный gateway/router.

После этих тестов проблема обычно становится совершенно понятной.

Что написать поддержке

Не:

VPN не раздаётся.

Лучше:

Android, HAPP. На телефоне VLESS работает, IP меняется. Включаю Wi-Fi hotspot, ноутбук получает интернет, но внешний IP на ноутбуке остаётся IP мобильного оператора. На самом телефоне в этот момент остаётся VPN IP.

Из такого описания сразу понятно:

сам VLESS исправен, вопрос относится к tethering.

Другой хороший вариант:

Через HAPP Allow LAN Connections браузер ноутбука работает через HTTP proxy и показывает VPN IP, но игры идут напрямую.

И это тоже ожидаемо:

proxy sharing не равен полноценному системному VPN.

Чего не нужно делать

Не стоит первым делом:

• менять UUID;
• менять SNI;
• менять flow;
• редактировать transport;
• удалять подписку;
• переустанавливать HAPP.

Если VLESS работает на самом телефоне, эти параметры уже доказали свою работоспособность.

Проблема находится после VPN-клиента:

tethering / forwarding / proxy.

Итог

Если VLESS через точку доступа не распространяется на подключённые устройства, это не обязательно неисправность HAPP или VLESS.

Android VPN и Android tethering — разные подсистемы.

VpnService создаёт виртуальный интерфейс для пакетов, которые система направила в VPN. Tethering, в свою очередь, пересылает трафик других устройств между downstream- и upstream-интерфейсами. Android способен даже аппаратно offload’ить часть tethered traffic прямо между модемом и Wi-Fi/USB.

Поэтому правило:

«VPN включён на телефоне — значит hotspot тоже через VPN»

не является надёжным.

Проверять нужно непосредственно второе устройство.

Если:

Телефон → VPN IP
Ноутбук → обычный IP

hotspot обходит VPN.

Самое надёжное решение:

запустить HAPP/VLESS непосредственно на ноутбуке.

Если это невозможно, HAPP предлагает Allow LAN Connections: клиент в локальной сети может использовать HTTP или SOCKS5 proxy приложения. Но это proxy sharing, а не полноценный IP-туннель для всех протоколов.

На iPhone логика проверки такая же. Apple определяет Personal Hotspot как раздачу мобильного соединения iPhone и отдельно предупреждает, что VPN-конфигурация может влиять на local networking. Поэтому не стоит автоматически предполагать, что VPN самого iPhone используется подключённым ноутбуком — проверяйте его IP отдельно.

Практический выбор получается простой:

ПК или телефон поддерживает HAPP → ставим VPN прямо туда.

Устройство умеет только proxy → используем HAPP LAN Connections.

Консоль/TV нужен весь трафик → нужен полноценный VPN gateway/router.

Так значительно надёжнее, чем пытаться заставить обычную мобильную точку доступа выполнять работу VPN-маршрутизатора.