Add UI-controlled TProxy bypass for devices

README.md

@@ -75,7 +75,7 @@ docker compose -f docker-compose.client.yml restart
     ▼
 iptables mangle PREROUTING → цепочка VPN_PROXY_TPROXY
     │
-    ├─ source bypass CIDR              → RETURN  ← устройства мимо sing-box
+    ├─ source bypass chain             → ACCEPT  ← устройства мимо sing-box
     ├─ ipset vpn_direct_bypass (dst IP) → RETURN  ← опциональный bypass-кэш
     ├─ приватные CIDR (RFC1918, ...)    → RETURN
     └─ TCP/UDP                          → TPROXY :7895
@@ -127,9 +127,10 @@ ip route replace local 0.0.0.0/0 dev lo table 100
 
 # Цепочка iptables (порядок правил — критичен)
 iptables -t mangle -N VPN_PROXY_TPROXY
+iptables -t mangle -N VPN_PROXY_TPROXY_SOURCE_BYPASS
   -m addrtype --dst-type LOCAL          → RETURN   # ответы самого sing-box
   -m mark --mark 1                      → RETURN   # уже помеченные пакеты
-  -s 192.168.50.25/32                   → RETURN   # TPROXY_BYPASS_SOURCE_CIDRS
+  -j VPN_PROXY_TPROXY_SOURCE_BYPASS     → ACCEPT   # source bypass до sing-box
   -m set --match-set vpn_direct_bypass  → RETURN   # только если DIRECT_BYPASS_CACHE=true
   -d 10.0.0.0/8, 192.168.0.0/16, ...   → RETURN   # приватные адреса
   -p tcp                                → TPROXY :7895 mark 1
@@ -140,6 +141,9 @@ iptables -t mangle -A PREROUTING -j VPN_PROXY_TPROXY
 При остановке контейнера (`SIGTERM`) все правила iptables удаляются идемпотентно.  
 ipset-кэш намеренно **не** очищается — записи истекают по TTL.
 
+Устройства можно исключить из transparent-перехвата в интерфейсе: **Routing → Устройства → Mode → bypass TProxy**.
+Такой source IP обходит `tproxy-in` и не попадает в `sing-box`; ручной HTTP/SOCKS proxy на `gateway:8080` остаётся доступен для выбранных программ.
+
 ### 2. Маршрутизация внутри sing-box
 
 Каждый пакет проходит правила в порядке приоритета — **первое совпадение побеждает**:
@@ -380,6 +384,7 @@ UI доступен на `http://<gateway-ip>:3456`.
 | `PROXY_PORT`        | `8080`               | HTTP/SOCKS mixed inbound               |
 | `TPROXY_PORT`       | `7895`               | TProxy inbound sing-box                |
 | `TPROXY_BYPASS_SOURCE_CIDRS` | unset      | Source CIDR устройств, которые должны идти напрямую мимо TProxy/sing-box, например `192.168.50.25/32` |
+| `TPROXY_SOURCE_BYPASS_CHAIN` | `${TPROXY_CHAIN}_SOURCE_BYPASS` | Управляемая iptables-цепочка для UI source-bypass |
 | `DATA_DIR`          | `/var/lib/vpn-proxy` | Директория данных (volume)             |
 | `ROUTING_RU_DIRECT` | `true`               | geoip-ru/geosite-ru → direct           |
 | `LOG_LEVEL`         | `info`               | Уровень логов sing-box                 |