Yasaklı sitelere nasıl girilir?

Üç engelleme türü

"Site yasaklı" tek bir teknik durum değil. Servis sağlayıcının hangi katmanda müdahale ettiğine göre üçe ayrılıyor:

1. DNS engellemesi (en basiti)

Alan adını IP adresine çeviren DNS sunucusu yanlış cevap verir ya da hiç cevap vermez. Tarayıcın sitenin adresini bulamadığı için "sunucu bulunamadı" der. Sağlayıcının kendi DNS'ini kullanmayı bırakınca aşılır.

2. DPI / SNI engellemesi (Türkiye'de en yaygını)

Sağlayıcı, gönderdiğin ilk bağlantı paketinin içine bakar. HTTPS'te hedef alan adı bu ilk selamlaşmada (SNI alanında) açık metin olarak yazılıdır. Donanım bunu okuyup "bu adres listede" diyerek bağlantıyı düşürür. Doğru IP'yi bilsen bile bağlantı kurulamaz. Discord'un engellenme biçimi büyük ölçüde bu türden.

3. IP bloklama (en katısı)

Sitenin sunucu IP adresine giden tüm trafik kesilir. Alan adı, protokol veya paketin şekli hiç önemli değildir. Bu durumda paket düzeyinde yapılabilecek bir şey yoktur; trafiğin başka bir yerden çıkması gerekir, yani VPN veya proxy.

Pratikte bunlar birlikte de uygulanabiliyor. Bu yüzden teşhisi sırayla yapmak gerekiyor: basitten karmaşığa.

Hangi engelle karşı karşıyasın?

Aşağıdaki testleri Windows'ta PowerShell ile yapabilirsin. Başlat'a powershell yaz ve aç, yönetici olması gerekmiyor. Örneklerde ornek-site.com yerine denemek istediğin adresi yaz.

Önce tüm VPN, proxy ve GoodbyeDPI'ı kapat. Açık bir araç testin sonucunu bozar.

1. Test 1: DNS doğru cevap veriyor mu? Alan adını hem sağlayıcının DNS'inden hem de Cloudflare'den sor ve dönen IP adreslerini karşılaştır.
   kopyala

   PS> nslookup ornek-site.com
   PS> nslookup ornek-site.com 1.1.1.1

   İki sonuç farklıysa (ilki boş dönüyor, hata veriyor veya tuhaf bir adres gösteriyorsa) → DNS engellemesi var. Çözüm: DNS değiştirme.
   İkisi de aynı gerçek IP'yi döndürüyorsa → DNS sorunu yok, Test 2'ye geç.
2. Test 2: 443 portuna bağlantı kurulabiliyor mu? DNS düzgün çalışıyor ama site açılmıyorsa, TCP bağlantısının kurulup kurulmadığına bakmak engeli ikiye ayırır.
   kopyala

   PS> Test-NetConnection ornek-site.com -Port 443

   TcpTestSucceeded : True ama tarayıcıda site hâlâ açılmıyorsa → bağlantı kuruluyor, sonra kesiliyor demektir: DPI / SNI engellemesi. Çözüm: GoodbyeDPI.
   TcpTestSucceeded : False → IP bloklaması olasılığı yüksek. Çözüm: VPN.
3. Test 3: Farklı bir bağlantı dene (doğrulama). Telefonun mobil verisini kullanarak aynı siteyi aç. Farklı sağlayıcılar farklı yöntemler uyguluyor. Mobil veride açılıyorsa engel ülke genelinde değil, o sağlayıcıya veya modeminin ayarına özgü. Modemin DNS ayarını kontrol et.
4. Test 4: GoodbyeDPI'ı çalıştır (kesin doğrulama). Test 2'de DPI şüphesi çıktıysa aracı çalıştırıp siteyi tekrar dene. Bu en hızlı kesinleştirme yöntemi. Komut satırıyla uğraşmak istemiyorsan GoodbyeDPI.xyz uygulaması bu testi yedi farklı ayarla senin yerine yapar. Site açıldıysa engel DPI tabanlıydı ve çözüldü. Açılmadıysa IP bloklaması veya birden fazla yöntemin birlikte uygulanması söz konusu, VPN gerekir.

Yöntem-engel eşleşme tablosu

Hangi yöntemin hangi engelde işe yaradığı tek bakışta:

^* GoodbyeDPI'ın Türkiye paketi, DPI atlatmanın yanında DNS sorgularını da farklı bir sunucuya yönlendirdiği için DNS düzeyindeki engelleri de kapsıyor. Ayrıntı ve gizlilik notu: DNS uyarısı.

DPI engeli: GoodbyeDPI

Türkiye'de en sık karşılaşılan durum bu, ve iyi haber: VPN'e göre çok daha iyi bir çözüm.

GoodbyeDPI, bağlantının ilk paketini filtrenin tanıyamayacağı şekilde parçalara ayırıp gönderiyor. Hedef sunucu parçaları sorunsuz birleştirip normal cevabı veriyor; aradaki filtre ise aradığı kalıbı bir bütün hâlinde göremediği için kararı veremiyor.

Kritik farkı: trafiğin hiçbir sunucuya uğramıyor. Paketler yine doğrudan hedefe gidiyor, yalnızca gönderilme şekli değişiyor. Bu yüzden ping'in artmıyor, indirme hızın düşmüyor ve verini bir şirkete emanet etmiyorsun.

• Çalıştığı yer: 64-bit Windows 10 ve 11
• Ücret: Ücretsiz, Apache 2.0 lisanslı açık kaynak
• Kurulum: Zip'i çıkar, bir .cmd dosyasını yönetici olarak çalıştır
• Kaldırma: service_remove.cmd + klasörü sil
• Linux karşılığı: zapret  ·  Android: ByeDPI

Zor kısmı: hangi ayarın çalıştığını bulmak

GoodbyeDPI tek bir ayarla gelmiyor. Türkiye paketinde 14 tane .cmd dosyası var ve hangisinin senin sağlayıcında işe yarayacağı önceden belli değil, çoğu insan tam burada vazgeçiyor. Bu yüzden bu siteyi yazarken işi otomatikleştiren küçük bir uygulama da yazdık: yedi ayarı sırayla açıp her birinde gerçekten bağlanmayı dener, çalışanı bulunca sana söyler.

Uygulamanın ekran görüntüleri ve ne yaptığının ayrıntısı ana sayfada; paketin filtreden geçişini canlandıran etkileşimli anlatım için "nasıl çalışır" bölümüne bak. Orijinal paketi elle çalıştırmayı tercih edersen o bağlantı da indirme bölümünde duruyor.

DNS engeli: DNS adresini değiştirmek

Yalnızca Test 1'de DNS farkı çıktıysa bu yeterli olur. Ücretsiz, kalıcı ve hiçbir program kurmayı gerektirmiyor.

Windows 11'de: Ayarlar → Ağ ve İnternet → (Wi-Fi veya Ethernet) → Donanım özellikleri → DNS sunucusu ataması → Düzenle → El ile.

Sık kullanılan genel DNS sunucuları:

• Cloudflare: 1.1.1.1 ve 1.0.0.1
• Google: 8.8.8.8 ve 8.8.4.4
• Yandex: 77.88.8.8 ve 77.88.8.1

Değiştirdikten sonra önbelleği temizle:

> ipconfig /flushdns

Gizlilik notu: DNS sunucusunu değiştirmek, hangi sitelere girdiğinin kaydını sağlayıcından alıp o şirkete vermek anlamına gelir. Sağlayıcından daha iyi bir gizlilik politikası olan bir sunucu seçmek mantıklı ama "kimse görmüyor" demek değil. Tarayıcı ayarlarından DNS-over-HTTPS (DoH) açmak, sorguların yolda okunmasını da engellediği için daha iyi bir seçenek.

IP bloklama: VPN

Test 2'de TcpTestSucceeded : False aldıysan paket düzeyinde yapılabilecek bir şey kalmıyor. Trafiğin başka bir yerden çıkması gerekiyor.

VPN her engel türünü aşar ama bedeli var: tüm trafiğin o şirketin sunucusundan geçer. Yani engeli koyan sağlayıcıya güvenmeyi bırakıp VPN şirketine güvenmeye başlarsın. Bu bir gizlilik kazancı değil, güven transferi.

Bu sayfa belirli bir VPN önermiyor, hangisinin gerçekten log tutmadığını dışarıdan doğrulamak mümkün değil. Seçerken bakılması gerekenler:

• Bağımsız denetim raporu yayınlamış mı, ne zaman?
• Gelir modeli ne? Bedava bir hizmetin masrafını birisi ödüyor.
• Hangi ülkede kurulu ve veri talebi mevzuatı ne?
• Tarayıcı eklentisi değil, gerçek bir sistem VPN'i mi?

Kaçınman gereken yöntemler

Arama sonuçlarında en üstte çıkan çözümlerin bir kısmı işe yaramıyor, bir kısmı doğrudan zararlı:

"Yasak kaldırıcı" adıyla satılan programlar

DPI atlatma teknolojisi ücretsizdir. Aynı işi yaptığını söyleyip ücret isteyen, kurulum sihirbazıyla gelen ve ne yaptığını anlatmayan programların büyük kısmı ya bu araçların üzerine reklam yazılımı sarmış paketler ya da doğrudan kötü amaçlı. Bir program ne yaptığını anlatmıyor ve karşılığında para istiyorsa kurma.

Tarayıcı içinde çalışan ücretsiz proxy siteleri

Adresi kutuya yazıp "Git" dediğin siteler trafiğini kendi sunucularından geçirir ve HTTPS'i kendi üzerinde sonlandırır. Yani o sayfada girdiğin kullanıcı adı, şifre ve oturum çerezleri site sahibi tarafından okunabilir. Giriş yapman gereken hiçbir hesapta kullanma.

Kim yaptığı belirsiz tarayıcı eklentileri

"Ücretsiz VPN" eklentileri genellikle yalnızca tarayıcı trafiğini yönlendirir ve sayfaların tüm içeriğini okuma izni ister. Eklenti sahipleri değiştiğinde bu izinler yeni sahibe geçer, geçmişte popüler eklentilerin el değiştirip veri toplamaya başladığı örnekler oldu.

Antivirüsü tamamen kapatmak

GoodbyeDPI kurarken antivirüs uyarı verebiliyor (nedeni burada). Doğru çözüm o klasörü istisna listesine eklemek; antivirüsü tümden kapatmak değil.

Sık sorulan sorular