Bazı ağlar VPN'leri adrese göre engellemiyor, biçime göre engelliyor. O ağlarda gün boyu sunucu değiştirebilirsiniz, hiçbir şey düzelmez; çünkü düşürülen şey trafiğinizin nereye gittiği değil, neye benzediği. Bu rehber o incelemenin gerçekte neye baktığını, TLS içine yerleşmiş bir VLESS akışını sınıflandırmanın neden daha zor olduğunu, bunu her zamanki uygulamalara nasıl yükleyeceğinizi ve sonunda çoğu sayfanın atladığı kısmı anlatıyor: kimsenin dürüstçe söz veremeyeceği şeyi.
Bizde bir siparişiniz varsa VLESS bağlantıları, WireGuard ve OpenVPN dosyalarının yanında sipariş sayfanızda duruyor; sekiz karakterli sihirli kodla açılıyor. Teslim ettiğimiz sunuculardan dördü tam da bu durum için CDN arkasında: Singapur, Tokyo, Los Angeles ve Berlin. VPN sayfasındaki diğer her şey de aynı siparişte, aynı şekilde, süreçte hiçbir yerde hesap olmadan geliyor.
Derin paket incelemesi neye bakıyor
Sizinle internet arasında duran bir filtreleme kutusunun elinde birkaç ucuz sinyal var ve kabaca şu sırayla kullanıyor.
- Hedef. IP adresi ve TLS için el sıkışmadaki sunucu adı. En ucuz kontrol ve ilk kurulan bu.
- Port ve taşıma. TCP mi UDP mi, hangi port. Neredeyse her şeyin TCP 443 olduğu bir ağda yüksek bir porta giden alışılmadık UDP güçlü bir ipucu.
- İlk baytlar. Her protokol tanınabilir bir şeyle başlıyor. WireGuard'ın ilk el sıkışma mesajı sabit uzunlukta ve önünde bilinen bir tür baytı var. OpenVPN'in kendi opcode başlığı var. Biri kuralı yazdıktan sonra bunları eşleştirmek çocuk oyuncağı.
- Zaman içindeki biçim. Paket boyları, zamanlama, trafiğin ne kadar simetrik olduğu, birkaç saniyede bir nabız atıp atmadığı. Sonsuza kadar sabit aralıkla küçük bir keepalive gönderen bir tünel, tarayıcının yaptığı hiçbir şeye benzemiyor.
- Aktif sondaj. En gelişmiş hâli: filtre sunucuya kendisi bağlanıp nasıl yanıt verdiğine bakıyor. Rastgele bir sondaya gerçek bir web sunucusunun vermeyeceği biçimde yanıt veren sunucu, kendini engel listesine yazdırmış oluyor.
WireGuard neredeyse her konuda mükemmel, tam da bu konuda kötü. Yalnızca UDP, el sıkışması sabit boyda ve gizlenmek için değil hız ve sadelik için tasarlanmış. Bu bir kusur değil, bir tasarım kararı; "WireGuard engellendi" sorusunun cevabının hiçbir zaman "WireGuard'ı farklı yapılandırın" olmamasının sebebi de bu.
VLESS'i sınıflandırmak neden daha zor
VLESS, kendine ait neredeyse hiç ayırt edici el sıkışması olmayan hafif bir taşıma protokolü. Tek başına bu onu kurtarmazdı. Asıl önemli olan genelde neyin içine sarıldığı: 443 portunda sıradan bir sunucu adına giden normal bir TLS oturumu, çoğu zaman önünde bir içerik dağıtım ağıyla; yani cihazınızın bağlandığı adres, binlerce başka insana sıradan web siteleri servis eden bir adres.
Pasif bir gözlemciye o bağlantı, cihazınızın her gün kurduğu birkaç yüz TLS bağlantısından biri gibi görünüyor. Eşleştirilecek ayırt edici bir opcode yok, port toptan engellenemeyecek tek port ve hedef adres alakasız trafikle paylaşılıyor, yani adresi engellemenin bir bedeli var.
| Protokol | Taşıma | Filtre ne görüyor | Ne zaman |
|---|---|---|---|
| WireGuard | UDP, özel port | UDP üzerinde bilinen imzalı sabit boyda el sıkışma | İzin verilen her yerde ilk tercih. En hızlısı, mobilde en iyisi. |
| OpenVPN UDP | UDP | Alışılmadık portta tanınabilir opcode başlığı | WireGuard'dan nadiren iyidir. Yalnızca OpenVPN destekleyen istemcilerde. |
| OpenVPN TCP 443 | TCP 443 | Sıradan görünen port, altında ayırt edici el sıkışma | Yalnızca TCP 80 ve 443'e izin veren kurumsal ve otel ağları. |
| TLS üzerinden VLESS | TCP 443, çoğunlukla CDN arkasında | Paylaşılan bir sunucu adına TLS oturumu, herhangi bir HTTPS sitesi gibi | Port filtrelemekle kalmayıp trafiği inceleyen ağlar. |
Denenme sırası
Son maddeye atlamak yerine listeyi sırayla inin. Her adım bir öncekinden yavaş veya daha kırılgan, atlamanın ödülü yok.
- WireGuard. İçe aktarın, iki üç farklı sunucu deneyin, her birine bir dakika verin. Hiçbirinde el sıkışma olmuyorsa ve aynı tünel mobil veride veya başka bir Wi-Fi'da çalışıyorsa sorun bu ağda. WireGuard kurulum rehberi el sıkışmanın başarısız olabileceği diğer sebepleri anlatıyor, önce onları elemek gerekiyor.
- TCP 443 üzerinden OpenVPN. Profil sipariş sayfanızda. Kısıtlayıcı ağların çoğu yalnızca port filtreliyor ve bu onları anında geçiyor. WireGuard'dan yavaş olmasını bekleyin: TCP içinde TCP, paket kaybını kötü yönetiyor.
- VLESS. TCP 443'e izin var ama OpenVPN profiliniz yine ölüyorsa ağ portlardan daha derine bakıyor demektir; denenecek sonraki biçim TLS içine yerleşmiş bir akış.
- Yalnızca protokolü değil konumu da değiştirin. Bir bölgeye VLESS olmuyorsa başkasını deneyin. Filtreleme çoğu zaman küresel değil güzergâha özgü.
vless:// bağlantısını içe aktarma
Bir VLESS sunucusu, vless:// ile başlayan tek satır metin olarak teslim ediliyor. Adres, port, kimlik ve taşıma ayarları hepsi o satırın içinde; her istemcinin panodan tek adımda alabilmesinin sebebi bu. O satıra parola gibi davranın, kimlik bilgisi odur.
v2rayNG, Android
- v2rayNG'yi resmi sürüm sayfasından veya F-Droid'den kurun.
vless://satırını sipariş sayfanızdan kopyalayın.- v2rayNG'yi açın, sağ üstteki artıya dokunun, panodan yapılandırma içe aktar deyin. Sunucu listede belirir.
- Seçmek için üzerine dokunun, sonra sağ alttaki yuvarlak düğmeyle bağlanın. Durum çubuğundaki V simgesi yanar.
- Tünel bozuk demeden önce menüdeki hız testiyle sunucunun yanıt verdiğini kontrol edin.
Hiddify: Android, iOS, Windows, macOS ve Linux
- Platformunuz için Hiddify'ı kurun.
vless://satırı kopyalıyken yeni profil, ardından panodan ekle deyin.- Listeden sunucuyu seçip büyük bağlan düğmesine basın.
- Hiddify birkaç profili yan yana tutuyor; dört konumu birden tutup aralarında geçmek için en kolay istemci bu.
Shadowrocket veya Streisand, iOS
- İkisi de
vless://bağlantısı kabul eden iOS istemcileri. Shadowrocket ücretli, Streisand ücretsiz. İkisi de iş görür. - Bağlantıyı kopyalayın, uygulamayı açın; genelde açılışta panodan sunucu eklemeyi kendisi önerir. Önermezse artı düğmesiyle yapıştırın.
- Özellikle bölünmüş yönlendirme istemiyorsanız yönlendirme kipini global veya her şey için proxy yapın.
- Bağlanın ve ilk seferde iOS'un VPN yapılandırma iznini onaylayın.
Masaüstünde en basit çok platformlu seçenek Hiddify. Doğrudan sing-box veya Xray çalıştıran ileri kullanıcılar aynı bağlantıyı kendi yapılandırma üreticilerine yapıştırabilir, ama zaten öyle çalışmıyorsanız bunun bir avantajı yok.
Bir akşam kazandıran pratik notlar
- Cihaz saatini kontrol edin. TLS de tıpkı WireGuard gibi fena yanlış bir saate duyarlı. Başka bir şeyi suçlamadan önce tarih saati otomatiğe alın.
- İki tüneli aynı anda çalıştırmayın. Bir VLESS istemcisi ve bir WireGuard tüneli, ikisi de sistem VPN'i olmak istiyor. Birini tamamen kapatmadan diğerini açmayın.
- Önce mobil veride test edin. Bağlantı mobil veride çalışıp belirli bir Wi-Fi'da çalışmıyorsa sunucunun kapalı değil ağın filtrelediği doğrulanmış olur.
- Daha yavaş olmasını bekleyin. Fazladan bir TLS katmanı ve bir CDN sıçraması gecikme getiriyor. Sıradan görünmenin bedeli bu ve gerisini düşüren bir ağda ödemeye değer.
- eSIM kurarken VPN'i kapatın. Profil indirmesi operatöre doğrudan ulaşmak zorunda. Bu her protokol için geçerli ve paket alıp önce VPN'i kuranları yakalıyor.
Dürüst sınırlar
En önemli kısım burası ve size bir şey satan sayfaların genelde atladığı kısım da bu.
Hiçbir sağlayıcı, sansürlü bir ağda herhangi bir protokolün çalışacağına söz veremez. Filtreleme değişiyor; bazen haftalık, bazen bir olayın etrafında birkaç günlüğüne, bazen yalnızca bir operatörde diğeri hiç etkilenmezken. Belirli bir ülke için garanti veren ya takip etmiyordur ya da duymak istediğinizi söylüyordur. Biz VLESS'in ne yapmak üzere kurulduğunu söylüyoruz: sıradan trafik gibi görünmek ve ilk denenecek şey olmak. Buna bir söz veya iade iddiası bağlamıyoruz.
VPN güveni taşır, ortadan kaldırmaz. Operatörünüz trafiğinizin nereye gittiğini görmeyi bırakır, tek bir adrese şifreli bağlantınız olduğunu görmeye başlar. Trafiği bu kez öbür uçtaki ağ görür. Ağımız kayıt tutmuyor, kaynak IP adresleri ve bağlantı zaman damgaları hiç saklanmıyor ve sunucular RAM üzerinden çalışıyor, yani yeniden başlatma makineyi siliyor. Ama bu bir tasarımın tarifi, herhangi bir gözlemcinin ne çıkarabileceğine dair bir söz değil. Burada hiçbir şey kimseyi anonim veya izlenemez yapmıyor; aksini söyleyen sayfa size bir his satıyor.
Güvenliğiniz buna bağlıysa yalnızca buna güvenmeyin. Tor kullanın, Tor'u doğrudan engelleyen bir ağda ise köprülerle Tor kullanın. Tor, ticari bir VPN'e göre çok daha güçlü bir rakibe karşı tasarlandı ve ikisi birbirinin yerine geçmiyor. Yerel ağ Tor'u tümüyle engelliyorsa Tor Browser'ı bir VPN bağlantısı üzerinden çalıştırmak makul bir birleşim: VPN erişilebilirliği, Tor tehdit modelini üstleniyor.
Hesap ve uç nokta davranışınız hâlâ önemli. Tünel ağ yolunu değiştiriyor. Bir hesaba giriş yaptığınızı, tarayıcı parmak izinin peşinizden geldiğini veya telefonunuzdaki bir uygulamanın konum bildirdiğini değiştirmiyor. Bunlar ayrı sorunlar ve ayrı cevapları var.
Şimdi ne yapmalı
Siparişiniz varsa sipariş sayfanızı sihirli kodla açın, yalnızca en yakınını değil dört konumun her birinden birer VLESS bağlantısı aktarın ve WireGuard tünellerini de tutun. Birkaç tane tutmanın amacı zaten bu: bir trafik biçimi çalışmayı bıraktığında araştırmak yerine geçiş yapmak.
Hâlâ satın almadan okuyorsanız VPN sayfası nelerin teslim edildiğini ve 7 ile 365 gün arası plan sürelerini listeliyor; listelediğimiz her sunucuda aynı tek hesap geçerli. Sorununuz sansürlü bir ülke değil işteki veya oteldeki bir ağsa, bunların hiçbirinden önce OpenVPN TCP profili ve WireGuard rehberiyle başlayın. Ödeme yapmadan önce bir kripto ödemesinin neyi açık ettiğini anlamak isterseniz onun da ayrı rehberi var: Monero, USDT veya Bitcoin ile ödeme.
