Sadece engel DNS katmanındaysa. Operatörün DNS sunucusu siteyi yanlış adrese çözüyorsa, başka bir DNS'e geçmek siteyi açar; engel IP adresinde ya da bağlantı sırasında okunan sunucu adında duruyorsa DNS değişikliği hiçbir şey yapmaz.
Aşağıda önce üç engel türünün farkı, sonra şifreli DNS'in sınırı ve en sonda DNS yetmediğinde izlenecek yol var. Yasaklı Siteler bir VPN hizmeti satıyor; bu yüzden yazının son bölümünde kendi çözümümüzü de anlatıyoruz.
Bir sitenin açılması için neler olur
Tarayıcıya bir ad yazdığınızda cihaz önce o adın hangi IP adresine karşılık geldiğini sorar. Bu soruya DNS çözümleyicisi cevap verir. Cevap geldikten sonra tarayıcı o adrese bağlanır ve TLS el sıkışmasında ulaşmak istediği sunucunun adını da iletir. Bu ada SNI denir.
Üç adım, üç ayrı engel noktası demek. Ad yanlış adrese çözülebilir, adrese giden yol kesilebilir ya da el sıkışmadaki ad okunup bağlantı düşürülebilir. DNS ayarı sadece birincisini etkiler.
DNS değiştirmek hangi engelde işe yarar
DNS engelinde operatörün çözümleyicisi siteyi ya hiç çözmez ya da bir uyarı sayfasının adresini verir. Aynı sorguyu başka bir çözümleyiciye sorduğunuzda doğru adres gelir ve site açılır. Bu yüzden DNS değiştirmek bu tür engelin klasik çözümüdür.
Ama engelin DNS'te olup olmadığını önceden bilemezsiniz. Bir site DNS değişikliğinden sonra da açılmıyorsa engel büyük ihtimalle başka bir katmandadır. DNS değiştirmenin neden her zaman yetmediğini ayrı bir sayfada anlattık.
Tarihten bir örnek: 2014 Twitter engeli
Türkiye'de Twitter engeli 20 Mart 2014'te başladı. İnforrm'un aktardığına göre kullanıcılar kısa sürede Google'ın 8.8.8.8 adresine geçerek engeli aştı, hatta bu adres duvar yazısı olarak bile görüldü. Aynı kaynağa göre 22 Mart 2014'te Google DNS ve başka DNS sunucuları da engellendi.
The Register'ın 31 Mart 2014 tarihli haberine göre Google, Türk operatörlerin DNS hizmetini araya girerek yakaladığını doğruladı: sahte sunucular sorgulara yanlış adres döndürüyordu. Bu örnek, DNS değişikliğinin kalıcı bir çözüm olmadığını gösteriyor; operatör bu yolu da kapatabiliyor.
IP ve SNI engelinde DNS neden yetmez
IP engelinde operatör, sitenin sunucu adresine giden trafiği keser. Doğru adresi hangi DNS'ten alırsanız alın, o adrese giden paket yolda düşer. Büyük sitelerde adres bir ağın ortak parçası olduğunda ilgisiz sitelerin de bu engelden etkilenmesi mümkündür.
SNI engelinde ise adres doğrudur ve bağlantı kurulur, ama el sıkışmada sunucu adı okunur. RFC 8744 bu alanın şifrelenmeden gittiğini yazıyor ve internet sağlayıcıların ya da güvenlik duvarlarının bu bilgiyi site engellemek için kullanabildiğini sayıyor. Bu durumda DNS'i değiştirmek hiçbir şeyi değiştirmez, çünkü okunan şey DNS'te değil, bağlantının içinde.
Pratik bir ipucu: aynı site DNS değişikliğinden sonra yanlış bir sayfa gösteriyorsa DNS katmanı bozuk demektir; sayfa hiç yüklenmeden zaman aşımı veriyor ya da bağlantı sıfırlanıyorsa IP veya SNI katmanından şüphelenin.
Şifreli DNS neyi gizler, neyi gizlemez
DoH sorguları HTTPS ile, DoT ise TLS ile şifreler. Google'ın belgesine göre DoH 443, DoT 853 portunu kullanır ve Google bunun istemci ile çözümleyici arasındaki gizliliği ve güvenliği artırdığını söylüyor. RFC 8484, Ekim 2018'de yayımlanan DoH standardı, aradaki cihazların sorguyu okumasını ve sorguya sahte yanıt karıştırılmasını zorlaştırdığını anlatıyor.
Sınırı da aynı standart çiziyor: DoH istemcinin IP adresini gizlemez, sorguyu da çözümleyiciden saklamaz. Bağlandığınız sitenin IP adresi ve TLS içindeki SNI ise şifreli DNS'in kapsamı dışında kalır. Cloudflare'in 8 Aralık 2020 tarihli yazısına göre bu açığı kapatmaya Encrypted Client Hello çalışıyor ve onun anahtarı da DoH üzerinden dağıtılıyor.
Sonuç: şifreli DNS, yalnızca DNS katmanındaki engele ve DNS yanıtının değiştirilmesine karşı işe yarar. IP ve SNI engelini açmaz.
Discord için hangi DNS
Teknoblog'un 9 Ekim 2024 tarihli haberine göre Discord'a erişim, Ankara 1. Sulh Ceza Hakimliği kararıyla engellendi ve karar BTK'nın sitesinde yayımlandı. Bu tür bir kararda operatörün hangi katmanda uygulama yaptığı kamuya açık değil; bu yüzden hangi DNS'in işe yarayacağını önceden söylemek doğru olmaz.
Adım adım gitmek en sağlıklısı: önce şifreli DNS'i deneyin, olmazsa engelin DNS dışında olduğunu varsayın. Discord'a özel yol için Discord sayfasına bakabilirsiniz.
DNS yetmediğinde: ölçütler ve bir seçenek olarak Yasaklı Siteler
Yasaklı Siteler kendi VPN hizmetini satıyor, yani bu bölümde taraf olduğumuz için hizmetleri sıralamıyoruz. Ücretsiz VPN'ler ve başka protokoller dahil her seçeneği şu ölçütlerle kendiniz tartabilirsiniz.
Engeli IP ve SNI katmanında da aşmak istiyorsanız DNS yerine tüm trafiği tünelleyen bir yola ihtiyaç duyarsınız. Burada DPI'ye karşı araçlar da bir seçenek; DPI engelini anlatan sayfa onların sınırını gösteriyor.
- Protokol hangisi ve istemci seçeneği var mı; VLESS gibi açık bir protokolde ücretsiz istemciler çoktur.
- Hizmet kayıt politikasını açıkça yazıyor mu, yoksa sadece 'kayıt tutmuyoruz' mu diyor.
- Hizmetin sizin operatörünüzde ve cihazınızda gerçekten çalıştığı gösteriliyor mu.
- Cihaz sınırı, deneme süresi ve fiyat açık yazılmış mı.
- Destek ile nasıl iletişime geçildiği belli mi.
Yasaklı Siteler bu ölçütlere nerede uyuyor
Hizmet VLESS protokolüne dayanıyor. Deneme süresi 10 gün ücretsiz ve cihaz sınırı yok: tek anahtar istediğiniz kadar cihazda çalışıyor. Giriş noktası Telegram botu @yasaklisitelerbot; web sitesinde üyelik yok.
Eksik taraflarımız da var: kendi uygulamamız yok, ücretsiz VLESS istemcileri kullanıyorsunuz. Sunucu hız tablosu yayımlamıyoruz, hangi operatörde hangi yolun çalıştığını da sayısal olarak vermiyoruz.
Botla nasıl başlanır
İlk adım, Telegram'da @yasaklisitelerbot'u açıp 10 gün ücretsiz deneme ile kişisel VLESS anahtarınızı almak. Sonra anahtarı ücretsiz bir VLESS istemcisine, örneğin Hiddify ya da v2rayNG'ye ekleyip bağlanırsınız. Genel akış VPN ile giriş sayfasında da anlatılıyor.
Kaynaklar
- RFC 8744: Issues and Requirements for SNI Encryption in TLS
- RFC 8484: DNS Queries over HTTPS (DoH)
- Google Public DNS: DNS için güvenli aktarımlar
- Cloudflare: Encrypted Client Hello
- Inforrm: Twitter banned in Turkey, users fight back
- The Register: Turkey Twitter ban and Google DNS
- Teknoblog: Discord erişime engeli getirildi