Eskiden bir siteyi engellemek bir kara listeydi: ağ, yasaklı bir adres istediğinizi görür ve "hayır" derdi. Derin Paket İncelemesi (DPI) bunun gelişmiş hâli. Zarfın üstündeki adresi okumakla kalmaz — trafiğinizin şeklini okur. Bir proxy ya da VPN'in bir gün çalışıp ertesi gün gizemli biçimde ölmesinin sebebi budur.
DPI'ı kim yapar — ve ne görür?
DPI egzotik bir şey değil. İki grup sürekli yapıyor:
- Devletler, sansür için — ülkenin ağ sınırlarında trafiği inceleyip VPN, proxy ve sansür aşma araçlarını tespit edip yavaşlatmak için.
- Sistem & ağ yöneticileri — ISS'ler, üniversiteler, kurumsal BT — kendi ağlarında trafiği şekillendirmek, loglamak veya engellemek için.
Klasik inceleme yalnızca başlığı okur — paketin nereye gittiğini. DPI ise içine bakar: yük (payload), TLS handshake, paket boyutları ve zamanlaması, ve protokol imzaları.
Asıl ipucu genelde protokol imzasıdır. Birçok tünel kendini daha ilk baytlarında ele verir. DPI o imzayı bir kez öğrendiğinde, eşleşen her şeyi düşürür — kara listeye gerek kalmaz.
OpenVPN ve WireGuard neden yakalanır?
İnsanların düştüğü tuzak bu. OpenVPN, WireGuard ve IPSec'in şifrelemesi iyidir — ama trafiği tanınabilir. DPI şifreyi kırmaz; sadece "bu OpenVPN" ya da "bu WireGuard" diye tanır ve keser. Daha büyük, daha ünlü bir VPN'e sarılmak işe yaramaz; çünkü tüm sorun onun tanınabilir olmasıdır.
Asıl hamle: cipher'ı değil, imzayı değiştir
Yani mesele hiçbir zaman "RC4 ile şifreleyelim" değildi. Asıl oyun, DPI'ın dışarıdan
gördüğü protokol imzasını değiştirmek — bağlantıyı bir VPN yerine sıradan web
trafiğine benzetmek. Bu iş lokal bir client'ta olur: uygulaman
localhost'a bağlanır, client veriyi bir gizleme (obfuscation) katmanına sarar,
ve karşı tarafta bunu açan bir sunucu/relay bulunur.
Bunu gerçekten yapan araçlar
Cloak
Cloak, OpenVPN gibi bir şeyin önünde durur. OpenVPN'in şifrelemesi kalır — Cloak'ın işi OpenVPN'in karakteristik trafiğini gizlemek: paket metadata'sını yeniden yazıp akışı normal web trafiğine benzetir ve aktif probing'e (sansürcünün sunucunu dürtüp VPN mi diye test etmesi) karşı önlem alır.
AmneziaWG
Farklı bir yaklaşım. WireGuard'ın kriptografisini yeniden yazmak yerine AmneziaWG, DPI'ın WireGuard'ı tanımak için kullandığı paket özelliklerini değiştirir — handshake/veri paketi header'larını değiştirir, paket boyutlarını değiştirir ve junk paketleri ekleyebilir. Böylece "bu kesin WireGuard" imzası bozulur.
VLESS + REALITY
İran gibi ağır sansür ortamlarında kullanılır. Fikir şu: DPI ya da aktif prob yapan bir sistemin karşısında sunucun bir VPN gibi değil, normal bir TLS / web servisi gibi görünmeli. REALITY, yetkili client'ı ayırt edemezse bağlantıyı gerçek bir web sitesine yönlendirecek şekilde tasarlanmıştır:
Client │ (sıradan TLS gibi görünür) ▼ İnternet │ ▼ REALITY sunucu ├─ yetkili client → tünel └─ prob / yabancı → gerçek bir web sitesi
Dürüst uyarı (2026)
"Şunu kur, İran'da kesin çalışır" diye bir şey yok. İran'ın DPI'ı sürekli gelişiyor — güncel ölçümler REALITY, WireGuard ve hatta TLS fragmentation'ın bazı İran ağlarında tespit edilip engellendiğini raporluyor. Obfuscation çözülmüş bir mesele değil, bir silahlanma yarışı; bu ay çalışan gelecek ay yakalanabilir.
Temiz bir proxy exit burada devreye girer
Obfuscation seni görünmeden dışarı çıkarır; exit IP ise vardığında hedefin sana güvenip güvenmeyeceğine karar verir. Datacenter aralıkları herkese açıktır ve "gerçek kullanıcı değil" diye kolayca puanlanır — yani kusursuz gizlenmiş bir tünel bile sitelerin zaten güvenmediği bir IP'ye düşebilir. İşte bir proxy tam burada çok etkilidir:
- Residential proxy'ler gerçek tüketici cihazları üzerinden çıkar — sıradan bir ev kullanıcısı gibi görünürsün, çünkü ağda öylesin.
- Mobil proxy'ler binlerce gerçek telefonun paylaştığı operatör IP'leri üzerinden çıkar ve toptan engellemesi çok zordur.
Hepsini birleştirmek
DPI'ı aşmak bir numara değil, bir yığındır: imzayı gizle (Cloak / AmneziaWG / REALITY) ki normal web trafiğine benze, modern cipher kullan — asla RC4 — ve temiz bir residential veya mobil proxy'den çık ki hedef sana güvensin. "Daha büyük VPN kullan" refleksini bırak; seni yakalatan şey tanınabilir olmandır.
Proxysterr, işin exit yarısını doğru yapar: tam da bunun için kurulmuş residential ve mobil havuzlar, kripto ile ödeme, KYC yok, veride son kullanma yok. Gizlenmiş tünelini bir Proxysterr endpoint'ine yönelt, tüm zinciri çalıştıran temiz ve güvenilir çıkışı elde et.