Deep packet inspection nedir ve VPN'ler nasıl yeniyor

ISP'in gönderdiğin her paketi görüyor. Çoğu zaman sadece header'ı okuyor: kaynak IP, hedef IP, port numarası. Routing için bu yeterli. Deep packet inspection daha öteye gidiyor. Paketi açıyor ve payload'ın kendisini inceliyor.

İnsanların başvurduğu analoji posta. Posta çalışanı bir zarftaki adresi sıralamak için okur. DPI ise zarfı açan, mektubu okuyan ve içine bakarak teslim edip etmeyeceğine karar veren posta çalışanı. Şu farkla, DPI saniyede milyonlarca pakette hat hızında çalışıyor ve karar paket hedefe ulaşmadan önce veriliyor.

Hükümetler VPN'leri böyle blokluyor. IP adresinden değil (değiştirmesi çok kolay), port numarasından değil (herhangi bir protokol herhangi bir portta çalışabilir), trafiğin kendisine bakarak ve hangi protokolün ürettiğini tanımlayarak.

DPI sistemleri gerçekte ne yapar

Bir DPI cihazı senle internet arasındaki ağ yolunda inline oturuyor. Her paket bundan geçiyor. Cihaz akış durumu tutuyor, TCP stream'leri yeniden montajlıyor ve yeniden montajlanan veriye karşı sınıflandırma motorları çalıştırıyor.

Sınıflandırma katmanlarda gerçekleşiyor. İlk olarak sistem port numaralarını ve temel protokol header'larını kontrol ediyor. Sonra bilinen protokol fingerprint'lerine karşı imza eşleştirmesi çalıştırıyor. Sonra ilk iki katman güvenli bir eşleşme üretmediyse, trafik özelliklerini istatistiksel sınıflandırıcılara besliyor. Bazı sistemler aktif probing de yapıyor: şüpheli trafik gördüklerinde hedef sunucuya kendileri bağlanıp ne çalıştırdığını ifşa etmesi için provoke etmeye çalışıyorlar.

Bu teorik değil. Cisco, Huawei, Sandvine ve Allot dünya çapında ISP'lere ve hükümetlere DPI kutuları satıyor. Sandvine'in PacketLogic'i Mısır, Türkiye, Libya ve Suriye'de bulundu. Huawei'nin teknolojisi Çin'in Great Firewall'u içinde çalışıyor. Bunlar gerçek satış ekipleri ve gerçek dağıtımları olan gerçek ürünler.

DPI sansür için nerede dağıtılıyor

En agresif DPI programlarına sahip ülkeler bunu saklamıyor. Bazıları satın alma belgeleri yayımlıyor.

Çin'in Great Firewall'u en eski ve en sofistike sistem. Pasif DPI'ı (imza eşleştirme, istatistiksel sınıflandırma, makine öğrenmesi) aktif probing ile birleştiriyor. GFW proxy olabilecek bir bağlantı gördüğünde, aynı sunucuya kendi bağlantısını fırlatıyor, protokole özgü yanıtlar çıkarmak için tasarlanmış hazırlanmış payload'lar gönderiyor. Araştırmacılar 12.000'den fazla farklı IP adresinden gelen probe'ları belgelendi. Dört aylık bir çalışmada tek bir sunucuya karşı 50.000'den fazla aktif probe kaydedildi, replay-bazlı probe'ların %25'i orijinal bağlantıdan bir saniye içinde geldi.

Rusya'nın TSPU'su (Tehditlere Karşı Mücadele Teknik Sistemi) daha yeni ama iyi-finanse edilmiş. İnternet düzenlemesinden sorumlu ajans Roskomnadzor'un AI destekli trafik analizi için 2027'ye kadar 2.27 milyar ruble bütçesi var. TSPU kutuları Rusya'daki her lisanslı ISP'nin içinde oturuyor. Zorunlular. Sistem ulusal seviyede spesifik protokolleri throttle ya da blok edebiliyor ve ediyor. Rusya 2021'de TSPU kullanarak Twitter'ı throttle etti. 2024 ortasına kadar TSPU WireGuard bağlantılarını neredeyse %100 doğrulukla tespit edip blokluyordu.

İran Çin DPI teknolojisi ithal ediyor ve kendi filtreleme altyapısını işletiyor. Haziran 2025 "stealth blackout"u sırasında yetkililer interneti tamamen kapatmadı. Onun yerine, normal HTTPS taramayı işlevsel bırakırken VPN protokollerini seçici olarak bloklamak için DPI kullandılar. Bu yeni playbook: hedefli protokol bloklaması tam kapatmalardan daha ucuz ve politik olarak daha az maliyetli.

Endonezya farklı bir yaklaşım alıyor. Hükümet internet trafiğini vatandaş kimlik numaralarına eşliyor, DPI-sınıflandırılmış akışları spesifik kişilere bağlıyor. Bu sadece sansür değil. Atıflı gözetim.

Freedom House'un 2025 raporu küresel olarak üst üste 15. yıl düşen internet özgürlüğünü belgeledi. İncelenen 72 ülkenin 57'si insanları çevrimiçi ifade için tutuklamıştı. DPI bu uygulama eylemlerinin çoğunun arkasındaki olanak sağlayan teknoloji.

DPI VPN trafiğini nasıl tanımlar

DPI VPN bağlantılarını yakalamak için üç farklı yöntem kullanıyor. Her biri farklı bir zayıflığı hedefliyor.

Yöntem 1: Protokol fingerprint'leme

Her protokolün paketlerinde yapısal pattern'leri var. DPI sistemleri bu pattern'leri eşleştiren imza veritabanları tutuyor.

WireGuard en bariz örnek. Handshake initiation mesajı her zaman tam olarak 148 byte. İlk byte 0x01 (mesaj tipi), ardından üç sıfır byte, 4-byte sender index ve 32-byte şifrelenmemiş geçici public key. Bu yapı asla değişmiyor. Paket boyutu artı ilk dört byte'ı eşleştiren bir DPI kuralı her WireGuard bağlantısını ilk pakette yakalıyor.

OpenVPN sadece biraz daha zor. USENIX Security'de yayımlanan 2022 makalesi ("OpenVPN is Open to VPN Fingerprinting") araştırmacıların OpenVPN akışlarının %85'ini sıfır false positive'le tanımlayabileceğini gösterdi. Yöntem lab verisine değil gerçek bir ISP trafiğine karşı çalıştı. 41 farklı obfuscation konfigürasyonunu test ettiler ve hâlâ 34'ünü tanımladılar. OpenVPN'in control channel framing'i, opcode byte yapısı ve TLS handshake'inin timing'i hepsi tanınabilir imzalar üretiyor.

TLS fingerprint'leme başka bir katman ekliyor. JA3 ve JA3S hashing TLS ClientHello'dan parametreleri (cipher suite'leri, extension'lar, desteklenen gruplar, eliptik eğri nokta formatları — ve SNI hostname yanlarında plaintext olarak görünür) alır ve bunları bir fingerprint'e hash'ler. VPN client'ın bilinen bir tarayıcıyla eşleşmeyen ClientHello üretirse bağlantı flag'leniyor. JA3 hash'i tek başına Chrome, Firefox, curl ve çoğu proxy client'ı arasında ayrım yapabiliyor. Çin'in GFW'si en azından 2019'dan beri TLS fingerprint'leme kullanıyor.

Yöntem 2: İstatistiksel analiz

Fingerprint'leme başarısız olduğunda istatistik açığı kapatıyor. Etiketli trafik veri kümeleri üzerinde eğitilmiş makine öğrenmesi sınıflandırıcıları paket boyutu dağılımları, varış-arası timing, akış süresi ve byte entropisine göre VPN bağlantılarını tespit edebiliyor.

Yayımlanan araştırma bu sınıflandırıcıların şifrelenmiş VPN trafiğinde %80-95 doğruluk elde ettiğini gösteriyor. Random Forest modelleri spesifik olarak Shadowsocks'ta %85+ doğruluğa ulaşıyor. Sınıflandırıcının hiçbir şey şifresini çözmesine gerek yok. Trafiğin şekline bakıyor: paketlerin ne kadar büyük olduğu, ne sıklıkta geldikleri, byte stream'in ne kadar rastgelelik içerdiği.

Yüksek entropi aslında kırmızı bayrak. Normal HTTPS trafiğinin yapılı elementleri var: sertifika zincirleriyle TLS handshake, HTTP/2 frame header'ları, content-length alanları. Shadowsocks ve diğer SOCKS-bazlı proxy'ler ilk byte'tan neredeyse uniform rastgelelik akışları üretir. Bu seviye entropi normal web taramada alışılmadık ve sınıflandırıcılar buna hızla yakalanır.

Paket boyutu dağılımı da önemli. Web tarama yaygın içerik boyutları etrafında spesifik kümelenmeyle küçük istek paketleri ve daha büyük yanıt paketlerinin karakteristik bir pattern'ini üretiyor. Aynı web trafiğini taşıyan VPN tunnel'ı encapsulation overhead'i ekliyor, boyut dağılımını kaydırıyor ve doğrudan HTTPS bağlantılarından farklı pattern'ler yaratıyor.

Yöntem 3: Aktif probing

Bu Çin'in uzmanlık alanı, ama Rusya ve İran benimsiyor.

Aktif probing şöyle çalışıyor: DPI sistemi güvenle sınıflandıramayacağı bir bağlantı görüyor. Hemen bloklamak yerine hedef IP ve port'u kaydediyor. Sonra ayrı bir makineden o sunucuya kendi bağlantısını açıyor ve dikkatlice oluşturulmuş payload'lar gönderiyor.

Sunucu Shadowsocks çalıştırıyorsa, probe rastgele payload gönderiyor. Bir Shadowsocks sunucusu bunun şifresini çözmeye çalışacak, başarısız olacak ve ya bağlantıyı kapatacak ya da ayırt edici bir hata yanıtı üretecek. Meşru bir HTTPS sunucusu uygun TLS uyarısı dönecek.

Sunucu Trojan çalıştırıyorsa, probe HTTP isteği gönderiyor. Düzgün konfigüre edilmiş bir Trojan sunucusu gerçek bir web sitesi servis edecek. Ama probe sonra TLS sertifikasının certificate transparency log'larındakiyle eşleşip eşleşmediğini, sunucunun timing'inin gerçek bir web sunucusuyla eşleşip eşleşmediğini, HTTP yanıt header'larının iddia edilen sunucu yazılımıyla tutarlı olup olmadığını kontrol ediyor.

Aktif probing'in ölçeği muazzam. Honeypot çalıştıran araştırmacılar binlerce farklı Çin IP adresinden gelen probe'lar gördü. Probe'lar blacklist'ten kaçınmak için birden fazla ASN'e dağıtılmış. HTTP, TLS ve özel protokole özgü payload'ları test ediyorlar. Sunucunun replay edilen ve taze bağlantılara farklı yanıt verip vermediğini görmek için yakalanan trafiği replay ediyorlar.

Protokol-bazlı tespit oranları

Rus TSPU testi, Çin GFW gözlemleri ve araştırmacı raporlarından (Habr, Şubat 2026) toplanan veri:

Protokol	Tespit oranı	Tespit süresi	Yöntem
OpenVPN	~%100	30 saniyenin altında	Opcode yapısında imza eşleştirme
WireGuard	~%100	İlk paket	148-byte handshake fingerprint
Shadowsocks (AEAD)	~%95	Dakikalar	Entropi analizi + replay tespiti
Trojan	~%90	Saatler	Aktif probing + cert doğrulama
VMess	~%80	Dakikalar	Padding/timing istatistiksel analiz
VLESS Reality	<%5	Yok	Bilinen güvenilir tespit yöntemi yok

Bu rakamlar kayıyor. Bugün %80'deki bir protokol altı ay sonra %99'da olabilir. Ama hiyerarşi 2024 ortasından beri stabil: geleneksel VPN protokolleri kolayca tespit edilebilir, Reality öncesi aşma araçları çabayla tespit edilebilir ve Reality-bazlı bağlantılar meşru HTTPS'ten ayırt edilmesi zor kalıyor.

Protokoller DPI'dan nasıl kaçınmaya çalışıyor

Kaçınma stratejileri üç nesle düşüyor.

Nesil 1: Obfuscation sarmalayıcıları

En erken yaklaşım VPN trafiğini başka bir katmana sarmaktı. OpenVPN kullanıcıları bağlantılarını obfs4, Stunnel ya da trafiği rastgeleleştiren ya da TLS'e saran benzer araçlardan geçirdi. obfs4 herhangi bir tanınabilir yapısı olmayan trafik üretmeyi hedefliyordu.

Bu basit imza eşleştirmesine karşı çalıştı. İstatistiksel analize karşı başarısız oldu. Ağdaki diğer her şey yapılı HTTP/S, DNS ya da QUIC olduğunda rastgele gürültü göze çarpıyor. Çin entropi sınıflandırıcılarını dağıtınca, obfs4-sarmalı bağlantılar flag'lemesi kolay oldu.

Shadowsocks bir incelik temsil etti. AEAD cipher'ları authentication ekledi ve sonraki sürümler replay saldırılarını zorlaştırmaya çalıştı. Ama temel sorun kaldı: Shadowsocks trafiği herhangi bir meşru protokole benzemiyor. Çok rastgele, çok uniform, çok temiz. Eylül 2024'e kadar Rus TSPU'su Shadowsocks akışlarının %95'ini yakalıyordu.

Nesil 2: Protokol mimicry

Trojan, hiçbir şeye benzemek yerine spesifik bir meşru protokole (HTTPS) benzemeye çalışan ilk geniş çapta dağıtılan araçtı. Bir Trojan sunucusu geçerli bir TLS sertifikası sunuyor ve authenticated olmayan bağlantılara gerçek bir web sitesi servis ediyor. Sadece doğru parolalı bağlantılar proxy'leniyor.

Bu önemli bir iyileştirmeydi. Pasif DPI Trojan'ı sadece trafiğe göre gerçek bir HTTPS sunucusundan ayıramazdı. Sorun aktif probing'di. Çin'in GFW'si şüpheli Trojan sunucularına bağlanmaya, servis edilen web sitesinin gerçekten orada barındırılıp barındırılmadığını kontrol etmeye, sertifika detaylarını kıyaslamaya ve yanıt timing'ini ölçmeye başladı. Ağustos 2025'e kadar Trojan'ın tespit oranı yaklaşık %90'a tırmandı.

Nesil 3: Ayırt edilemez trafik

VLESS Reality sertifika sorununu çözdü. Kendi TLS sertifikasını üretmek yerine, bir Reality sunucusu gerçek kamuflaj hedefiyle (microsoft.com gibi) iletişim kurar ve o sunucunun gerçek sertifikasını client'a forward eder. Sertifika zinciri gerçek. OCSP stapling gerçek. TLS fingerprint'i gerçek bir tarayıcıyla eşleşiyor çünkü client uTLS kullanarak tarayıcı-aynı ClientHello mesajları yeniden üretiyor.

Aktif probing duvara çarpıyor. Bir probe geçerli authentication olmadan Reality sunucusuna bağlandığında, sunucu bağlantıyı doğrudan gerçek kamuflaj hedefine proxy'liyor. Probe gerçek microsoft.com'la konuşuyor. Tespit edilecek sahte hiçbir şey yok.

Habr verisindeki VLESS Reality için <%5 tespit oranı protokol analizinden değil. Operasyonel hatalardan: insanların alışılmadık port'lar kullanması, kamuflaj hedefini yanlış konfigüre etmesi ya da meşru web sitelerini barındırmayan IP aralıklarında sunucu çalıştırması.

Tescilli yaklaşımlar

NordVPN "VPN trafiğini düzenli web taraması olarak gizleyen protokol" olarak tanımlanan NordWhisper'ı gönderiyor. Teknik detaylar seyrek. ProtonVPN TLS-bazlı obfuscation kullandığı görünen Stealth modu sunuyor. Hiçbir şirket kaynak kodu ya da detaylı protokol özellikleri yayımlamıyor, bu da sansür direnç iddialarının bağımsız doğrulamasını imkansız kılıyor.

Açık kaynak sansür-aşma topluluğu genelde tescilli yaklaşımlara şüpheyle yaklaşıyor. Kapalı protokoller araştırmacılar tarafından denetlenemiyor, kontrollü ortamlarda bilinen DPI sistemlerine karşı test edilemiyor ve etkililikleri konusunda tamamen vendor iddialarına dayanıyor.

Silahlanma yarışı durmuyor

Burada açıklanan her tespit tekniği bir zamanlar imkansız sayılıyordu. On yıl önce çoğu internet sansürü DNS zehirleme ve IP blacklisting'e dayanıyordu. DPI pahalı ve yavaştı. Bu değişti. Donanım hızlandı. ML modelleri iyileşti. Hükümetler gerçek bütçeler ayırdı.

Rusya'nın AI destekli trafik analizine 2.27 milyar ruble yatırımı tek seferlik bir gider değil. Devam eden geliştirme. Çin'in GFW ekibi en üst güvenlik konferanslarında trafik sınıflandırması üzerine akademik makaleler yayımlıyor. Bunlar amatör değil.

Aşma tarafının yanıtı tespit barını yükseltmek oldu, imkansız değil daha zor. Obfuscation birkaç yıl kazandırdı. Protokol mimicry birkaç yıl daha kazandırdı. Reality tespiti, bir VPN bağlantısını aynı görünen meşru bir HTTPS bağlantısından ayırmayı gerektirdi, ki bu öncekilerden temelde daha zor bir sorun.

Ama "temelde daha zor" "kalıcı olarak imkansız" anlamına gelmiyor. Reality'ye karşı potansiyel gelecek saldırılar şunları içeriyor:

Timing korelasyonu: yerel trafiğinin timing'ini kamuflaj hedefinin uçunda gözlemlenen trafiğe karşı eşleştirme
Sunucu itibarı: ağ taramasıyla bilinen Reality sunucu IP'leri veritabanları kurmak
Davranışsal analiz: yüksek bandwidth'le microsoft.com'a alışılmadık derecede uzun HTTPS bağlantıları sürdüren IP adreslerini flag'lemek
ECH benimsemesi: Encrypted Client Hello evrensel olursa, microsoft.com olduğunu iddia ederken onu desteklemeyen sunucular göze çarpar

RPRX ve XRay geliştirme ekibi bu vektörlerden haberdar. XRay core güncellemeleri birkaçını zaten ele aldı. v24.12.18'de eklenen XHTTP transport'u, trafiği uzun-süreli tunnel'lar yerine normal web API çağrılarına benzeyen birden fazla kısa-süreli HTTP oturumu arasında bölüyor.

VPN seçimi için bunun anlamı

Sansür için DPI çalıştırmayan bir ülkedeysen (Avrupa'nın çoğu, Kuzey Amerika, Güney Amerika ve Afrika'nın bazı bölümleri), protokol seçimi tespitten kaçınma için fazla önemli değil. WireGuard'ın hızı ve basitliği onu en iyi seçenek yapıyor. Kullan.

Çin, Rusya, İran ya da VPN protokollerini aktif olarak bloklayan herhangi bir ülkedeysen, protokol seçimi VPN'in çalışıp çalışmamasında en önemli tek faktör. WireGuard bloklanır. OpenVPN daha hızlı bloklanır. Düzenli HTTPS taramasından ayırt edilemez trafik üreten bir protokole ihtiyacın var.

Bu yüzden Fexyn WireGuard ve OpenVPN'in yanında VLESS Reality çalıştırıyor. WireGuard sunucusuna bağlantın bloklandığında, Fexyn'in protokol rotasyon motoru otomatik olarak TCP üzerinden ya da XHTTP'den VLESS Reality'ye geçiyor. Trafiğin microsoft.com'a normal HTTPS bağlantısına benzemeye başlıyor. WireGuard'ı az önce bloklayan DPI sisteminin VPN trafiğini aynı ağdan akan milyonlarca meşru HTTPS bağlantısından ayırmak için güvenilir bir yolu yok.

DPI gerçek, ölçekte dağıtıldı ve iyileşiyor. Hayatta kalan protokoller saklamayı denemeyenler. Sadece her şey gibi görünüyorlar. Tehdit modeli düşmanca ağlarda merkezi olan kullanıcılar için — özellikle gazeteciler — protokol seçimi herhangi bir VPN'deki en sonuçsal tek ayar.

DPI'ın iş başında en somut günlük örneği Körfez ve Mısır'da VoIP bloklamasıdır: Etisalat, du, STC, Mobily, Zain ve büyük Mısır taşıyıcıları metin mesajlaşmasının geçmesine izin verirken WhatsApp, FaceTime ve Skype çağrı sinyalini paket seviyesinde düşürmek için DPI kullanıyor. Taşıyıcı çağrı geliri korunması güdü; o VoIP sinyallerinin teknik fingerprint'i mekanizma. Ülke-ve-uygulama rehberleri — WhatsApp için VPN, FaceTime için VPN, Skype için VPN — Fexyn'in hangi protokolünün bunları yeniden çalıştırdığını anlatıyor.

Ülkeler arası tablo için, global sansür haritası belgelenmiş DPI altyapısına sahip 18+ ülkeyi tek bir ekranda yüzeye çıkaran "DPI dağıtıldı" filtresine sahip.