SNI (Server Name Indication), tarayıcınızın TLS bağlantısının ilk mesajında hangi alan adına gitmek istediğini sunucuya bildirdiği alandır. Bu ad şifrelenmeden gönderilir; yani sayfanın içeriği HTTPS ile gizlense de, hangi siteye bağlandığınız yol üzerindeki cihazlara okunabilir durumda kalır.
Bu açıklık, alan adına bakarak engelleme yapan sistemlerin dayanağıdır. Aşağıda alanın ne yaptığını, nasıl okunduğunu ve ECH ile Reality'nin bu okumaya karşı ne yaptığını sırayla bulacaksınız.
SNI, el sıkışmanın neresinde duruyor
Aynı IP adresinde onlarca site barınabilir. Sunucu bağlantıyı alınca hangisinin istendiğini bilmek zorundadır, çünkü doğru sertifikayı ona göre seçer. RFC 6066'nın SNI bölümüne göre TLS'nin kendisinde istemcinin sunucuya hedef adı söylemesini sağlayan bir mekanizma yoktu; server_name uzantısı bu boşluğu doldurmak için eklendi.
İstemci bu adı ClientHello mesajında, yani şifreli oturum henüz kurulmadan önce gönderir. Anahtar değişimi o mesajdan sonra gelir; ad ise şifreleme devreye girmeden iletildiği için düz metin olarak yoldan geçer.
Operatör SNI'ye bakarak siteyi nasıl engeller
Cloudflare'in 2020 tarihli yazısı SNI'yi, belirli bir istemcinin hangi sunucuyla konuştuğunu gösteren en net işaret olarak niteliyor. Bağlantıyı taşıyan bir cihaz ClientHello'yu okuyup alan adını bir yasak listesiyle karşılaştırabilir ve eşleşirse bağlantıyı keser ya da yanıt vermeden bırakır.
RFC 8744 bu kullanımı açıkça sıralıyor: belirli hizmetleri filtrelemek veya sansürlemek, internet sağlayıcılarının ebeveyn denetimi ya da kimlik avı siteleri için içerik filtrelemesi, kurumsal güvenlik duvarlarının uygunsuz görülen siteleri kapatması. Aynı belge, IP adresi ve DNS gibi diğer izleme kanalları görünmez oldukça açık SNI'nin ana izleme noktasına dönüştüğünü de not ediyor.
Neden DNS'i değiştirmek yetmez
DNS sorgusu bağlantıdan önce yapılan ayrı bir adımdır; çözücüyü değiştirmek yalnızca o adımı etkiler. ClientHello'daki ad ise hangi çözücüyü kullanırsanız kullanın aynı şekilde gönderilir. Bu yüzden DNS değiştirmenin ne zaman yettiği ve ne zaman yetmediği ayrı bir konudur.
Alan adına bakan sistemin sınırı
Bu tür bir sistem yalnızca adı okur; sayfa içeriğini, yazdıklarınızı ya da çerezlerinizi göremez. Adı okunamayan bağlantıyı ise bu yöntemle ayıklayamaz. Savunmanın iki yolu da buradan çıkar: adı gizlemek ya da okunduğunda zararsız görünecek bir ad göstermek.
ECH: adı şifreleyerek saklamak
Encrypted Client Hello, ClientHello'yu sunucunun açık anahtarıyla şifreleyen bir TLS uzantısıdır. RFC 9849 (Mart 2026) istemcinin iki mesaj kurduğunu anlatır: gerçek değerleri taşıyan iç ClientHello ve zararsız değerler içeren dış ClientHello. Ağda yalnızca dış olan görünür, iç olan onun içinde şifreli taşınır.
Cloudflare'in belgelerine göre ECH açıkken dış SNI ortak bir ad (cloudflare-ech.com) olur ve gerçek site adı yalnızca Cloudflare'in çözebileceği iç kısımda kalır. Aradaki cihazlar bir Cloudflare sitesine gidildiğini görür ama hangisine gidildiğini göremez. Aynı belge, bu özelliğin Free bölgelerde varsayılan olarak açık olduğunu da yazıyor.
ECH'nin kendi sınırı var. Sunucu tarafı onu desteklemelidir ve anahtarlar DNS'teki HTTPS kaydıyla dağıtılır; Cloudflare belgeleri, filtre uygulamak isteyen ağların çözücü düzeyinde ECH'yi kapatabildiğini de belirtiyor. Yani adı gizleyen yöntem, DNS yolunun açık kalmasına bağlıdır.
Reality: gerçek bir sitenin adını göstermek
Reality farklı bir yol izler: adı saklamaz, okunduğunda sorun çıkarmayacak bir ad gösterir. XTLS/REALITY deposunun açıklamasına göre sunucu, hedef olarak seçilen gerçek bir sitenin SNI'sini ve TLS davranışını kullanır; ortadaki gözlemci o siteyle yapılmış sıradan bir TLS oturumu görür.
Aynı açıklamaya göre sunucu yalnızca tanımlı sunucu adlarından birini ve geçerli bir shortId'yi, özel anahtarla doğrulanmış biçimde sunan istemcileri kabul eder. Doğrulamadan geçemeyen bağlantılar hedef siteye yönlendirilir, böylece sunucu o sitenin kendisi gibi yanıt verir. Alan adı ya da kendi TLS sunucu kurulumu gerekmez.
VLESS Reality sayfası bu mekanizmayı anahtarın çalışması açısından anlatıyor. Engelleyici sistemlerin genel mantığı için DPI sayfası daha uygun bir başlangıç.
Telegram botuyla VLESS anahtarını almak
FreeVPN Turkey, VLESS protokolüne dayanır ve kendi uygulaması yoktur; anahtar ücretsiz VLESS istemcilerinde çalışır. Başlangıç adımları kısa:
- Telegram botunu açın (@freevpnturkey_bot): kişisel VLESS anahtarınızı ve on gün ücretsiz kullanımı alın.
- Anahtarı bir VLESS istemcisine ekleyin; Android, iPhone ve bilgisayar için adımlar Hiddify kurulumu sayfasında var.
- Bağlanın. Aynı anda en fazla 5 cihaz kullanabilirsiniz, bu her tarifede geçerli.
Bu sayfanın hazırlanışı ve sınırları
Sayfa FreeVPN Turkey tarafından, yapay zeka desteğiyle ve yukarıda adı geçen kaynaklara dayanarak hazırlandı. Türkiye'deki belirli bir operatörün hangi alan adlarını hangi tarihte engellediğine dair ölçüm yayımlamıyoruz; bu bilgi için kaynak ve ölçüm eklenene kadar iddia da etmiyoruz.
Kuralların ülkeden ülkeye farklı olduğunu ve değiştiğini, yerel mevzuat ile kullandığınız hizmetlerin şartlarından kendinizin sorumlu olduğunu hatırlatalım.