VPN açıkken internet sağlayıcım neyi görür? Gizli kalanlar ve kalmayanlar (2026)

Kısa cevap: VPN'in içinden geçeni internet sağlayıcınız okuyamaz. Ama bir VPN olduğunu, hangi adrese bağlı olduğunu, ne zaman açık olduğunu ve içinden ne kadar veri geçtiğini görür. Aynısı mobil operatör ve kafedeki Wi-Fi'yi işleten kişi için de geçerli. VPN hakkınızda görünenleri ciddi biçimde azaltır ama sıfırlamaz; karışıklığın neredeyse tamamı bu farkta yatar.

VPN olmadan ne görünür

Tünel yokken sağlayıcınız her paketin yolundadır. Bağlandığınız her sunucunun adresini saatiyle, kendi DNS sunucusu cevap veriyorsa DNS sorgularını ve neredeyse her HTTPS bağlantısının başındaki site adını (SNI alanı) görür — DNS şifreli olsa bile. Encrypted Client Hello bunu değiştiriyor ama henüz her yerde değil. HTTPS kullanan bir sitedeki sayfaları, formları ve mesajları ise göremez.

VPN'e rağmen görünen: sunucu, saat, miktar

VPN'le bütün paketler tek bir sunucuya gider: uzun adres listesi tek bir akışa dönüşür. Ama bu sunucunun adresi görünür kalır ve bir şey söyler: veri merkezi ağları ev ve mobil abonelerin ağlarına benzemez. Ev hattından veri merkezindeki tek bir makineye uzun süren bir bağlantı, kendi başına tanınabilir bir görüntüdür.

Şifreleme içeriği korur, zarfı değil. Sağlayıcı bağlantının ne zaman açılıp kapandığını, her yöne kaç bayt gittiğini ve hangi dalgalarla gittiğini görmeye devam eder. Yarım saat boyunca iki yönde düzenli bir akış aramaya, tek yönde birkaç gigabayt indirmeye benzer. Hangi siteyi açtığınız buradan çıkmaz, gün içindeki düzeniniz çıkar. Dürüst formül şu: VPN içinden geçeni gizler, onu kullandığınızı değil.

Tünelin kendi el sıkışması

Açtığınız sitelerin el sıkışmaları tünelin içinden gider. Tünelin kendi el sıkışması ise dışarıdadır ve içinde ne okunduğu protokole bağlıdır:

• VLESS Reality, el sıkışmayı gerçek bir üçüncü taraf siteye yöneltir ve onun adını taşır; kaydedilecek size ait bir alan adı yoktur. Zayıf nokta başka yerdedir: bağlantı, bu adın ait olmadığı bir adrese gider ve bu karşılaştırılabilir.
• Hysteria2 ve QUIC üzerindeki diğer protokoller: ilk QUIC paketi, RFC 9001'de yayımlanmış bir değerden türetilen anahtarlarla korunur. Yoldaki herkes onu çözüp adı okuyabilir. QUIC tek başına adı gizlemez.
• Kendi alan adınızla düz TLS üzerinden VLESS veya Trojan: alan adı el sıkışmada açık metindir; trafiğiniz üzerinde kalıcı bir etikettir.
• WireGuard'da TLS yoktur, dolayısıyla ad da yoktur. Bu onu görünmez yapmaz: el sıkışması ilk baytı sabit 148 ve 92 baytlık mesajlardan oluşur ve uzunluğa bakan basit bir kural onları tanır.

Trafik tünelin dışına nereden kaçar

• Tünel dışında DNS. İstemci ad çözümlemeyi üstlenmiyorsa sorgular sağlayıcının DNS sunucusuna gider; bu da VPN'in gizlemesi gereken site listesinin neredeyse tamamıdır.
• IPv6. Tünel yalnızca IPv4 taşıyor ve hattınızda IPv6 varsa, IPv6'lı sitelere doğrudan gidilir.
• İstisnalar. VPN'in dışına yönlendirdiğiniz siteleri ve uygulamaları sağlayıcı VPN yokmuş gibi görür.
• Açılış ve yeniden bağlanma. Tünel kurulurken — açılışta ve her ağ değişiminden sonra — trafik normal yoldan gider. Kopma durumunda engelleme yoksa bu saniyeler görünür. Mobil veriyle Wi-Fi arasındaki farkı mobil veride kopma teşhisi yazısında anlattık.

Uygulamamız bunu nasıl ele alıyor

• Neredesiniz. «Where are you?» ekranında iki mod var. «I am abroad»: Rus siteleri dahil bütün trafik bizden geçer. «I am in Russia»: Rus siteleri doğrudan açılır ve sağlayıcınız onları VPN yokmuş gibi görür. Rusya dışındaysanız «I am abroad» seçin. Uygulama şimdilik yalnızca İngilizce ve Rusça.
• iPhone ve iPad'de DNS. Adları Cloudflare, VPN sunucusu üzerinden DNS-over-HTTPS ile çözer. Doğrudan açılan sitelerin adlarını ise VPN dışında Yandex'in herkese açık DNS'i çözer.
• Bilgisayarda DNS. Adları Cloudflare ve Google çözer, sorgular VPN sunucusu üzerinden gider; uygulama IPv6'yı da IPv4 ile birlikte tünele gönderir.
• Sunucunun adresini uygulama bağlanmadan önce ağınızın DNS'inden öğrenir; yoksa bağlanacağı bir şey olmazdı. Bu tek sorguyu sağlayıcınız görür.
• Kopma. iPhone ve iPad'de «Block the internet if the VPN drops» anahtarı var: VPN açıkken dışarıdan hiçbir şey geçmez.

Gözlemci kaybolmaz, yer değiştirir

Sağlayıcınızın artık görmediğini başka biri görür: trafiğiniz internete VPN sunucusundan çıkar ve onu işleten, önceden sağlayıcının durduğu yere geçer. Bu yüzden «sağlayıcım neyi görür?» sorusu her zaman «VPN hizmeti neyi görür?» sorusuyla birlikte sorulmalı. Paylaşılan IPv4'ün etkisini Türkiye'de CGNAT yazısında anlattık.

Sağlayıcının neyi saklaması gerektiğini kanun belirler. Türkiye'de 5651 sayılı Kanun, erişim sağlayıcılara trafik bilgisini saklama yükümlülüğü getirir. VPN'le bu kayıtlar VPN sunucusuna yapılan bir bağlantıyı anlatır, ziyaret edilen siteleri değil.

Bağlantınızı nasıl kontrol edersiniz

1. 1VPN'i açın ve sızıntı testimizi açın: sitelerin hangi adresi ve ülkeyi gördüğünü, WebRTC sızıntısını ve saat dilimini gösterir. DNS'i henüz kontrol etmiyor.
2. 2Bilgisayarda IPv6'yı curl -6 https://ifconfig.co ile kontrol edin. Cevapta ev adresiniz çıkarsa IPv6 tünelin dışından gidiyor demektir; bağlantı hatası IPv6'nın hiç olmadığını gösterir, bu da sorun değil.
3. 3Yeniden bağlanmayı kontrol edin: Wi-Fi'yi kapatıp açın ve testi hemen tekrar açın. Kopma engellemesinin çalışıp çalışmadığı tam bu saniyelerde görülür.
4. 4Kontrolü her hafta değil, istemciyi değiştirdikten, sistemi güncelledikten veya hat değiştirdikten sonra tekrarlayın.

Sık sorulan sorular