VPN ile Filtre Atlatma Nasıl Engellenir? Aileler ve Şirketler İçin Rehber

Kısa özet: Bir filtreyi atlatmanın dört yaygın yolu var: cihazın DNS ayarını değiştirmek, bir VPN uygulaması açmak, bir proxy sitesi ya da eklentisi kullanmak ve Tor. Guardino'nun bypass koruması bu araçların ve herkese açık DNS çözümleyicilerinin alan adlarını çözümleyici düzeyinde engeller. Sunucusunu adıyla bulamayan bir uygulama çoğunlukla bağlanamaz. Koruma yaklaşık 17.000 kuraldan oluşur ve ücretsiz plan dahil her profilde varsayılan olarak açıktır. Çocuk için "filtreyi nasıl geçerim" merakını bir uygulama indirerek çözülemeyen bir işe çevirir. Şirket için mesai kurallarının ve güvenlik filtresinin herkese aynı uygulanmasını sağlar. Çalışmaya başlamış bir VPN'i ya da doğrudan IP adresiyle bağlanan araçları durduramaz; bu yüzden cihaz ayarlarıyla birlikte kullanılmalıdır.

Bir filtre, en kolay atlatma yolu kadar güçlüdür. Evde yetişkin içeriğini kapattınız, ofiste mesai saatlerinde sosyal medyayı durdurdunuz ve kural yerinde duruyor. Sonra bir gün 12 yaşındaki çocuğunuz arkadaşından duyduğu ücretsiz bir VPN uygulamasını indiriyor. Ya da bir çalışan, tarayıcısına "engelli siteleri aç" diye tanıtılan bir eklenti kuruyor. Kural hâlâ yerinde, ama o cihaz için artık yok.

Bu yazıda filtrelerin en sık hangi yollarla atlatıldığını, Guardino'nun bypass korumasının bu yolların hangisini kapattığını ve hangisini kapatamadığını açıkça yazıyorum. Sonra bunun bir aile ve bir şirket için pratikte ne anlama geldiğine geçiyorum. En sonda korumayı üç dakikada nasıl test edeceğinizi anlatıyorum.

Filtre atlatma (DNS bypass) nedir?

Filtre atlatma, bir cihazın DNS sorularını ya da trafiğinin tamamını ağdaki filtrenin göremeyeceği bir yere yönlendirmesidir.

Nedenini anlamak için DNS'in işini hatırlamak yeterli. Bir uygulama bir sunucuya bağlanmadan önce onun adresini adıyla sorar. DNS filtresi bu sorulara cevap veren yerdir ve zararlı ya da engellenmiş bir adın cevabını vermez. Bu temeli sade bir dille merak ediyorsanız DNS filtreleme nasıl çalışır yazısına bakabilirsiniz.

Atlatma yöntemlerinin hepsi aynı fikre dayanır: soruyu filtreye sormamak. Ya soru başka bir çözümleyiciye sorulur ya da bütün trafik filtrenin göremediği şifreli bir tünele sokulur.

Dört atlatma yolu ve bypass korumasının cevabı

1. DNS ayarını değiştirmek. Telefonun Özel DNS ayarına ya da tarayıcının güvenli DNS ayarına başka bir sağlayıcı yazılır. Bypass koruması: herkese açık çözümleyicilerin adları engelli olduğu için adla yapılan bu ayar çoğunlukla bağlanamaz.
2. VPN uygulaması. Bütün trafik şifreli bir tünelle başka bir sunucuya gider. Bypass koruması: uygulama sunucusunu adıyla bulamazsa tünel kurulamaz.
3. Proxy siteleri ve eklentileri. Engelli sayfayı başka bir site açıp size gösterir. Bypass koruması: bilinen proxy servislerinin adları engelli.
4. Tor. Trafik gönüllülerin işlettiği sunuculardan geçer. Bypass koruması: Tor ile ilgili bilinen alan adları engelli; kurulmuş bir Tor Tarayıcısı ise sunuculara IP adresiyle de bağlanabilir.

Buradaki kilit nokta şu: VPN ve proxy uygulamalarının çoğu, tünel açılmadan önce kendi sunucularının, giriş ve lisans servislerinin adresini adıyla sorar. Bu soruların cevabı gelmezse uygulama "bağlanılamıyor" der. Tünel hiç kurulmadığı için filtre de devrede kalır.

Bu koruma isteğe bağlı mı?

Bugün değil. Bypass koruması Guardino'da ücretsiz plan dahil her profilde varsayılan olarak açıktır ve ayrıca açmanız gereken bir ayar yoktur. Liste Ağustos 2026'dan beri bütün çözümleyicilerimizde yüklüdür ve yaklaşık 17.000 kural içerir. Liste güncellendikçe bu sayı değişir.

Profil bazında kapatma anahtarı henüz yok. İşiniz için gereken meşru bir servis bu listeye takılırsa, panelde Özel kurallar ekranından o alan adı için tek bir izin kuralı eklersiniz. Kural tek bir profile ya da bütün hesaba uygulanabilir.

İsteğe bağlı olan bir ek katman var: iCloud Özel Geçiş (iCloud Private Relay). Bu Apple özelliği açıkken Safari trafiği Apple'ın aktarıcı sunucularından geçer ve ağdaki DNS filtresi bu trafiği görmez. Apple bu yüzden ağ yöneticileri için ayrı bir rehber yayımlıyor. En net çözüm çocuğun cihazında Özel Geçiş'i kapatmaktır. Guardino panelinde "İçerik ve uygulamalar" altındaki "Gizlilik araçları" grubunda iCloud Private Relay de profil bazında engellenebilecek servisler arasında yer alır.

Bypass korumasının durduramadıkları

Bir güvenlik ürününün neyi yapamadığını bilmek, neyi yaptığını bilmek kadar önemli. DNS katmanında çalışan bir koruma şunları durduramaz:

• Çalışmaya başlamış bir VPN. Tünel bir kez kurulduysa bütün trafik şifreli gider ve DNS filtresi o cihazın sorularını artık görmez. Bypass koruması tünelin kurulmasını zorlaştırır, kurulmuş tüneli kapatmaz.
• Doğrudan IP adresiyle bağlanan araçlar. Sunucusunu adla değil IP adresiyle bulan bir VPN ya da kurulmuş bir Tor Tarayıcısı DNS'e hiç soru sormadan bağlanabilir.
• DNS'in elle bir IP adresine çevrilmesi. Wi-Fi ayarında DNS sunucusu elle bir IP adresine çevrilirse soru filtreye hiç gelmez. Router'ınız destekliyorsa, cihazların dışarıya doğrudan DNS göndermesini (53 numaralı port) engelleyen bir güvenlik duvarı kuralı bunu önler.
• Başka bir ağ. Modeme kurulan koruma o evde ya da ofiste geçerlidir. Mobil veri ya da arkadaşın hotspot'u için cihaza profil kurmak gerekir.

Bu liste bilerek burada. Kararlı ve teknik bilgisi olan biri her filtrenin etrafından bir yol bulabilir. Bypass korumasının işi atlatmayı imkansız kılmak değil, en kolay ve en yaygın yolları kapatmaktır.

Çocuklar için: merak ile zararlı içerik arasına mesafe koymak

Bypass koruması çocuğun merakını ortadan kaldırmaz. Yaptığı şey, merak ile zararlı içerik arasındaki en kısa yolu uzatmaktır.

Filtreyi atlatma girişimleri çoğu zaman uzun bir planla değil, anlık bir merakla başlar. Bir arkadaş bir uygulamanın adını söyler, bir video "okul filtresi nasıl aşılır" diye başlar, uygulama mağazasında ücretsiz bir VPN otuz saniyede iner. Bypass korumasının olduğu bir ağda o uygulama çoğunlukla bağlanamaz. Anlık dürtü bir engele takılır ve o engel, sizinle konuşmak için zaman kazandırır.

Popüler oyun ve mesajlaşma platformlarına bölgesel kısıtlamalar ya da okul/ağ engelleri geldiğinde bu merakın somut bir karşılığı oluşuyor. Arama motorlarında "VPN ile oyuna nasıl girilir" gibi rehberler hızla çoğalıyor. Bu durumun en kritik riski şudur: bir çocuk bir kez VPN kurmayı öğrendiğinde, aynı uygulama evdeki bütün filtreleri de devre dışı bırakır. Yetişkin içeriği filtresi, kumar engeli ve Güvenli Arama o cihaz için birlikte kapanır.

Ücretsiz VPN'lerin kendisi de ayrı bir risk. CSIRO, UNSW ve UC Berkeley araştırmacılarının 2016'da incelediği 283 Android VPN uygulamasının:

• %38'inde virüs tarama servisi zararlı yazılım izi buldu.
• %18'i kurduğu tüneli hiç şifrelemiyordu.
• %75'i üçüncü taraf izleme kütüphanesi kullanıyordu.
• %82'si kişiler ve mesajlar gibi hassas verilere erişim istiyordu.

Çalışma 2016 tarihli ve bugünkü oranlar farklı olabilir. Ama ücretsiz bir VPN'in masrafını bir yerden karşılaması gerekir ve bağlandığında çocuğun bütün trafiği o belirsiz sunucudan geçer. Bypass koruması bu tünelin kurulmasını zorlaştırır; uygulamanın kendisini telefondan kaldırmaz. Bu yüzden uygulama yüklemeyi onaya bağlamak da planın parçası.

Bir de şunu bilmekte fayda var: Guardino'da çocuk profili Güvenli Arama'yı çözümleyicide açar. Google, Bing, DuckDuckGo ve YouTube için geçerlidir ve tarayıcı değiştirmek ya da uygulamayı yeniden kurmak bunu kapatmaz. Bypass koruması bu katmanın bir VPN ile tek hamlede devre dışı kalmasını zorlaştırır.

Teknik kilit tek başına yetmez. Filtrenin neden orada olduğunu çocuğunuzla konuşmak, hangi yaşta neyin engelleneceğine birlikte karar vermek daha kalıcı sonuç veriyor. Bunun için cihaz kurallarını yaşa göre konuşmak ve 7, 11 ve 15 yaşında ne engellenmeli yazıları pratik bir başlangıç sunuyor. Aileler için ayarların tamamı aileler sayfasında.

Şirketler için: kural herkese aynı uygulanınca verim korunur

Bir şirkette internet kuralı koymanın iki amacı vardır: dikkat dağıtan servisleri mesai saatlerinde sınırlamak ve cihazları zararlı sitelerden korumak. İkisi de aynı zayıflığı taşır. Kural, VPN kurmayı bilmeyenler için geçerli olur.

Dikkat bölündüğünde ne kaybedilir

Kaliforniya Üniversitesi Irvine'den Gloria Mark'ın ölçümlerine göre ofis çalışanları 2004'te bir ekranda ortalama iki buçuk dakika kalıp başka bir şeye geçiyordu. 2016 çalışmasında bu süre 47 saniyeye indi. Aynı araştırmacının 2005 tarihli çalışmasında, bölünen bir işe aynı gün dönen çalışanların geri dönmesi ortalama 25 dakika 26 saniye sürdü ve bu arada ortalama 2,26 başka işle uğraştılar.

Bu rakamlar VPN'in etkisini değil, dikkatin ne kadar kolay bölündüğünü ölçüyor. Ama bir şirketin sosyal medyayı ya da video platformlarını mesai saatinde kapatmasının nedeni tam olarak budur. Guardino'da Odak modu sosyal medyayı ve dikkat dağıtan servisleri kapatır. Bypass koruması olmadan bu kural, bir eklenti kuran çalışan için birkaç saniyede ortadan kalkar.

Örnek hesap: kaçak dakikalar ayda kaç saat eder?

Aşağıdaki rakamlar ölçüm değil, kendi ofisinize uyarlamanız için bir varsayımdır:

Girdi	Varsayım
Çalışan sayısı	20
Engelli servislere VPN ya da proxy ile giden kişi başı günlük süre	15 dakika
Ayda iş günü	22

20 × 15 × 22 = 6.600 dakika, yani ayda 110 saat. Bu, 8 saatlik mesaiyle yaklaşık 14 tam iş gününe denk gelir. Hesap, bölünen işe geri dönmenin maliyetini içermiyor.

Kendi rakamlarınız için formül: çalışan sayısı × günlük kaçak dakika × aylık iş günü ÷ 60 = aylık saat.

Bypass koruması bu saatlerin hepsini geri getirmez. Getirdiği şey, koyduğunuz kuralın VPN kuranla kurmayan arasında fark yaratmamasıdır. Herkese aynı uygulanan bir kural daha adildir ve üzerine daha az tartışılır. Kuralı bir gözetim aracına çevirmeden koymanın yolları için işyeri ekran politikası yazımız (İngilizce) ayrıntılı bir çerçeve sunuyor.

Güvenlik: filtre yalnızca soruyu gördüğünde korur

Guardino'nun kötü amaçlı yazılım, oltalama ve dolandırıcılık listeleri yalnızca DNS sorusu Guardino'ya geldiğinde çalışır. Kişisel bir VPN açan çalışanın bilgisayarı o süre boyunca şirketin güvenlik katmanının dışına çıkar. O sırada tıklanan bir oltalama bağlantısı filtrelenmez ve şirket verisi, kimin işlettiği belli olmayan bir sunucudan geçer. Bypass koruması bu boşluğun açılmasını zorlaştırır. Cihazlara ajan yüklemeniz ya da bir mobil cihaz yönetimi sistemi kurmanız gerekmez.

Gizlilik notu: Engelleme yapmak için kimin hangi siteye girdiğini kaydetmeniz gerekmez. Guardino'da sorgu kaydı siz açana kadar kapalıdır. Kaydı açarsanız bu kayıtlar çalışanlarınıza ait kişisel veridir. Hangi verinin hangi amaçla ve ne kadar süre tutulduğunu çalışanlara önceden bildirmeniz (aydınlatma yükümlülüğü / privacy notice) gerekir. Bu not hukuki tavsiye değildir; kendi organizasyonunuz için hukuk danışmanınıza başvurun.

Okullar ve şirketler için organizasyon, üye ve rol yönetimi içeren Team planı var. Kurulum ve fiyatlandırma doğrudan bizimle yapılır; ayrıntılar işletmeler sayfasında.

Kendiniz test edin: üç dakikalık kontrol

Korumanın sizin ağınızda çalıştığını görmek için bir VPN kurmanız gerekmez:

1. Guardino'nun kurulu olduğu cihazda bağlantı kontrolü aracını açın. Cihazın DNS'inin Guardino'dan geçtiğini görmelisiniz.
2. Aynı cihazın tarayıcısında herkese açık bir DNS sağlayıcısının ya da tanınmış bir VPN servisinin web sitesini açmayı deneyin. Sayfa açılmamalı. Kurulumu yeni yaptıysanız önce tarayıcıyı kapatıp açın; eski cevaplar bir süre önbellekte kalabilir.
3. Sayfa açılıyorsa cihaz soruyu başka bir yere soruyor olabilir. DNS sızıntı testi cihazınıza hangi çözümleyicilerin cevap verdiğini gösterir.
4. İşiniz için gereken bir servis takıldıysa panelde Özel kurallar ekranından o alan adı için bir izin kuralı ekleyin.

Korumayı devreye almak için ne yapmalı

Bypass koruması için açılacak bir anahtar yok. Yapmanız gereken, cihazların DNS sorularını gerçekten Guardino'ya sormasını sağlamak:

1. Ev ya da ofis ağı. Router'ınızın şifreli DNS (DoT ya da DoH) alanına profilinizin DoT adını ya da DoH adresini yazın. Bölgesel operatörler ve yerel modemlerin çoğunda bu alan doğrudan bulunmayabilir; o durumda modemin arkasına şifreli DNS destekleyen bir router koyabilirsiniz. Adımlar kurulum sayfasında.
2. Telefon ve dizüstü bilgisayar. Cihaza Guardino profilini kurun. Koruma mobil veride ve başka Wi-Fi ağlarında da devam eder.
3. Çocuk cihazlarında uygulama yüklemeyi onaya bağlayın. Apple'da Aile Paylaşımı'nın Satın Alma İzni özelliği, Android'de Family Link'in Google Play satın alma onayları, yeni bir VPN uygulamasının sizden habersiz kurulmasını önler.
4. Elle DNS değişikliğine karşı router kuralı ekleyin. Router'ınız destekliyorsa cihazların dışarıya doğrudan DNS göndermesini engelleyin.

Guardino'yu bu konuda farklı kılan ne

• Ayrı bir ayar değil, temel koruma. Bypass koruması ücretsiz plan dahil her profilde baştan açık. Bir aile ya da şirket onu açmayı unuttuğu için korumasız kalmaz. Planlar fiyatlandırma sayfasında.
• Engeller, izlemez. Sorgu kaydı siz açana kadar kapalı. Çocuğunuzun ya da çalışanınızın neye girdiğini kaydetmeden sınır koyabilirsiniz. Neyi görüp neyi görmediğimiz şeffaflık sayfasında tek tek yazıyor.
• Tek kurulum, bütün ağ. Router'a şifreli DNS ile kurulan profil evdeki ya da ofisteki her cihazı kapsar. Cihazlara ajan yüklemeniz gerekmez.
• Sınırlarını yazar. Yukarıdaki "durduramadıkları" bölümü bunun için orada.

Engellenen reklam ve izleyicilerin veri paketinize ve sayfa açılış süresine etkisini DNS internet hızını artırır mı yazısında ölçülebilir bir hesapla anlattık.

Buradan sonrası

Hiçbir filtre, kararlı bir kullanıcıya karşı tek başına yeterli değildir. Ama birçok atlatma kararlı bir planla değil, bir uygulamanın adını duymakla başlar. Bypass koruması o en kısa yolu kapatır, gerisini cihaz ayarları ve konuşma tamamlar.

Guardino'yu denemek için kart gerekmez. Kurulum sayfasından önce bir telefona kurup nasıl çalıştığını görebilir, sonra router'ınıza taşıyabilirsiniz.

Kaynaklar

• Ikram, Vallina-Rodriguez, Seneviratne, Kaafar ve Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, CSIRO Data61, UNSW ve UC Berkeley, 2016
• Gloria Mark, Attention Span, 2023; ekran başına dikkat süresi ölçümlerinin özeti
• Mark, Gonzalez ve Harris, No Task Left Behind? Examining the Nature of Fragmented Work, ACM CHI, 2005
• Apple, Prepare your network or web server for iCloud Private Relay
• Apple Destek, Approve what your child can purchase and download with Ask to Buy
• Google For Families Yardım, Google Play'de satın alma onayları