VPN Nedir? Nasıl Çalışır, Neyi Gizler ve Nerede Yetersiz Kalır

VPN nedir ve nasıl çalışır?

Sanal özel ağ (VPN), cihazınızın tüm internet trafiğini cihazınız ile bir VPN sunucusu arasındaki şifreli bir tünelden geçiren bir hizmettir; trafik daha sonra bu sunucudan nihai hedefine çıkar ^[1]. Şifreleme, verileri yalnızca doğru anahtara sahip birinin okuyabileceği şekilde karıştırır. İstekleriniz VPN sunucusundan geliyormuş gibi göründüğü için VPN, genel konumunuzu gösteren ve sizi tanımlamak için kullanılabilen sayısal adres olan IP adresinizi maskeler ^[1].

Cloudflare bağlantıyı dört adımda anlatıyor: VPN istemcisi (cihazınızdaki uygulama) internet servis sağlayıcınız (İSS) üzerinden şifreli bir bağlantı kurar; İSS bu bağlantıyı VPN sunucusuna iletir; VPN sunucusu verilerin şifresini çözer ve sizin adınıza web sitesine bağlanır; istemci ile sunucu arasındaki şifreli bağlantıya da VPN tüneli denir ^[2]. Web sunucuları bu durumda yalnızca VPN sunucusunun IP adresini kaydeder ^[2].

Cihazda ne oluyor?

Teknik olarak VPN istemcisi, yalnızca yazılımdan oluşan bir ağ bağdaştırıcısı olan sanal bir ağ arayüzü oluşturur ve trafiği gerçek Wi-Fi veya Ethernet donanımına aktarmadan önce şifrelemek ve şifresini çözmek için bu arayüzü kullanır ^[3]. Tüm trafik tünelden geçiyorsa buna tam tünel VPN, yerel ağ trafiği gibi bazı trafiğin tüneli atlamasına izin veriliyorsa bölünmüş tünel (split-tunnel) VPN denir ^[3].

VPN'ler ne için kullanılır?

Dijital haklar kuruluşu Electronic Frontier Foundation (EFF), VPN'lerin en çok tek bir işe uygun olduğunu söylüyor: bağlantınızı farklı bir ağ üzerinden yönlendirmek. Bu da iki durumda yararlıdır: siteleri engelleyen bir ağda sansürü aşmak ve başka bir yerden bir ofis ağına bağlanmak ^[1]. Cloudflare yaygın kullanımlar listesine halka açık Wi-Fi'de koruma sağlamayı ve konuma dayalı içerik kısıtlamalarını aşmayı da ekliyor ^[2].

VPN neyi, kimden gizler?

VPN, giden trafiğinizi İSS'nizden ve kafe veya otel gibi yerel ağın sahibinden gizler ^[1]. İSS'nin içinden geçen tünel şifreli olduğu için İSS bu tünelin içinde ne yaptığınızı göremez ^[2]. Bir web sitesinin bakış açısından, VPN sunucusu neredeyse siz de oradaymış gibi görünürsünüz ^[1].

Bunun bedeli basittir ve çoğu zaman gözden kaçar: VPN gezinme etkinliğinizi İSS'den gizlerken bunların tamamı VPN sağlayıcısına görünür ^[1]. EFF, tıpkı bir İSS gibi bir sağlayıcının da bu bilgileri satabileceğini belirtiyor ^[1]. Cloudflare'in kendi açıklama yazısı da kullanıcıların ancak VPN sağlayıcısına güveniyorlarsa VPN ile kendilerini güvende hissedebileceklerini söylüyor; çünkü dürüst olmayan bir sağlayıcı kullanıcı bilgilerini satabilir veya kullanıcıları saldırılara açık bırakabilir ^[2].

VPN, katıldığınız özel ağın işletmecisine karşı da verilerinizi korumaz. Kurumsal bir VPN'de trafiğinizi kurumsal ağı işleten kişi, ticari bir VPN'de ise hizmeti işleten kişi görür ^[1]. Kısacası VPN, güveni bir şirketten (İSS'niz veya Wi-Fi sahibi) başka bir şirkete (VPN sağlayıcısı) aktarır; güvenme ihtiyacını ortadan kaldırmaz.

VPN sizi nelere karşı koruyamaz?

VPN reklamları çoğu zaman suçluları, zararlı yazılımları, devlet gözetimini ve çevrimiçi izlemeyi durdurduklarını iddia eder; EFF bu reklamların faydaları büyük ölçüde abarttığını söylüyor ^[1]. Başlıca sınırlar şunlar:

• İzleme. VPN bir anonimlik aracı değildir. Şirketler sizi GPS, web çerezleri, izleme pikselleri veya parmak izi yöntemleriyle izlemeye devam edebilir ^[1].
• Hesaplar ve geçmiş. VPN, kolluk kuvvetlerinin tarayıcınızda veya oturum açtığınız bir hesapta kayıtlı gezinme geçmişini elde etmesini engellemez ^[1].
• Sağlayıcıya gelen yasal talepler. VPN sağlayıcılarının kendileri de kolluk taleplerine tabidir ve birçoğu İSS'ler kadar bilgi saklar ^[1]. Sağlayıcı, faaliyet gösterdiği ülkelerin yasalarına uymak zorundadır ^[1].
• Ödeme bağlantıları. Kredi kartıyla ödeme yapmak kimliğinizi hesaba bağlar ve sağlayıcı yine de IP adresinizi toplayabilir ^[1].

Trafik VPN'in dışına sızabilir mi?

Evet. Mayıs 2024'te Leviathan Security Group, ağ ayarlarını dağıtan protokol olan DHCP'nin yerleşik bir özelliğini kullanarak kullanıcının trafiğini VPN tünelinin dışına zorlayan ve böylece şifrelenmeden gönderilmesine yol açan TunnelVision (CVE-2024-3661) tekniğini yayımladı ^[3]. ABD Ulusal Güvenlik Açığı Veritabanı sorunu şöyle tanımlıyor: DHCP seçeneği 121, bir cihazın yönlendirme tablosuna rotalar ekleyebilir ve aynı yerel ağdaki bir saldırgan, VPN tarafından korunması beklenen trafiği okuyabilir, bozabilir veya muhtemelen değiştirebilir ^[4].

Araştırmacıların testlerinde VPN her zaman bağlı olarak görünmeye devam etti ve acil durdurma anahtarı (kill switch; VPN bağlantısı koparsa trafiği engelleyen özellik) hiçbir zaman devreye girmedi ^[3]. Android, DHCP seçeneği 121'i uygulamadığı için etkilenmedi ^[3]. Araştırmacılar, VPN'lerin fiziksel yerel ağa yönelik saldırıları önlemek için tasarlanmadığı ve aksini vaat etmenin tehlikeli olduğu sonucuna vardı ^[3].

Hız ne olacak?

Sağlayıcının sunucu kapasitesine bağlı olarak bazı kullanıcılar daha yavaş bağlantılar yaşar; hem kullanıcıya hem de web sitesine uzak bir VPN sunucusu da gecikme ekler ^[2].

Halka açık Wi-Fi'de VPN'e ihtiyacınız var mı?

Her zaman değil. EFF, halka açık Wi-Fi'de VPN kullanmanın eskiden standart bir tavsiye olduğunu, ancak web trafiğinin çoğunluğu artık HTTPS ile şifrelendiği için bunun herkes için eskisi kadar gerekli olmadığını söylüyor ^[1]. HTTPS, bir siteyle gönderip aldığınız verileri şifreleyen, asma kilit simgesiyle korunan web protokolü sürümüdür.

HTTPS iletişimin içeriğini korur, üst verilerini korumaz ^[1]. Bir HTTPS sitesinde, yol üzerindeki taraflar genellikle alan adını (örneğin wikipedia.org) ve onu ne zaman ziyaret ettiğinizi, ayrıca sayfa ve dosyaların boyutlarını görebilir; ancak belirli sayfayı, kullanıcı adınızı veya mesajlarınızı göremez ^[1]. VPN bu üst verileri yerel ağı dinleyen birinden gizleyebilir, ancak VPN sağlayıcısı hepsini görür ^[1].

EFF, güvenmediğiniz halka açık bir ağı kullanmak zorunda olduğunuzda ve güvendiğiniz bir VPN'iniz olduğunda VPN'in yararlı olabileceğini öne sürüyor ^[1]. ABD Federal Ticaret Komisyonu (FTC) da ücretsiz halka açık Wi-Fi ağlarının çoğu zaman güvensiz olduğu konusunda uyarmıştı; kurumun VPN uygulamalarına ilişkin 2018 tarihli ipuçları da halka açık Wi-Fi üzerinden gönderilen bilgilerin güvenliği etrafında şekillenmişti ^[5]. Güncel olmayan bir VPN uygulamasının bu durumda bile sizi iyi koruyamayabileceğini unutmayın; EFF buna örnek olarak TunnelVision'ı gösteriyor ^[1].

Hangi VPN protokolleri güvenli?

Protokol, bir VPN'in tüneli kurmak ve şifrelemek için kullandığı kurallar bütünüdür. Bir VPN, Point-to-Point Tunneling Protocol (PPTP) gibi kırılmış bir şifreleme kullanıyorsa içinden geçen verilerin şifresi kolayca çözülüp görüntülenebilir ^[1]. EFF, tüketici hizmetlerinde yaygınlaşan iki protokol olarak OpenVPN ve WireGuard'ı gösteriyor ^[1].

WireGuard'ın geliştiricileri onu Noise protokol çerçevesi, Curve25519 ve ChaCha20 gibi son teknoloji kriptografi kullanan basit, hızlı ve modern bir VPN olarak tanımlıyor ve kriptograflar tarafından incelendiğini söylüyor ^[7]. Çok daha büyük IPsec veya OpenVPN kod tabanlarının aksine, tek bir kişi tarafından kapsamlı biçimde incelenebilecek kadar küçük olacak şekilde tasarlandı ^[7].

Kuruluşlar için Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), en yaygın kullanılan protokollerin TLS ve IPsec olduğunu söylüyor; birçok işletim sistemine yerleşik açık bir standart olduğu için VPN erişiminde IPsec'i öneriyor ve WireGuard'ın umut verici göründüğünü, ancak kurumsal ortamlarda henüz kendini kanıtlamadığını belirtiyor ^[6]. NCSC ayrıca bazı üçüncü taraf ağların IPsec trafiğini kısıtladığı veya engellediği, TLS VPN'lerin ise kurumsal güvenlik duvarlarından geçerken daha güvenilir olabileceği konusunda uyarıyor ^[6].

Apple'ın iCloud Özel Geçişi (iCloud Private Relay) bazen VPN ile karıştırılır. Safari'de gezinmeyi korumak için tasarlanmıştır, istekleri iki ayrı geçiş sunucusu üzerinden gönderir; böylece Apple dahil hiçbir taraf hem kim olduğunuzu hem de hangi siteleri ziyaret ettiğinizi göremez. Tüm ülke veya bölgelerde kullanılamaz ^[10].

Güvenilir bir VPN nasıl seçilir?

FTC'nin bir VPN uygulamasını kullanmadan önce önerdiği dört kontrol şunlar: uygulamayı edinmeden önce araştırın, izin isteklerini gözden geçirin, bilgilerinizi şifrelediğinden emin olun ve bilgilerinizi üçüncü taraflarla paylaşıp paylaşmadığını kontrol edin ^[5]. EFF ek sorular ekliyor ^[1]:

1. Gizlilik politikasını okuyun. Sağlayıcı bunu açıkça dışlamıyorsa verilerinizi kaydedebilir; kayıt tutulmadığı iddiası da bir garanti değildir ^[1].
2. Nasıl para kazandığını sorun. Bazı VPN'ler ücretsizdir ama verilerinizi satar; diğerleri freemium veri kotaları veya yinelenen abonelikler kullanır ^[1].
3. Herkese açık denetimlere bakın. Bağımsız güvenlik denetimleri iyi bir işarettir, ancak uygulamalar denetimden sonra değişebilir ^[1].
4. Kimin işlettiğini öğrenin. Kimsenin itibarını ortaya koymadığı bir VPN'e şüpheyle yaklaşın ve “hakkımızda” sayfasında kurucuları veya çalışanları arayın ^[1].
5. Ülkeyi kontrol edin. Sağlayıcı, devletin veri taleplerine ilişkin kurallar dahil, faaliyet gösterdiği yerin yasalarına tabidir ^[1].

Uygulama mağazasında yer alması yeterli mi?

Hayır. EFF, bir VPN uygulamasının Google Play'de veya Apple App Store'da bulunduğu için güvenli olduğunu varsaymamanız konusunda uyarıyor ^[1]. Apple'ın App Review Guidelines'ı, VPN uygulamalarının verileri hiçbir amaçla üçüncü taraflara satamayacağını, kullanamayacağını veya ifşa edemeyeceğini söylüyor ^[9]. Buna rağmen Tech Transparency Project, 1 Nisan 2025'te 2024 boyunca ABD App Store'daki en popüler 100 ücretsiz VPN'den 20'sinin Çinli şirketlere ait olduğunu, hiçbirinin bu sahipliği açıkça belirtmediğini ve bu uygulamaların 70 milyondan fazla kez indirildiğini bildirdi ^[8]. Google Play bazı VPN'ler için bir Doğrulanmış rozeti gösteriyor; EFF bunu araştırmanın yerini tutan bir şey değil, uygulamanın güvenlik vaatlerine dair küçük bir fikir olarak tanımlıyor ^[1].

VPN'ler her yerde yasal mı?

Hayır. EFF, yasaklar dahil belirli ülkelerin VPN politikalarını takip etmenizi öneriyor ve yayın platformlarının VPN kullanıyor görünen cihazları giderek daha fazla engellediğini belirtiyor ^[1]. Apple, VPN lisansı gerektiren bir bölgede VPN uygulaması sunan geliştiricilerden bu lisans bilgisini sağlamalarını istiyor ^[9]. Bu metin hukuki tavsiye değil, genel bilgidir; yaşadığınız yerin yasalarını kontrol edin.

İran'da durum ne?

Freedom House'un Freedom on the Net 2024 raporu, birçok İranlının yetkililer tarafından engellenen uluslararası hizmetlere ulaşmak için VPN'lere dayandığını söylüyor ^[11]. Şubat 2024'te Siber Uzay Yüksek Konseyi lisanssız VPN kullanımını yasakladı ve bireylerin hükümet onayıyla lisanslı VPN satın almak için başvurmaları gerekeceğini açıkladı ^[11]; raporda görüşlerine yer verilen analistler, bu kararın yalnızca VPN dağıtımını ve satışını değil, kullanımını da suç hâline getirdiğini söylüyor ^[11]. Aynı rapor, Bilgi ve İletişim Teknolojileri Bakanlığı'nın Ekim 2022'de yasa dışı VPN satan veya kullanan herkesin ceza kanununun 753. maddesi uyarınca yargılanabileceğini açıkladığını ve raporun kapsadığı dönemde NordVPN, Proton VPN ve TunnelBear gibi hizmetlere erişilemediğini belirtiyor ^[11]. Freedom on the Net 2025 ise Haziran 2025'te ülke genelinde neredeyse tamamen bir internet kesintisi uygulandığını ekliyor ^[12].

Kurumsal VPN'ler farklı mı?

Evet. Kurumsal bir VPN, çalışanların konumunu maskelemek yerine onları iç sistemlere bağlar. NCSC, VPN hizmetlerinin bir kuruluşun internete açık saldırı yüzeyinin parçası olduğunu ve güvenlik yamaları yayımlandığında hızla güncellenmesi gerektiğini belirtiyor ^[6]. Hiçbir cihaza varsayılan olarak güvenilmeyen sıfır güven (zero trust) yaklaşımını tamamen benimsemiş bir kuruluş için VPN'in pek bir faydası olmadığını da söylüyor ^[6].

Bu tür alternatifler satan Cloudflare, geleneksel VPN'lerin ağın içindeki her şeye otomatik olarak güvenildiği bir “kale ve hendek” modeline yol açabileceğini savunuyor ve birçok işletmenin bunun yerine güvenli erişim hizmeti kenarı (SASE) tasarımlarına geçtiğini söylüyor ^[2]. Bireyler için EFF'in görüşü, birçok kişi için VPN'in en önemli güvenlik adımı olmadığı yönünde; uçtan uca şifreli mesajlaşmayı daha etkili önlemler arasında sayıyor ^[1].