Çin'de uzaktan masaüstü: Büyük Güvenlik Duvarı (GFW) arkasında çalışan araçlar

Çin içinden uzak bir makineye bağlanmaya çalışıp her aracın başarısız olduğunu izlemek sık karşılaşılan, sinir bozucu bir durumdur. Bu kılavuz bağlantıların neden koptuğunu, Büyük Güvenlik Duvarı (GFW) arkasında hangi yaklaşımların gerçekten çalıştığını ve bugün kullanabileceğiniz pratik yapılandırma ile test adımlarını açıklar.

Büyük Güvenlik Duvarı uzaktan masaüstü trafiğine nasıl müdahale eder

GFW tek bir cihaz değildir; sağlayıcılar çapında konuşlandırılmış bir dizi filtreleme tekniğidir: DNS manipülasyonu, IP engelleme, TCP reset enjeksiyonları, TLS parmak izi ve SNI için derin paket inceleme (DPI) ve hedefe yönelik hız sınırlama. Uzaktan masaüstü protokolleri üç ana sebepten zarar görür:

• Host ve SNI engellemesi: Birçok uzak bağlantı tanınmış bir ana bilgisayar adına dayanır. Eğer o ana bilgisayar adı engellenirse, SNI'yi açığa çıkaran TLS el sıkışmaları TCP izinli olsa bile düşürülebilir.
• DPI ve parmak izi alma: Ayırt edici TLS parmak izleri, ALPN'ler veya trafik desenleri olan protokoller tespit edilip aktif olarak resetlenebilir. Bazı satıcılar özel protokoller kullanır ve DPI cihazları bunların parmak izlerini öğrenir.
• Rota ve IP blokları: Hizmetlere ait IP aralıkları bazen kara deliğe yönlendirilir veya sessizce bırakılır; tek bir coğrafi röle veya bölge, satıcının diğer lokasyonları çalışsa bile ulaşılamaz olabilir.

Pratikte bu şu anlama gelir: başka yerlerde güvenilir bağlanan bir ürün (AnyDesk, TeamViewer veya bir VPN üzerinden RDP) Çin içinden yine de başarısız olabilir. Güvenilir desen, ortak portlarda düz TLS üzerinden erişilebilen rölelere geri dönebilen veya CDN'ler ve çok bölgeli altyapı arkasına alınabilen bir araçtır.

Hangi uzaktan-masaüstü yaklaşımları çalışır (ve bunların ödünleri)

• Yönetilen röle / satıcı tarafından barındırılan altyapı (önerilir): Satıcılar birden fazla bölgede röleler işletir ve istemcilerin Çin içinden erişebilmesi için TCP/443 üzerinde standart TLS kullanır. Bu, kendi sunucularınızı çalıştırma, sertifika yenileme veya yönlendirme sorunlarına yanıt verme zahmetinden kaçındığınız için en güvenilir ve düşük işletme yükü getiren yaklaşımdır. Tenvo Windows, macOS ve Linux için yerel istemciler, herkese açık betada bir tarayıcı istemcisi ve varsayılan olarak çok bölgeli yönetilen bir röle ile birlikte gelir. Fiyatlandırma: Free $0 / Lite $2.99/mo / Pro $7.99/mo — yönetilen röle, sıkı bir uyumluluk gereksinimi olmayan kullanıcılar için Tenvo'nun varsayılan önerisidir.
• Büyük tedarikçilerden ticari röleler (AnyDesk, TeamViewer): Bunlar genellikle GFW tuhaflıklarını işlemek için mükemmel erişim ve mühendislik desteğine sahiptir. İyi çalışabilirler, ancak gecikme ve erişilebilirlik bölgeye göre değişir ve satıcı fiyatlandırması/lisanslama önemlidir. Özelliklere göre karşılaştırma gerekiyorsa ticari karşılaştırmalara bakın.
• Çin içinde veya yakınında kendi sunucunuzda barındırılan röleler: Ana karada Çin'de veya Hong Kong'da kendi rölenizi konuşlandırmak sınır ötesi blokları önleyebilir, ancak operasyonel maliyet getirir: ICP başvuruları (eğer karada ise), bölgesel on-call, yamalar, sertifika yönetimi, çok bölge failover ve SLA'lar. Kendi sunucunuzda barındırma, sadece yazılı gereksiniminiz (veri yerleşim, uyumluluk veya izole ağ) varsa doğru cevaptır. Neyin kırıldığını ve nasıl yapıldığını anlatan basit bir rehber için Kendi Sunucunuzda Barındırılan Uzaktan Masaüstü: Neden, Nasıl ve Neler Bozulur'a bakın.
• VPN'ler ve vekiller (proxy): Uygun şekilde sağlanmış ve Çin dışına sonlanan bir VPN RDP veya VNC'yi çalıştırabilir, fakat VPN'ler kendileri DPI'ye tabidir. Birçok standart VPN protokolünün bilinen parmak izleri vardır ve obfuskasyon uygulanmadıkça engellenebilir (obfuskasyon ise kedi-fare oyunudur). Ayrıca, bir yönetilen röleye kıyasla VPN'in yönetim yükünü ve kullanıcı sürtüşmesini göz önünde bulundurun.
• SSH tünelleri / SOCKS vekilleri: Atlama sunucusuna güvenilir şekilde ulaşabiliyorsanız teknik meraklı kullanıcılar için işe yarar. SSH üzerinden port iletimi, üst ağ engellenirse veya ana bilgisayarın IP'si filtrelenmişse kırılgan olabilir. NAT/port kuralları ve port iletim sorunlarından kaçınma önerileri için Port Yönlendirme Olmadan Uzaktan Masaüstü Açıklaması'na bakın.
• WebRTC/tarayıcı tabanlı araçlar: Tarayıcı istemcileri bazen tarayıcı TLS yığınlarını ve CDN'leri yeniden kullandıkları için geçiş yapabilir, ancak WebRTC'nin çalışması için STUN/TURN altyapısına ihtiyaç vardır. TURN sunucuları röle olur ve ulaşılabilir olmalıdır — TURN ana bilgisayar adı engellenirse aynı probleme geri dönersiniz.

Özet: pragmatik varsayılan, ortak portlarda standart TLS kullanan ve tek hata noktasından kaçınmak için yeterli coğrafi çeşitliliğe sahip çok bölgeli yönetilen bir röledir. Kendi sunucunuzda barındırma, uyumluluk veya üçüncü taraf altyapı kullanılamayan ağlar içindir.

Pratik ağ yapılandırma ve test adımları

Paket düşüşleri ve aktif resetleri varsayarak başlayın. Sistematik çalışın:

• 1) Ad çözümlemesini doğrulayın: Çin içinden kullanacağınız satıcı ana bilgisayar adları için DNS testleri yapın. DNS zehirlenmesi yaygındır — Çin'den gelen çözümler ile güvenilir harici bir çözücünün yanıtları arasındaki fark bir sorunu işaret eder.
• 2) Port 443 üzerinde TCP ulaşılabilirliğini test edin: curl -v --max-time 10 https://HOSTNAME/ veya bir TCP bağlanma testi. Birçok röle, web trafiğiyle karışmak için 443'ü kullanır; eğer 443 engellenmişse, başka izin verilen bir portta erişilebilir bir röleye veya bölgeye özgü uç noktalar sunan yönetilen bir satıcıya ihtiyacınız olacaktır.
• 3) TLS el sıkışmalarını inceleyin: openssl s_client gibi araçlar sunucu sertifikalarını ve SNI davranışını görmenizi sağlar. Eğer SNI ana bilgisayar adı engelleniyorsa, anında TCP resetleri veya TLS hataları görebilirsiniz.
• 4) Gecikme ve paket kaybını ölçün: Traceroute ve ping hızlı sinyaller verir, ancak bazı GFW davranışları ICMP'yi düşürmek yerine RST enjekte eder. Farklı saatlerde çoklu testler çalıştırın — kısıtlama sıklıkla zamana bağlıdır.
• 5) Geri düşme (fallback) modlarını test edin: İyi bir istemci önce doğrudan P2P, sonra röle deneyecektir. Çin içinden röle modunun çalıştığını doğrulayın ve gecikmesini ölçün. Eğer röle TLS'yi rölede sonlandırıyorsa, röle operatörünü oturum için gözlemlenebilir kabul edin (güvenlik hakkında bir sonraki bölüme bakın).

Örnek komutlar (Çin içindeki bir makineden çalıştırın):

# DNS denetimi
nslookup relay.vendor.example

# TLS portuna TCP bağlanma
timeout 10 bash -c 'echo >/dev/tcp/relay.vendor.example/443' && echo OK || echo FAIL

# TLS el sıkışma detayları
openssl s_client -connect relay.vendor.example:443 -servername relay.vendor.example -showcerts

# Gecikme
ping -c 10 relay.vendor.example

# Traceroute
traceroute relay.vendor.example

Özellikle Tenvo için, istemcide varsayılan olarak sağlanan çok bölgeli yönetilen röle uç noktalarını kullanın; bunlar TCP/443 üzerinde standart TLS denemesi yapar ve geri dönüş seçenekleri içerir. Yönetilen röle, yönetmeniz gereken ağ yapılandırmasını azaltır ve GFW'nin tek bölgeye veya özel protokol yığınlarına karşı tetiklediği birçok yanlış pozitiften kaçınır.

Güvenlik ve tehdit modeli: röle ne görür, ne görmez

Güven konusunu açık söyleyin: doğrudan peer-to-peer bağlantı elde ettiğinizde, oturum trafiği sadece iki uç nokta arasında akar ve uçlar arasında müzakere edilen TLS ile korunur. Trafik bir satıcı tarafından barındırılan bir röleye geri düştüğünde, TLS rölede sonlanır; bu da röle operatörünün oturum içeriğini veya meta veriyi gözlemleme konumunda olduğu anlamına gelir. Satıcı, anahtarları yalnızca uçlarda tutan kriptografik bir tasarımı belgelemedikçe röleleri "sıfır-bilgi" (zero-knowledge) varsaymayın. Dürüst bir tehdit modeli tartışması için Uzaktan Masaüstü Güvenliği: Bilmeniz Gerekenler'e bakın.

Operasyonel olarak bu, hassas veriler ve düzenlemeye tabi iş yükleri için önem taşır. Güvenlik veya uyumluluk politikanız üçüncü taraf rölelerin oturum içeriklerini görmesini yasaklıyorsa, izin verilen bir yargı bölgesinde kontrolünüz altındaki bir röleyi kendi sunucunuzda barındırmalısınız. Aksi takdirde, yönetilen bir röle genellikle daha iyi bir operasyonel takas sunar: daha az yama yönetimi, sertifika yenileme derdinin olmaması ve çok bölgeli failover.

Çin içinde kendi sunucunuzu barındırmayı ne zaman düşünmelisiniz

İçeride bir röle veya gateway barındırmak masraflıdır ve kırılgandır; ancak zorunlu değilse tavsiye edilmez. Tipik geçerli nedenler şunlardır:

• Üçüncü taraf altyapıyı açıkça Çin dışına çıkarmayı yasaklayan yasal veya sözleşmesel veri yerleşim gereksinimleri.
• Makinelerin yalnızca kapalı bir Çin ağı içinden routable olduğu ağ izolasyonu.
• Tüm oturum meta verilerinin şirket içinde kalmasını zorunlu kılan kurumsal politika.

Eğer bunlardan biri geçerliyse, tam bir operasyon taahhüdü planlayın: failover için farklı bölgelerde en az iki röle çalıştırın, sertifika verme ve yenilemeyi otomatikleştirin (ACME sağlayıcınız destekliyorsa işe yarayabilir), TLS ve yönlendirme değişikliklerini izleyin ve Çin'e özgü ağ olayları için on-call personeli bulundurun. Kendi sunucunuzda barındırılan yığının neyin kırıldığını ve nasıl işletileceğini gerçekçi bir şekilde görmek için Kendi Sunucunuzda Barındırılan Uzaktan Masaüstü: Neden, Nasıl ve Neler Bozulur'a bakın.

İki pratik dağıtım notu:

• ICP ve yerel sağlayıcılar: Ana karada Çin içinde dağıtım genellikle bir ICP başvurusu ve yerel sağlayıcı desteği gerektirir. Hong Kong ve Singapore ICP'den kaçınır ancak sınır ötesi bir atlama getirir ve bu filtrelenebilir — taahhüt etmeden önce kullanıcılarınızın ağlarından gerçek dünya erişimini ölçün.
• Çok bölgeli geri düşme: Tek bir ana karadaki röle tek hata noktasıdır. En az bir bölge dışı röle için tasarım yapın; bu, ekstra yedeklilik ve bakım işi nedeniyle kendi sunucunuzda barındırmanın toplam maliyetini yönetilen bir çözüme yaklaştırır.

Sorun giderme kontrol listesi ve son tavsiyeler

• Eğer bağlantılar başarısız oluyorsa: DNS, TCP/443 ulaşılabilirliği, TLS SNI açıklığı kontrol edin ve alternatif bir bölge veya röle ana bilgisayar adını deneyin. Birçok başarısızlık SNI veya ana bilgisayar adına dayalı engellemedir.
• ISS ve şehir bazlı farkları ölçün: GFW'nin davranışı sağlayıcıya ve bölgeye göre değişir — Shenzhen'de çalışan bir uç nokta Pekin'de engellenmiş olabilir.
• Kısıtlamanız yoksa yönetilen röleyi tercih edin: Yönetilen bir röle para tutar ama onarım süresini ve on-call yükünü düşürür. Tenvo'nun yönetilen rölesi varsayılan öneridir — macOS, Windows, Linux için istemciler ve herkese açık betada bir tarayıcı istemcisi mevcuttur. Tenvo fiyatlandırması: Free $0 / Lite $2.99/mo / Pro $7.99/mo.
• Tehdit modelinizi belgeleyin: Üçüncü taraf bir röleye oturum meta verisi güvenemiyorsanız, Çin'de kendi barındırılan bir röle kümesi için plan ve bütçe ayırın; aksi takdirde daha düşük işletme yükü için yönetilen röle takaslarını kabul edin.
• Günlükleyin ve izleyin: Başarısız bağlantı izlerini yakalayın (tcpdump, openssl çıktıları) ve zaman damgalarını kaydedin. Başarısızlıkları bilinen bölgesel olaylar veya politika değişiklikleriyle korelasyonlayın.

Minimal bir güvenlik ağı istiyorsanız: önce çok bölgeli ayağı olan bir yönetilen röle sağlayıcısını deneyin. Bu, çoğu Çin kullanıcısı için kendi sunucunuzda barındırmaya göre çok daha az operasyonel yükle uzak erişimi muhtemelen güvenilir hale getirecektir. Eğer bu politikanızı karşılamazsa, net operasyonel personel ve yedeklilik ile kendi sunucunuzu barındırma yolunu izleyin.

Daha ayrıntılı tanılama akışları ve kurulum betikleri için hızlı başlangıç kılavuzumuza 60 Saniyede Uzaktan Erişim Kurma ve port yönlendirme tuzaklarından kaçınma notlarımız için Port Yönlendirme Olmadan Uzaktan Masaüstü Açıklaması'na bakın. Sağlayıcıları erişim ve fiyat açısından değerlendirmek istiyorsanız, karşılaştırma yazılarımız — RustDesk vs AnyDesk 2026: ve üçüncü seçenek dahil — takasları değerlendirmenize yardımcı olacaktır.

Çok bölgeli uç noktalar ve basit istemcilerle inşa edilmiş bir yönetilen röleyi denemeye hazır mısınız? Tenvo'yu indirin ve desteklediğiniz ağlar içinden bağlantıyı test edin: Tenvo İndir.