Kendi VPN'inizi kurun: WireGuard rehberi

WireGuard, kendi VPN sunucunuzu birkaç komutla kurmanızı sağlayan, Linux çekirdeğine yerleşik bir VPN protokolüdür. Kendi VPN'iniz trafiğinizi sizin kontrol ettiğiniz bir IP adresinden çıkarır. Ama sizi anonim yapmaz: gittiğiniz siteler sunucunuzun IP adresini görür.

Bu yazı kendi VPN'inizin neye yaradığını ve neyi çözmediğini, elle kurulumun adımlarını ve web arayüzlü daha kolay yolu anlatıyor.

Kendi VPN'iniz ne işe yarar?

• Herkese açık Wi-Fi: Kafe ya da otel ağında trafiğiniz sunucunuza kadar şifreli gider.
• Yurt dışından Türkiye IP'si: Sunucu İstanbul'da olduğu için yurt dışındayken Türkiye IP adresiyle çıkabilirsiniz.
• Özel ağ gibi erişim: Aynı VPN'e bağladığınız cihazlara ve sunucudaki servislere, aynı yerel ağdaymışsınız gibi ulaşırsınız.
• Sabit çıkış adresi: Evinizin IP'si değişse de VPN çıkışınız aynı kalır.

Neyi çözmez?

• Sizi anonim yapmaz. Siteler sunucunuzun IP adresini görür ve o adres hesabınıza bağlıdır.
• Bazı hizmetler veri merkezi IP adreslerini engelleyebilir. Her hizmetin VPN'inizle açılacağını varsaymayın.
• Çok ülkeli çıkış sunmaz. Sunucunuz tek yerdedir, Seturack'ta bu İstanbul'dur.
• Başkalarına internet erişimi vermek için tasarlanmadı. Sunucunuz üzerinden başkalarına internet erişimi sağlarsanız, hizmet sözleşmesine göre 5651 sayılı Kanun'un getirdiği yükümlülükler size aittir. VPN'i esas olarak kendi cihazlarınız için kullanın, başkalarına erişim vermeden önce hizmet sözleşmesini okuyun.

WireGuard'ın artıları

• Linux çekirdeğine 5.6 sürümüyle girdi, yani güncel dağıtımlarda ayrı bir sürücü kurmanız gerekmez.
• Parola yok: her uç kendi özel ve genel anahtar çiftiyle tanınır.
• Yapılandırma kısadır, bir dosyayla bitirirsiniz.
• UDP kullanır. Örneklerde ve araçlarda yaygın port 51820'dir.

Elle kurulum (Ubuntu, root olarak)

1. Paketi kurun: apt install wireguard
2. Sunucu anahtar çiftini üretin: umask 077 && wg genkey | tee privatekey | wg pubkey > publickey
3. İstemci anahtarını cihazın kendisi üretsin. Telefon ve bilgisayardaki WireGuard uygulaması bunu yapar, size yalnız genel anahtar kalır.
4. /etc/wireguard/wg0.conf dosyasını aşağıdaki tabloya göre yazın.
5. IP yönlendirmeyi açın: echo 'net.ipv4.ip_forward=1' | tee /etc/sysctl.d/70-wireguard.conf ve ardından sysctl --system
6. Güvenlik duvarında portu açın: ufw allow 51820/udp
7. Başlatın: systemctl enable --now wg-quick@wg0

Dosyaya önce [Interface] satırlarını, sonra [Peer] satırlarını yazın. Her istemci için ayrı bir [Peer] bloğu eklenir.

İstemciyi bağlamak

İstemcide [Interface] bölümüne kendi özel anahtarınızı, Address = 10.8.0.2/24 satırını ve bir DNS adresi yazın. [Peer] bölümüne sunucunun genel anahtarını, Endpoint = SUNUCU_IP:51820 satırını ve AllowedIPs = 0.0.0.0/0 satırını yazın. Son değer bütün IPv4 trafiğini tünele yönlendirir. Yalnız VPN ağına erişmek isterseniz 10.8.0.0/24 yazın. NAT ya da güvenlik duvarının arkasındaki cihazlar için resmi belge PersistentKeepalive = 25 önerir.

Sunucuda wg show çalıştırın. İstemci bağlandıysa "latest handshake" satırı görünür.

Tüm trafik mi, bir kısmı mı?

İstemcideki AllowedIPs değeri hangi trafiğin tünele gireceğini belirler. 0.0.0.0/0 bütün IPv4 trafiğini tünele alır, IPv6'yı almaz. Cihazınızın IPv6 bağlantısı varsa o trafik tünelin dışından gidebilir. 0.0.0.0/0, ::/0 yazarsanız IPv6 da tünele girer ve sunucu IPv6 taşımadığı için orada düşer, sızmaz. Yalnız belirli ağlara gitmek istiyorsanız, örneğin 10.8.0.0/24, yalnız onları yazın. Buna bölünmüş tünel denir ve geri kalan trafik normal yolundan çıkar. Bir ağa uzaktan erişmek için bölünmüş tünel çoğu zaman yeterlidir. Geri kalan trafik tünelden geçmediği için yavaşlamaz.

Daha kolay yol: wg-easy

wg-easy, WireGuard sunucusunu ve istemci yönetimini tek pakette sunan, web arayüzlü bir araçtır. İstemci ekler, çıkarır, telefon için QR kod gösterir. Kurulumu Docker Compose iledir ve 51820/UDP portunu kullanır. Yönetim ekranını internetten güvenli açmak için ters vekil önerilir.

Seturack'ın hazır WireGuard sunucusu wg-easy kullanır ve yaklaşık 4 dakikada açılır. Panelde yönetim adresini ve şifreyi görürsünüz. Tünel yalnız IPv4 taşır. Her cihaz için ayrı istemci açın, bir cihazı kaybederseniz yalnız onun istemcisini silersiniz. Bağlanma adımları WireGuard yardım yazısında.

Cihazlara kurulum

WireGuard'ın resmi uygulamaları Windows, macOS, Android ve iOS için vardır. Linux'ta paket yeterlidir. Telefonda yapılandırmayı QR kodla, bilgisayarda yapılandırma dosyasını içe aktararak eklersiniz. Tüneli uygulamadan açıp kapatırsınız. Tünel açıkken internet trafiğiniz sunucunuz üzerinden çıkar.

Güvenlik için dört küçük kural

• Yapılandırma dosyasını yalnız root okuyabilsin: chmod 600 /etc/wireguard/wg0.conf
• Özel anahtarı kimseye göndermeyin. Paylaşılan tek şey genel anahtardır.
• Kaybettiğiniz ya da vermekten vazgeçtiğiniz cihazın [Peer] bloğunu silin.
• Sunucuyu güncel tutun. Kurulumdan sonra işletim sistemi ve uygulama güncellemeleri size aittir.

VPN trafiğiniz sunucudan geçtiği için trafik miktarı da önemlidir. Seturack'ta limitsiz trafik fiyata dahildir.

Bağlanamıyorsanız

Bazı ağlar UDP trafiğini engeller. Başka bir ağdan, örneğin telefonunuzun mobil verisinden deneyin. Güvenlik duvarında 51820/UDP portunun açık olduğunu da kontrol edin.

Hazır kurulumla başlamak isterseniz WireGuard VPN sayfasına bakabilirsiniz.