WireGuard VPN Kurulumu ve Yapılandırması

Sunucularınıza, iç ağınıza veya ofis kaynaklarınıza güvenli biçimde uzaktan erişmek istediğinizde ilk aklınıza gelen çözüm genellikle bir VPN olur. Yıllarca bu alanı OpenVPN ve IPsec gibi devasa, karmaşık yapılandırma dosyaları gerektiren araçlar domine etti. Bu araçlar işi görüyordu ama kurulumu saatler alıyor, hata ayıklaması sinir bozucu oluyor ve performansları modern donanımın altında kalıyordu. WireGuard tam da bu noktada sahneye çıktı ve VPN'in nasıl olması gerektiğine dair anlayışı kökten değiştirdi.

WireGuard, Linux çekirdeğine 5.6 sürümüyle birlikte doğrudan entegre edilmiş, yalnızca birkaç bin satır koddan oluşan modern bir VPN protokolüdür. Bu sadelik hem güvenlik denetimini kolaylaştırır hem de performansı olağanüstü seviyeye çıkarır. Bu rehberde WireGuard'ın neden OpenVPN'e kıyasla daha üstün olduğunu, temiz bir Ubuntu sunucuya nasıl kurulacağını, anahtar çiftlerinin nasıl üretileceğini, wg0.conf dosyasının nasıl yapılandırılacağını, IP forwarding ile NAT kurallarının nasıl ayarlanacağını ve bir istemcinin sunucuya nasıl bağlanacağını adım adım göstereceğim. Sonunda çalışan, güvenli bir tünelle uzaktan erişim altyapınız hazır olacak.

WireGuard Nedir ve Neden Tercih Edilmeli#

WireGuard, katmanlı bir ağ tüneli oluşturmak için UDP üzerinden çalışan modern kriptografiye dayalı bir protokoldür. Geleneksel VPN çözümlerinin aksine, kullanıcının onlarca şifreleme algoritması arasından seçim yapmasına izin vermez. Bunun yerine ZX25519 anahtar değişimi, ChaCha20 şifreleme, Poly1305 kimlik doğrulama ve BLAKE2s karma fonksiyonu gibi güncel ve kanıtlanmış kriptografik ilkeleri sabit olarak kullanır. Bu yaklaşım "kriptografik çeviklik" karmaşasını ortadan kaldırır ve yanlış yapılandırma kaynaklı güvenlik açıklarını neredeyse imkânsız hâle getirir.

WireGuard'ın en dikkat çekici özelliği kod tabanının küçüklüğüdür. OpenVPN yaklaşık 100.000 satır kod içerirken, WireGuard yalnızca 4.000 satır civarındadır. Bu, güvenlik araştırmacılarının kodu baştan sona okuyup denetlemesini mümkün kılar ve saldırı yüzeyini dramatik biçimde küçültür. Ayrıca protokol çekirdek modülü olarak çalıştığı için paketler kullanıcı alanı ile çekirdek alanı arasında sürekli kopyalanmaz, bu da gecikmeyi düşürür ve verimi artırır.

Aşağıdaki tablo, WireGuard ile geleneksel çözümler arasındaki temel farkları özetler.

Tablonun da gösterdiği gibi WireGuard, özellikle mobil kullanımda öne çıkar. Telefonunuz Wi-Fi'dan mobil veriye geçtiğinde WireGuard bağlantısı kopmaz; çünkü protokol bağlantıyı IP adresine değil, karşı tarafın açık anahtarına göre tanımlar. Bu "roaming" yeteneği, dizüstü bilgisayar ve telefonlarla sürekli hareket eden kullanıcılar için büyük bir konfor sağlar.

Sunucu Hazırlığı ve WireGuard Kurulumu#

Kuruluma başlamadan önce güncel bir Ubuntu sunucuya (20.04, 22.04 veya 24.04 LTS) sudo yetkisine sahip bir kullanıcıyla SSH üzerinden bağlanmış olmanız gerekir. Bir VDS veya sanal sunucu üzerinde çalışıyorsanız, sağlayıcınızın UDP trafiğine izin verdiğinden emin olun. Uzaktan erişim altyapınızın temeli sağlam bir SSH bağlantısıdır; SSH güvenliğini henüz sertleştirmediyseniz SSH bağlantısı ve güvenliği rehberini incelemenizi öneririm.

İlk adım olarak paket listesini güncelleyip WireGuard'ı kuralım. Modern Ubuntu sürümlerinde WireGuard resmi depolarda yer aldığı için ek bir PPA eklemeye gerek yoktur.

# Paket listesini güncelle ve sistemi yükselt
sudo apt update && sudo apt upgrade -y

# WireGuard ve yardımcı araçlarını kur
sudo apt install wireguard wireguard-tools -y

# Çekirdek modülünün yüklendiğini doğrula
sudo modprobe wireguard
lsmod | grep wireguard

Son komut çıktısında wireguard satırını görüyorsanız çekirdek modülü başarıyla yüklenmiş demektir. WireGuard, yapılandırma dosyalarını /etc/wireguard/ dizininde arar. Bu dizindeki dosyalar özel anahtarlar içereceği için izinlerini sıkılaştırmamız kritik önemdedir.

# Yapılandırma dizinine geç ve kök dışına kapat
sudo mkdir -p /etc/wireguard
sudo chmod 700 /etc/wireguard
cd /etc/wireguard

Bu izin ayarı, dizindeki hiçbir dosyanın root dışındaki kullanıcılar tarafından okunamamasını garanti eder. VPN altyapısında özel anahtarların sızması tüm güvenlik modelini çökerteceği için bu adımı asla atlamayın.

Anahtar Çiftlerinin Üretilmesi#

WireGuard, kimlik doğrulamayı geleneksel kullanıcı adı ve parola yerine açık anahtar kriptografisiyle yapar. Her taraf (sunucu ve her istemci) bir özel anahtar ve bir açık anahtardan oluşan bir çift üretir. Özel anahtar gizli tutulurken, açık anahtar karşı tarafla paylaşılır. Bu model SSH anahtar çiftlerine oldukça benzer ve son derece güvenlidir.

Önce sunucu için anahtar çiftini üretelim. wg genkey özel anahtarı üretir, wg pubkey ise bu özel anahtardan türetilen açık anahtarı hesaplar.

# umask ile üretilen dosyaların sadece root tarafından okunmasını sağla
umask 077

# Sunucu özel ve açık anahtarını üret
wg genkey | tee server_private.key | wg pubkey > server_public.key

# Anahtarları görüntüle
echo "Sunucu özel anahtarı:"
sudo cat server_private.key
echo "Sunucu açık anahtarı:"
sudo cat server_public.key

Aynı işlemi bağlanacak her istemci için de tekrarlamak gerekir. İstemci anahtarlarını sunucu üzerinde üretebilir ya da doğrudan istemci cihazda üretebilirsiniz. Güvenlik açısından ideal olan, özel anahtarın hiçbir zaman üretildiği cihazdan çıkmamasıdır; ancak küçük ölçekli kurulumlarda anahtarları sunucuda üretip güvenli bir kanalla istemciye taşımak da yaygın bir pratiktir.

# İstemci anahtar çiftini üret
wg genkey | tee client1_private.key | wg pubkey > client1_public.key

echo "İstemci özel anahtarı:"
sudo cat client1_private.key
echo "İstemci açık anahtarı:"
sudo cat client1_public.key

Bu noktada elinizde dört anahtar olmalı: sunucu özel ve açık anahtarı ile istemci özel ve açık anahtarı. Bir sonraki bölümde bu anahtarları yapılandırma dosyalarına yerleştireceğiz. Anahtarların hangisinin nereye ait olduğunu karıştırmamak, WireGuard kurulumunda en sık yaşanan hataların başında gelir; bu yüzden dosya adlarını açıklayıcı tutmakta fayda var.

Sunucu Yapılandırması wg0.conf Dosyası#

Artık sunucu tarafının kalbi olan wg0.conf dosyasını oluşturabiliriz. Bu dosya, sunucunun hangi sanal IP adresini kullanacağını, hangi porttan dinleyeceğini ve hangi istemcilere izin vereceğini tanımlar. WireGuard'ta her tünel arayüzü genellikle wg0, wg1 gibi adlandırılır ve karşılık gelen yapılandırma dosyası bu adı taşır.

Sanal ağ için özel bir IP bloğu seçmemiz gerekiyor. Bu blok, gerçek ağınızla çakışmayacak bir aralık olmalı; örnek olarak 10.8.0.0/24 bloğunu kullanacağım. Sunucu bu blokta 10.8.0.1 adresini üstlenecek.

sudo nano /etc/wireguard/wg0.conf

Dosyaya aşağıdaki içeriği yazın. PrivateKey alanına sunucu özel anahtarını, PublicKey alanına ise istemci açık anahtarını yerleştireceğinizi unutmayın.

[Interface]
# Sunucunun sanal ağdaki IP adresi
Address = 10.8.0.1/24
# WireGuard'ın dinleyeceği UDP portu
ListenPort = 51820
# Sunucu özel anahtarı
PrivateKey = SUNUCU_OZEL_ANAHTARI_BURAYA

# Arayüz açıldığında NAT ve yönlendirme kurallarını uygula
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# Arayüz kapandığında kuralları geri al
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# İstemci açık anahtarı
PublicKey = ISTEMCI_ACIK_ANAHTARI_BURAYA
# Bu istemciye tahsis edilen sanal IP
AllowedIPs = 10.8.0.2/32

Burada dikkat edilmesi gereken en önemli nokta PostUp ve PostDown satırlarındaki eth0 arayüz adıdır. Bu ad, sunucunuzun internete çıktığı gerçek ağ arayüzünün adı olmalıdır. Doğru arayüz adını ip route list default komutuyla öğrenebilirsiniz; genellikle eth0, ens3 veya enp1s0 gibi bir değer döner.

AllowedIPs alanı, [Peer] bloğu içinde bu istemcinin hangi IP adreslerinden trafik gönderebileceğini belirtir. Sunucu tarafında bu değer, ilgili istemcinin sanal IP adresi olmalıdır. İleride ikinci bir istemci eklerken yeni bir [Peer] bloğu açıp ona 10.8.0.3/32 gibi farklı bir adres tahsis edeceksiniz.

IP Forwarding ve NAT Kurallarının Ayarlanması#

Sunucunun istemcilerden gelen trafiği internete iletebilmesi için Linux çekirdeğinde IP yönlendirmenin (IP forwarding) etkinleştirilmesi gerekir. Bu, bir sunucunun varsayılan olarak kapalı gelen bir özelliğidir; çünkü çoğu sunucu router görevi görmez. VPN sunucumuzun ise tam olarak bu görevi üstlenmesi gerekiyor.

IP forwarding'i kalıcı biçimde açmak için sysctl yapılandırmasını düzenleyelim.

# sysctl yapılandırmasını düzenle
sudo nano /etc/sysctl.conf

Dosya içinde aşağıdaki satırı bulun ve başındaki # işaretini kaldırın; yoksa dosyanın sonuna ekleyin.

net.ipv4.ip_forward=1

Değişikliği hemen yürürlüğe koymak için:

# Yapılandırmayı yeniden yükle ve doğrula
sudo sysctl -p
sudo sysctl net.ipv4.ip_forward

İkinci komut net.ipv4.ip_forward = 1 çıktısını veriyorsa yönlendirme başarıyla etkinleştirilmiştir. NAT (Network Address Translation) kuralı ise zaten wg0.conf dosyasındaki PostUp satırında MASQUERADE hedefiyle tanımlandı. Bu kural, istemcilerin sanal IP adreslerini sunucunun gerçek genel IP adresine çevirerek dış dünyaya çıkmalarını sağlar. WireGuard servisini başlattığımızda bu kurallar otomatik olarak devreye girecek.

Şimdi güvenlik duvarı ayarlarını yapalım. Eğer sunucunuzda UFW kullanıyorsanız (ki güvenlik için şiddetle öneririm), WireGuard'ın dinlediği UDP 51820 portunu açmanız gerekir. UFW'yi henüz yapılandırmadıysanız UFW güvenlik duvarı rehberi temel kuralları oluşturmakta yardımcı olacaktır.

# WireGuard UDP portunu aç
sudo ufw allow 51820/udp

# SSH portunun açık olduğundan emin ol (kilitlenmemek için kritik)
sudo ufw allow 22/tcp

# UFW'yi etkinleştir ve durumunu kontrol et
sudo ufw enable
sudo ufw status verbose

Bulut sağlayıcınızın kendi güvenlik grubu veya harici güvenlik duvarı varsa (örneğin bir donanım firewall), UDP 51820 portunu orada da açmanız gerektiğini unutmayın. Aksi hâlde paketler sunucuya hiç ulaşamaz ve el sıkışma tamamlanmaz.

WireGuard Servisini Başlatma#

Yapılandırma dosyası ve yönlendirme kuralları hazır olduğuna göre artık WireGuard arayüzünü başlatabiliriz. WireGuard, wg-quick adında pratik bir sarmalayıcı araçla gelir; bu araç yapılandırma dosyasını okuyup arayüzü, adresleri ve PostUp kurallarını tek komutla ayağa kaldırır.

# wg0 arayüzünü başlat
sudo wg-quick up wg0

# Bağlantı durumunu görüntüle
sudo wg show

wg show komutu size arayüzün açık anahtarını, dinleme portunu ve tanımlı peer'ları gösterir. Henüz bir istemci bağlanmadığı için latest handshake satırını göremezsiniz; bu normaldir. Arayüzün sunucu her yeniden başlatıldığında otomatik açılması için servisi systemd üzerinden etkinleştirmek gerekir.

# Sistem açılışında otomatik başlaması için etkinleştir
sudo systemctl enable wg-quick@wg0

# Servis durumunu kontrol et
sudo systemctl status wg-quick@wg0

Servis active (exited) durumundaysa her şey yolunda demektir. WireGuard bir arka plan süreci olarak sürekli çalışmaz; bunun yerine çekirdek düzeyinde bir ağ arayüzü olarak var olur. Bu nedenle servisin durumu running yerine exited görünür ve bu tamamen beklenen bir davranıştır.

İstemci Yapılandırması ve Bağlantı Testi#

Sunucu hazır; şimdi bir istemci profili oluşturup bağlantıyı test edelim. İstemci de tıpkı sunucu gibi bir yapılandırma dosyasına ihtiyaç duyar. İstemci tarafında dosyanın [Interface] bloğuna istemcinin özel anahtarı, [Peer] bloğuna ise sunucunun açık anahtarı ve genel IP adresi yazılır.

İstemci cihazınızda (Linux ise) aşağıdaki içeriği /etc/wireguard/wg0.conf olarak kaydedin. Windows, macOS, Android ve iOS için resmi WireGuard uygulamaları aynı içeriği bir profil olarak içe aktarabilir.

[Interface]
# İstemcinin sanal ağdaki adresi
Address = 10.8.0.2/24
# İstemci özel anahtarı
PrivateKey = ISTEMCI_OZEL_ANAHTARI_BURAYA
# DNS sunucusu (isteğe bağlı, tüm trafiği tünelden geçirirken önerilir)
DNS = 1.1.1.1

[Peer]
# Sunucu açık anahtarı
PublicKey = SUNUCU_ACIK_ANAHTARI_BURAYA
# Sunucunun genel IP adresi ve portu
Endpoint = SUNUCU_GENEL_IP:51820
# Tüm trafiği tünelden geçir
AllowedIPs = 0.0.0.0/0
# NAT arkasındaki bağlantıyı canlı tut
PersistentKeepalive = 25

Buradaki AllowedIPs = 0.0.0.0/0 ayarı, istemcinin tüm internet trafiğini VPN tünelinden geçireceği anlamına gelir; yani tam tünel modu. Yalnızca sunucunun iç ağına erişmek isterseniz bunun yerine ilgili alt ağı (örneğin 10.8.0.0/24 veya 192.168.10.0/24) yazarak bölünmüş tünel (split tunnel) kurabilirsiniz. PersistentKeepalive = 25 satırı, istemci bir NAT veya güvenlik duvarı arkasındaysa bağlantının 25 saniyede bir sinyal göndererek canlı kalmasını sağlar.

İstemcide arayüzü başlatın ve bağlantıyı doğrulayın.

# İstemci tarafında tüneli başlat
sudo wg-quick up wg0

# Sunucuya sanal IP üzerinden ping at
ping -c 4 10.8.0.1

# Genel IP adresinizin değiştiğini doğrulayın
curl ifconfig.me

ping komutu sunucunun 10.8.0.1 adresinden yanıt alıyorsa tünel çalışıyor demektir. curl ifconfig.me çıktısında sunucunuzun genel IP adresini görüyorsanız, tüm internet trafiğiniz artık başarıyla VPN üzerinden akıyor. Sunucu tarafında sudo wg show komutunu tekrar çalıştırdığınızda artık latest handshake satırını ve transfer edilen veri miktarını göreceksiniz; bu, iki taraf arasında şifreli bir tünelin kurulduğunun kesin kanıtıdır.

Sorun Giderme İpuçları#

Kurulumda bir şeyler ters giderse panik yapmayın; WireGuard sorunları genellikle birkaç yaygın nedenden kaynaklanır. En sık karşılaşılan sorun, el sıkışmanın hiç gerçekleşmemesidir. Bu durumda önce sunucunun UDP 51820 portunun hem UFW'de hem de bulut sağlayıcının güvenlik grubunda açık olduğunu kontrol edin.

İkinci sık hata, PostUp satırındaki arayüz adının yanlış olmasıdır. MASQUERADE kuralı yanlış arayüze uygulanırsa tünel kurulur ama internet erişimi çalışmaz. Aşağıdaki komutlarla tanı koyabilirsiniz.

# Aktif NAT kurallarını listele
sudo iptables -t nat -L POSTROUTING -n -v

# IP yönlendirmenin açık olduğunu tekrar doğrula
cat /proc/sys/net/ipv4/ip_forward

# WireGuard arayüzünün durumunu detaylı gör
sudo wg show all dump

Üçüncü olarak, anahtarların yanlış yere yazılması sık görülür. Unutmayın: sunucunun [Interface] bloğunda sunucunun özel anahtarı, [Peer] bloğunda istemcinin açık anahtarı bulunur; istemcide ise tam tersi geçerlidir. Eğer bir tarafta özel anahtar yerine yanlışlıkla açık anahtar yazılmışsa el sıkışma sessizce başarısız olur ve hata mesajı görmezsiniz. Bu tür durumlarda anahtarları baştan üretip dosyaları güncellemek en temiz çözümdür.

Sıkça Sorulan Sorular#

WireGuard OpenVPN'den gerçekten daha mı hızlı?#

Evet, çoğu senaryoda WireGuard belirgin biçimde daha hızlıdır. Bunun temel nedeni WireGuard'ın çekirdek modülü olarak çalışması ve ChaCha20 gibi modern, düşük gecikmeli şifreleme kullanmasıdır. Bağımsız kıyaslama testlerinde WireGuard, OpenVPN'e kıyasla hem daha yüksek verim (throughput) hem de çok daha düşük gecikme sunar; özellikle mobil cihazlarda pil tüketimi de daha azdır. Bu fark, yüksek bant genişliği gerektiren dosya transferi veya video akışı gibi işlerde net biçimde hissedilir.

İkinci bir istemciyi nasıl eklerim?#

İkinci bir istemci eklemek için önce yeni istemci için ayrı bir anahtar çifti üretin. Ardından sunucunun wg0.conf dosyasına yeni bir [Peer] bloğu ekleyin, bu bloğa yeni istemcinin açık anahtarını ve ona tahsis ettiğiniz benzersiz bir sanal IP adresini (örneğin 10.8.0.3/32) yazın. Değişiklikten sonra sudo wg syncconf wg0 <(wg-quick strip wg0) komutuyla yapılandırmayı bağlantıyı kesmeden yeniden yükleyin. Yeni istemcinin kendi profil dosyasında ise sunucunun açık anahtarı ve endpoint bilgisi bulunmalıdır.

WireGuard IP adresimi gizleyerek anonimlik sağlar mı?#

WireGuard trafiğinizi sunucu ile istemci arasında güçlü biçimde şifreler ve genel IP adresinizi sunucunun IP adresiyle değiştirir, ancak tam anonimlik sağlayan bir araç değildir. Kendi sunucunuzu kurduğunuzda bağlantı kayıtları ve gerçek kimliğiniz sizin kontrolünüzde olur; bu güvenlik açısından iyi olsa da anonimlik için tasarlanmış Tor gibi araçlardan farklıdır. WireGuard'ın asıl gücü, güvenli uzaktan erişim ve genel ağlarda şifreli tünel oluşturmaktır, kimlik gizleme değil.

Bağlantı kuruluyor ama internete çıkamıyorum, sorun ne olabilir?#

Bu klasik bir yapılandırma sorunudur ve neredeyse her zaman iki nedenden birine bağlıdır. Birincisi, IP forwarding'in etkinleştirilmemiş olmasıdır; cat /proc/sys/net/ipv4/ip_forward komutu 0 döndürüyorsa sysctl ayarını düzeltmeniz gerekir. İkincisi ise PostUp satırındaki MASQUERADE kuralının yanlış ağ arayüzüne yazılmasıdır; sunucunun internete çıkan gerçek arayüz adını ip route list default ile doğrulayıp yapılandırmayı buna göre güncelleyin. Her iki ayar da doğruysa trafik sorunsuz akmalıdır.

WireGuard'ı bir web sitesi veya hosting hesabıyla birlikte kullanabilir miyim?#

Kesinlikle. WireGuard tipik olarak bir sunucu (VDS, sanal sunucu veya dedicated) üzerine kurulur ve bu sunucu aynı zamanda web sitelerinizi, veritabanlarınızı veya iç servislerinizi barındırabilir. Örneğin veritabanı yönetim panelinizi yalnızca VPN üzerinden erişilebilir kılarak dış dünyaya kapatabilir, böylece güvenliği ciddi biçimde artırabilirsiniz. Paylaşımlı hosting hesaplarında root erişimi olmadığı için WireGuard kuramazsınız; bu yüzden kendi kök yetkinize sahip olduğunuz bir sanal sunucu veya VDS tercih etmeniz gerekir.

Anahtarlarımı kaybedersem veya sızarsa ne yapmalıyım?#

Bir özel anahtarın sızdığından şüpheleniyorsanız hemen o istemci için yeni bir anahtar çifti üretin, sunucudaki ilgili [Peer] bloğundaki eski açık anahtarı yenisiyle değiştirin ve yapılandırmayı yeniden yükleyin. Eski anahtar artık geçersiz olacağı için sızan anahtarla yapılacak bağlantılar reddedilir. Sunucu özel anahtarı sızarsa durum daha ciddidir; bu durumda sunucu anahtarını yeniden üretmeniz ve tüm istemci profillerini güncellemeniz gerekir. Bu tür felaketleri önlemek için anahtar dosyalarını 700 izinli dizinlerde tutmak ve düzenli güvenli yedek almak en iyi uygulamadır.

Kapanış#

WireGuard, VPN kurmanın karmaşık ve zahmetli olması gerektiğine dair eski inancı tamamen yıkan modern bir çözümdür. Birkaç anahtar çifti, kısa bir yapılandırma dosyası ve doğru NAT kurallarıyla dakikalar içinde güvenli, hızlı ve dayanıklı bir uzaktan erişim tüneli kurabildiğinizi bu rehberde adım adım gördük. Sadeliği güvenliğinin de temelini oluşturur; küçük kod tabanı, modern kriptografi ve çekirdek entegrasyonu birlikte hem performansı hem de güven duygusunu yükseltir.

Bu altyapıyı kurmak için ihtiyaç duyacağınız tek şey kök yetkisine sahip, kararlı bir sunucudur. Clou.TR olarak WireGuard ve benzeri altyapı projeleriniz için yüksek performanslı VDS sunucularımızı ve esnek sanal sunucu çözümlerimizi sunuyoruz. Sunucu yönetimini uzmanlarımıza bırakmak isterseniz sunucu yönetimi hizmetimizle kurulum, sertleştirme ve bakım süreçlerinde yanınızdayız. Daha kapsamlı bir güvenlik yapısı hedefliyorsanız DDoS koruma ve yedekleme çözümlerimizle altyapınızı baştan sona sağlama alabilirsiniz. Güvenli bir dijital altyapı kurmak için doğru sunucuyu seçmek ilk adımdır; gerisini birlikte tamamlayalım.