VPN gerçekte ne yapar, ne yapmaz? WireGuard ile kendi VPN'inizi kurmak

VPN (Virtual Private Network, sanal özel ağ), cihazınız ile başka bir ağ ya da sunucu arasında şifreli bir tünel kurar. Bu tünelden geçen trafik, arada bulunan herkes için okunamaz hâle gelir. Ama VPN'in ne yaptığı, onu ne için kullandığınıza göre değişir.

İki farklı kullanım

1. Uzaktan erişim (kurumsal VPN): Evden ya da yoldan, şirketin iç ağına ya da sunucularınıza sanki oradaymış gibi bağlanmak. Dosya sunucusu, iç uygulamalar, veritabanları ve yönetim panelleri internete açılmadan yalnızca VPN üzerinden erişilebilir olur. Bu, VPN'in en güçlü ve en net faydalı kullanımıdır.

2. Ticari VPN servisi: Bütün internet trafiğinizi bir VPN şirketinin sunucularından geçirmek. Siteler sizin değil, o sunucunun IP adresini görür.

Ticari VPN ne yapar?

• Güvenilmeyen ağlarda korur. Kafe, havalimanı ya da otel Wi-Fi'sinde, aynı ağdaki biri trafiğinizi izleyemez.
• İnternet servis sağlayıcınızdan gizler. Sağlayıcınız hangi sitelere bağlandığınızı göremez; yalnızca VPN sunucusuna bağlandığınızı görür.
• IP adresinizi ve konumunuzu gizler. Ziyaret ettiğiniz siteler gerçek IP adresinizi görmez.

Ticari VPN ne yapmaz?

• Sizi anonim yapmaz. Tarayıcınızda Google'a, sosyal medyaya ya da bir alışveriş sitesine giriş yaptıysanız, kim olduğunuz zaten bilinir. Çerezler ve tarayıcı parmak izi gibi takip yöntemleri VPN'den etkilenmez.
• Güveni ortadan kaldırmaz, taşır. Sağlayıcınızın görebildiği her şeyi artık VPN şirketi görebilir. "Kayıt tutmuyoruz" iddiasının bağımsız denetimlerle doğrulanıp doğrulanmadığına bakın. Ücretsiz VPN'lerin önemli bir kısmı, gelirini kullanıcı verisinden elde eder.
• Zararlı yazılımdan ya da oltalamadan korumaz. Sahte bir siteye şifrenizi girerseniz, şifre VPN tünelinden de geçer.
• Bugün zaten şifreli olan trafiği ikinci kez korur. Web trafiğinin büyük kısmı artık HTTPS ile şifreli. Halka açık Wi-Fi'de bile banka şifreniz şifreli gider. VPN burada ek bir katmandır, tek koruma değildir.

Neden WireGuard?

Uzun yıllar boyunca kendi VPN'inizi kurmak, OpenVPN ya da IPsec'in karmaşık yapılandırmalarıyla uğraşmak demekti. WireGuard bu tabloyu değiştirdi:

• Sade: Kod tabanı birkaç bin satır. Bu, güvenlik denetimini çok daha kolay hâle getiriyor.
• Hızlı: Linux çekirdeğinin bir parçası ve modern şifreleme algoritmaları kullanıyor.
• Kolay yapılandırma: Her uç bir anahtar çifti ve birkaç satırlık bir yapılandırma dosyasıyla tanımlanıyor.
• Mobilde kararlı: Telefonunuz Wi-Fi'den mobil veriye geçtiğinde bağlantı kendiliğinden devam ediyor.

Bir sunucuya WireGuard kurmak

Örnek senaryo: Bir Linux sunucusu ve ona bağlanacak bir dizüstü bilgisayar.

Kurulum ve anahtarlar (her iki tarafta):

dnf install wireguard-tools      # RHEL / AlmaLinux
apt install wireguard            # Debian / Ubuntu

umask 077
wg genkey | tee ozel.anahtar | wg pubkey > genel.anahtar

Sunucu: /etc/wireguard/wg0.conf

[Interface]
Address    = 10.66.0.1/24
ListenPort = 51820
PrivateKey = <sunucunun özel anahtarı>

[Peer]
# Dizüstü
PublicKey  = <dizüstünün genel anahtarı>
AllowedIPs = 10.66.0.2/32

Dizüstü: wg0.conf

[Interface]
Address    = 10.66.0.2/24
PrivateKey = <dizüstünün özel anahtarı>

[Peer]
PublicKey           = <sunucunun genel anahtarı>
Endpoint            = sunucu.ornek.com:51820
AllowedIPs          = 10.66.0.0/24
PersistentKeepalive = 25

Başlatmak:

systemctl enable --now wg-quick@wg0
wg show

Güvenlik duvarında UDP 51820 portunu açmayı unutmayın. wg show çıktısında "latest handshake" satırını görüyorsanız tünel çalışıyor demektir. Artık dizüstünden 10.66.0.1 adresiyle sunucuya ulaşabilirsiniz.

AllowedIPs: En önemli satır

AllowedIPs, iki şeyi birden belirler: O uçtan hangi kaynak adreslerin kabul edileceğini ve o uca hangi hedef adreslerin yönlendirileceğini.

• Dizüstünde 10.66.0.0/24: Yalnızca VPN ağına giden trafik tünelden geçer, geri kalan internet trafiği normal yoldan gider (split tunnel).
• Dizüstünde 0.0.0.0/0, ::/0: Bütün trafik tünelden geçer (full tunnel). Bu durumda sunucuda IP yönlendirmesini ve NAT'ı da açmanız gerekir.

Pratik kullanım: Yönetim arayüzlerini internetten kaldırmak

WireGuard'ın en değerli kullanımlarından biri şudur: SSH, veritabanı, hosting paneli ya da izleme araçları gibi yönetim arayüzlerini internete tamamen kapatıp yalnızca VPN arayüzünden erişilebilir yapmak. Saldırı yüzeyi bir anda tek bir UDP portuna iner. WireGuard da geçerli bir anahtarla imzalanmamış paketlere hiç cevap vermez; dışarıdan bakıldığında o port kapalı görünür.

Sonuç

Halka açık Wi-Fi'de güvenlik ve gizlilik için ticari bir VPN işe yarar, ama sizi görünmez yapmaz. Kendi sunucularınıza ve ofis ağınıza güvenli erişim için ise kendi WireGuard VPN'inizi kurmak, yarım saatlik bir yatırımla en büyük güvenlik kazançlarından birini sağlar.