WireGuard Kurulumu: Kendi VPN Sunucunuzu Kurun

Kurulum

Sunucunuza SSH ile bağlandıktan sonra WireGuard'ı ve yardımcı araçları kurun:

sudo apt update
sudo apt install wireguard qrencode iptables

Anahtarları oluşturma

Bu bölümdeki komutları root olarak, /etc/wireguard klasöründe çalıştırın. Sunucu ve ilk istemci (örneğin telefonunuz) için birer anahtar çifti oluşturun:

sudo -i
cd /etc/wireguard
umask 077
wg genkey | tee sunucu.key | wg pubkey > sunucu.pub
wg genkey | tee telefon.key | wg pubkey > telefon.pub

cat sunucu.key gibi komutlarla anahtarları görüntüleyip aşağıdaki dosyalara kopyalayabilirsiniz.

.key dosyaları gizli anahtarlardır ve sunucudan dışarı çıkmamalıdır (istemcinin gizli anahtarı yalnızca istemcinin yapılandırmasına yazılır). .pub dosyaları açık anahtarlardır ve karşı tarafa verilir.

Sunucu yapılandırması

Önce sunucunun internete çıktığı ağ arayüzünün adını öğrenin:

ip route | grep default

Çıktıdaki dev kelimesinden sonra gelen ad (örneğin eth0 ya da ens3) arayüz adıdır. /etc/wireguard/wg0.conf dosyasını oluşturun:

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = SUNUCU_GIZLI_ANAHTARI
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# Telefon
PublicKey = TELEFON_ACIK_ANAHTARI
AllowedIPs = 10.8.0.2/32

• Address: Sunucunun VPN ağındaki adresi. 10.8.0.0/24 ağı, 250'den fazla cihaza yer açar.
• PrivateKey: sunucu.key dosyasının içeriği.
• PostUp ve PostDown: VPN açılınca istemcilerin internete sunucunun IP adresiyle çıkmasını sağlayan NAT kuralını ekler ve kapanınca kaldırır. eth0 yerine kendi arayüz adınızı yazın.
• [Peer]: Her istemci için bir bölüm. AllowedIPs, o istemciye ayrılan VPN adresidir.

IP yönlendirmeyi açma

Sunucunun istemcilerden gelen trafiği internete iletebilmesi için IP yönlendirmeyi açın:

echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-wireguard.conf
sudo sysctl --system

Güvenlik duvarı

ufw kullanıyorsanız WireGuard portunu açın ve VPN'den gelen trafiğin yönlendirilmesine izin verin:

sudo ufw allow 51820/udp
sudo ufw route allow in on wg0 out on eth0

ufw varsayılan olarak yönlendirilen trafiği engeller; ikinci kural olmadan istemciler bağlanır ama internete çıkamaz. Portların ve güvenlik duvarının nasıl çalıştığını Port nedir? yazımızda anlattık.

WireGuard'ı başlatma

sudo systemctl enable --now wg-quick@wg0
sudo wg show

enable, VPN'in sunucu her açıldığında otomatik başlamasını sağlar. wg show çıktısı bağlı istemcileri, son el sıkışma zamanını ve aktarılan veri miktarını gösterir.

İstemci yapılandırması

İstemci için /etc/wireguard klasöründe bir yapılandırma dosyası oluşturun, örneğin telefon.conf:

[Interface]
PrivateKey = TELEFON_GIZLI_ANAHTARI
Address = 10.8.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = SUNUCU_ACIK_ANAHTARI
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

• Endpoint: Sunucunuzun IP adresi ve WireGuard portu.
• AllowedIPs = 0.0.0.0/0: Bütün IPv4 trafiği tünelden geçer. Yalnızca VPN ağındaki servislere erişmek istiyorsanız 10.8.0.0/24 yazın; geri kalan trafiğiniz normal bağlantınızdan devam eder.
• PersistentKeepalive: Mobil ağlarda ve modem arkasında bağlantının açık kalmasını sağlar.

Telefon için QR kod: WireGuard'ın mobil uygulaması yapılandırmayı QR koddan okuyabilir. Sunucuda şu komut, QR kodu doğrudan terminalde gösterir:

qrencode -t ansiutf8 < telefon.conf

Uygulamada QR koddan ekle seçeneğiyle kodu okutun ve tüneli açın. Bilgisayarlar için WireGuard'ın Windows, macOS ve Linux uygulamalarına .conf dosyasını içe aktarmanız yeterlidir.

Yeni cihaz eklemek

Her yeni cihaz için:

1. Yeni bir anahtar çifti oluşturun.
2. wg0.conf dosyasına yeni bir [Peer] bölümü ekleyin ve ona boş bir adres verin (10.8.0.3/32, 10.8.0.4/32 ...).
3. Cihaz için ayrı bir istemci dosyası hazırlayın.
4. sudo systemctl restart wg-quick@wg0 ile yapılandırmayı yeniden yükleyin.

Aynı anahtarı birden fazla cihazda kullanmayın; iki cihaz aynı anda bağlanmaya çalıştığında birbirinin bağlantısını keser.

Güvenlik önerileri

• Gizli anahtarları koruyun. /etc/wireguard klasörünün yalnızca root tarafından okunabildiğinden emin olun ve istemci dosyalarını cihazlara aktardıktan sonra sunucudan silin.
• Kaybolan cihazları hemen çıkarın. Bir telefon kaybolursa ilgili [Peer] bölümünü silip WireGuard'ı yeniden başlatın.
• Yönetim servislerini VPN'e taşıyın. Veritabanı ve yönetim panellerini yalnızca 10.8.0.0/24 ağından erişilebilir yapın; böylece bu servisler internete hiç açılmaz. SSH güvenliği için Fail2ban kurulumu rehberimize de göz atın.
• Kullanım kurallarına uyun. Kendi VPN sunucunuzdan çıkan bütün trafik sunucunuzun IP adresiyle görünür ve sizin sorumluluğunuzdadır. Nodesty Adil Kullanım Politikası, adil kullanım kapsamındaki paketlerde yüksek trafik gerektiren VPN ve ters proxy uygulamalarının çalıştırılmasına izin vermez; WireGuard'ı kendi cihazlarınızın ve ekibinizin güvenli erişimi için kullanın.

WireGuard için Nodesty sunucuları

Nodesty AMD Ryzen 9 9950X VDS ve AMD EPYC 7763 VDS paketleri KVM sanallaştırması ve tam root erişimiyle WireGuard'ı çekirdek düzeyinde çalıştırır. 9950X paketlerindeki Frankfurt ve New York konumları, Avrupa ve Kuzey Amerika'daki cihazlarınız için düşük gecikmeli bir tünel sunar; L3–L7 nShield DDoS koruması da VPN sunucunuzu ağ düzeyindeki saldırılara karşı korur.