WireGuard Nedir? Kendi VPN Sunucunu 10 Dakikada Kur (Ubuntu)

Kısa cevap: WireGuard, modern, hızlı ve açık kaynaklı bir VPN protokolüdür. Linux çekirdeğinin içinde gelir, yapılandırması birkaç satırdır ve telefon, bilgisayar ve tabletler için resmi uygulamaları vardır. Bir VPS üzerine WireGuard kurarak 10 dakikada kendi VPN sunucuna sahip olabilirsin.

Kullanımın, bulunduğun ülkenin yasalarına ve hizmet aldığın sağlayıcıların kurallarına uygun olmalıdır. Bu rehber; güvenli olmayan ağlarda bağlantını şifrelemek, ekibine sabit bir IP üzerinden erişim vermek gibi meşru kullanımlar içindir.

Neden Kendi VPN Sunucun?

• Güvensiz Wi-Fi'de şifreleme: Kafe, otel, havalimanı ağlarında trafiğin şifreli bir tünelden sunucuna gider.
• Sabit IP: Yalnızca belirli IP'lere açık yönetim panellerine, veritabanlarına veya sunuculara ekibin tek bir sabit IP üzerinden erişir (statik IP nedir?).
• Uzaktan erişim: Ofis veya ev ağındaki cihazlara güvenli erişim.
• Kontrol sende: Kayıt (log) politikasını sen belirlersin; üçüncü taraf bir VPN şirketine güvenmen gerekmez.

Dezavantajı: Tek bir sunucu, tek bir IP ve konum demektir; ticari VPN'lerdeki gibi onlarca ülke arasında geçiş yapamazsın. Sunucunun güncellemesi ve güvenliği de senin sorumluluğundadır.

WireGuard mı, OpenVPN mi?

	WireGuard	OpenVPN
Hız	Çok hızlı, düşük gecikme	İyi, ama genelde daha yavaş
Yapılandırma	Birkaç satır	Sertifikalar ve uzun ayar dosyaları
Kod tabanı	Küçük (denetlemesi kolay)	Büyük
Mobil pil kullanımı	Düşük	Daha yüksek
Port	UDP (varsayılan 51820)	UDP veya TCP (TCP 443 ile kısıtlı ağlardan geçebilir)

Yeni bir kurulumda çoğu senaryo için WireGuard daha basit ve hızlıdır. Yalnızca TCP'ye izin veren çok kısıtlı ağlardan geçmen gerekiyorsa OpenVPN hâlâ işe yarar.

Kurulum (Ubuntu 22.04 / 24.04)

Gereken kaynak çok azdır: en küçük VPS bile birkaç kişilik bir VPN için yeterlidir. Asıl önemli olan aylık trafik kotasıdır.

1. Paketleri kur ve anahtarları üret

apt update && apt install -y wireguard qrencode
cd /etc/wireguard
umask 077
wg genkey | tee sunucu.key | wg pubkey > sunucu.pub
wg genkey | tee telefon.key | wg pubkey > telefon.pub

Her cihazın kendi anahtar çifti olur. .key dosyaları gizlidir; hiçbir yerde paylaşma.

2. IP yönlendirmeyi aç

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system

3. İnternete çıkan ağ arayüzünün adını öğren

ip route show default

Çıktıdaki dev sözcüğünden sonraki ad (çoğu sunucuda eth0) aşağıdaki ayarda kullanılır.

4. Sunucu ayarını yaz (/etc/wireguard/wg0.conf)

Aşağıdaki komut, anahtarları dosyalardan okuyarak ayarı oluşturur. eth0 farklıysa değiştir:

cd /etc/wireguard
cat > wg0.conf <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(cat sunucu.key)
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -I FORWARD -i wg0 -j ACCEPT; iptables -I FORWARD -o wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT

[Peer]
# telefon
PublicKey = $(cat telefon.pub)
AllowedIPs = 10.8.0.2/32
EOF

5. Güvenlik duvarı ve başlatma

ufw allow OpenSSH
ufw allow 51820/udp
ufw --force enable
systemctl enable --now wg-quick@wg0
wg show

wg show çıktısında interface: wg0 ve dinlenen port görünmelidir.

6. Telefon (istemci) ayarı ve QR kod

SUNUCU_IP yerine sunucunun genel IP adresini yaz:

cd /etc/wireguard
cat > telefon.conf <<EOF
[Interface]
PrivateKey = $(cat telefon.key)
Address = 10.8.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = $(cat sunucu.pub)
Endpoint = SUNUCU_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
EOF
qrencode -t ansiutf8 < telefon.conf

Telefona resmi WireGuard uygulamasını kur, "QR koddan ekle" ile terminalde çıkan kodu okut ve tüneli aç. Bilgisayarda ise aynı .conf dosyasını WireGuard uygulamasına içe aktarabilirsin.

IPv6 notu: AllowedIPs = 0.0.0.0/0, ::/0 tüm trafiği tünele yönlendirir. Sunucuda IPv6 yönlendirmesi kurmadıysan IPv6 bağlantıları tünelde kalır ve çalışmaz (dışarı sızmaz); uygulamalar genelde IPv4'e geri döner.

7. Test et

Tünel açıkken IP adresim sayfasını aç: görünen IP, VPN sunucunun IP'si olmalı. Görünmüyorsa wg show ile "latest handshake" satırına bak; el sıkışma yoksa port (51820/udp) kapalı veya Endpoint adresi yanlıştır.

Yeni Cihaz Eklemek

1. Yeni anahtar çifti üret: wg genkey | tee laptop.key | wg pubkey > laptop.pub
2. wg0.conf dosyasına yeni bir [Peer] bloğu ekle; AllowedIPs her cihaz için farklı olsun (10.8.0.3/32, 10.8.0.4/32…).
3. systemctl restart wg-quick@wg0
4. İstemci dosyasını aynı şekilde oluştur (Address = yeni IP).

Çok sayıda kullanıcı yönetecek ve web arayüzü istiyorsan, WireGuard için hazırlanmış Docker tabanlı yönetim panelleri de vardır; ancak yukarıdaki elle kurulum, ne olup bittiğini anlamak için en iyi yoldur.

Güvenlik İpuçları

• Sunucuya şifre yerine SSH anahtarıyla bağlan ve şifreyle girişi kapat (SSH rehberi).
• Kullanılmayan cihazların [Peer] bloğunu sil; kaybolan bir telefonun anahtarı tünele erişebilir.
• Sistem güncellemelerini düzenli yap: apt update && apt upgrade.