VDS Üzerine WireGuard VPN Kurulumu: Adım Adım Rehber

VDS VPN kurulumu, sabit IP adresli ve tamamen sizin kontrolünüzde olan bir VPN sunucusuna sahip olmanın en pratik yoludur. Uzaktan çalışan ekibinizin şirket kaynaklarına güvenli erişimi, halka açık Wi-Fi ağlarında trafiğinizin şifrelenmesi ya da yönetim panellerinizi yalnızca VPN üzerinden erişilebilir kılmak gibi ihtiyaçlar için WireGuard bugün en sade ve en hızlı seçeneklerden biridir. Bu rehberde Ubuntu 22.04/24.04 ve AlmaLinux 9 üzerinde WireGuard sunucusunu sıfırdan kurmayı, istemci eklemeyi ve sık karşılaşılan sorunları çözmeyi adım adım anlatıyoruz.

WireGuard Nedir, Neden Tercih Edilir?

WireGuard, modern kriptografi üzerine kurulu, açık kaynaklı bir VPN protokolüdür. Linux çekirdeğinin 5.6 sürümünden beri çekirdeğin bir parçasıdır; Ubuntu 22.04, Ubuntu 24.04 ve AlmaLinux 9 çekirdeklerinde de modül olarak hazır gelir. Öne çıkan özellikleri şunlardır:

• Sade yapılandırma: Her taraf için birkaç satırlık bir yapılandırma dosyası yeterlidir; sertifika otoritesi kurmanız gerekmez.
• Yüksek performans: Çekirdek içinde çalıştığı için düşük işlemci yüküyle yüksek hız sağlar.
• Anahtar tabanlı kimlik: Her cihazın bir özel ve bir açık anahtarı vardır; SSH anahtarlarına benzer bir mantıkla çalışır.
• Dolaşım desteği: Telefonunuz Wi-Fi'dan mobil veriye geçtiğinde bağlantı kendiliğinden devam eder.
• Geniş istemci desteği: Windows, macOS, Linux, Android ve iOS için resmî uygulamalar bulunur.

VPN, VDS kullanım alanlarından yalnızca biridir; diğer senaryolar için VDS ile neler yapılabilir yazımıza göz atabilirsiniz.

Kurulum Öncesi Plan

Komutlara geçmeden önce kullanılacak adresleri belirleyelim. Bu rehberde aşağıdaki değerler kullanılmıştır; kendi ortamınıza göre değiştirebilirsiniz.

Seçtiğiniz alt ağın, istemcilerin bağlandığı ev veya ofis ağlarıyla çakışmamasına dikkat edin. Komutların tamamı root yetkisiyle çalıştırılmalıdır; bu nedenle önce sudo -i ile root kabuğuna geçin.

Adım 1: WireGuard Paketlerini Kurun

# Ubuntu 22.04 / 24.04
apt update
apt install wireguard

# AlmaLinux 9
dnf install wireguard-tools

Bu paketler wg ve wg-quick araçlarını kurar. Çekirdek modülü işletim sistemiyle birlikte geldiği için ayrıca derleme yapmanız gerekmez.

Adım 2: Anahtar Çiftlerini Oluşturun

cd /etc/wireguard
umask 077
wg genkey | tee sunucu_private.key | wg pubkey > sunucu_public.key
wg genkey | tee istemci1_private.key | wg pubkey > istemci1_public.key

umask 077 komutu, oluşturulan anahtar dosyalarının yalnızca root tarafından okunabilmesini sağlar. Özel anahtarlar asla paylaşılmamalıdır. Pratiklik açısından istemci anahtarını da sunucuda ürettik; daha yüksek güvenlik için istemci anahtarını istemci cihazda oluşturup sunucuya yalnızca açık anahtarı iletebilirsiniz.

Adım 3: IP Yönlendirmeyi Açın

İstemcilerin internet trafiğinin sunucu üzerinden çıkabilmesi için çekirdeğin paket yönlendirmesine izin vermesi gerekir:

echo 'net.ipv4.ip_forward = 1' > /etc/sysctl.d/99-wireguard.conf
sysctl --system

Adım 4: Dış Ağ Arayüzünün Adını Öğrenin

ip -o -4 route show to default | awk '{print $5}'

Çıktıda eth0, ens18 veya ens3 gibi bir ad görürsünüz. Aşağıdaki örneklerde eth0 kullanılmıştır; kendi arayüz adınızla değiştirmeyi unutmayın. Bu, kurulumlarda en sık yapılan hatadır.

Adım 5: Sunucu Yapılandırmasını Yazın

Özel anahtarınızı cat sunucu_private.key, istemcinin açık anahtarını cat istemci1_public.key ile görüntüleyip aşağıdaki dosyaya yerleştirin.

Ubuntu için /etc/wireguard/wg0.conf

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = SUNUCU_PRIVATE_KEY
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# istemci1
PublicKey = ISTEMCI1_PUBLIC_KEY
AllowedIPs = 10.8.0.2/32

Sunucunuzda UFW etkinse WireGuard portunu ve VPN'den internete yönlendirmeyi ayrıca izin verin:

ufw allow 51820/udp
ufw route allow in on wg0 out on eth0

UFW kullanımının ayrıntıları için Ubuntu'da UFW güvenlik duvarı rehberimize bakabilirsiniz.

AlmaLinux 9 için /etc/wireguard/wg0.conf

AlmaLinux'ta güvenlik duvarı firewalld ile yönetildiği için NAT kurallarını yapılandırma dosyası yerine firewalld'ye tanımlamak daha temizdir. Dosyada PostUp ve PostDown satırları yer almaz:

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = SUNUCU_PRIVATE_KEY

[Peer]
# istemci1
PublicKey = ISTEMCI1_PUBLIC_KEY
AllowedIPs = 10.8.0.2/32

firewall-cmd --permanent --add-port=51820/udp
firewall-cmd --permanent --zone=trusted --add-interface=wg0
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Bu komutlar WireGuard portunu açar, VPN arayüzünü güvenilen bölgeye alır ve varsayılan bölgede adres dönüştürmeyi (masquerade) etkinleştirir. firewalld bölgeleri hakkında daha fazlası için AlmaLinux'ta firewalld kullanımı yazımızı okuyabilirsiniz.

Adım 6: WireGuard'ı Başlatın

systemctl enable --now wg-quick@wg0
wg show

enable --now servisi hemen başlatır ve sunucu yeniden başladığında otomatik açılmasını sağlar. wg show çıktısında arayüzü, dinlenen portu ve tanımlı istemciyi görmelisiniz.

Adım 7: İstemci Yapılandırması

İstemci cihaz için aşağıdaki içerikle istemci1.conf adlı bir dosya hazırlayın:

[Interface]
PrivateKey = ISTEMCI1_PRIVATE_KEY
Address = 10.8.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = SUNUCU_PUBLIC_KEY
Endpoint = SUNUCU_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0 tüm IPv4 trafiğini VPN'den geçirir (tam tünel). Yalnızca VPN ağındaki kaynaklara erişmek ve internet trafiğini normal bağlantınızdan çıkarmak istiyorsanız bu değeri 10.8.0.0/24 yapın (bölünmüş tünel). PersistentKeepalive, NAT arkasındaki istemcilerde bağlantının kapanmasını önler.

Windows ve macOS'ta resmî WireGuard uygulamasında dosyayı içe aktarmanız yeterlidir. Telefonlar için yapılandırmayı sunucuda QR koda dönüştürebilirsiniz:

# Ubuntu
apt install qrencode
# AlmaLinux 9 (gerekirse önce: dnf install epel-release)
dnf install qrencode

qrencode -t ansiutf8 < istemci1.conf

Bağlandıktan sonra IP adresim aracımızı açtığınızda, tam tünel kullanıyorsanız artık sunucunuzun IP adresini görmelisiniz.

Adım 8: Yeni İstemci Eklemek

Her cihaz için ayrı anahtar çifti ve ayrı VPN adresi kullanın. Yeni istemciyi servisi yeniden başlatmadan eklemek için:

wg genkey | tee istemci2_private.key | wg pubkey > istemci2_public.key
wg set wg0 peer $(cat istemci2_public.key) allowed-ips 10.8.0.3/32

wg set ile yapılan değişiklik çalışan arayüze anında uygulanır ama kalıcı değildir. Aynı istemciyi wg0.conf dosyasına yeni bir [Peer] bloğu olarak da eklemeyi unutmayın; aksi hâlde yeniden başlatmada kaybolur. Bir cihazı kaybettiğinizde ilgili [Peer] bloğunu silmek, o cihazın erişimini tamamen kaldırır.

Günlük Yönetim Komutları

Kurulum tamamlandıktan sonra WireGuard'ı yönetmek için birkaç komut yeterlidir:

# Durumu ve bağlı istemcileri görüntüle
wg show

# Servisi durdur, başlat, yeniden başlat
systemctl stop wg-quick@wg0
systemctl start wg-quick@wg0
systemctl restart wg-quick@wg0

# wg0.conf dosyasındaki Peer değişikliklerini bağlantıları koparmadan uygula
wg syncconf wg0 <(wg-quick strip wg0)

# Servis günlüklerini incele
journalctl -u wg-quick@wg0

wg syncconf komutu, yapılandırma dosyasına eklediğiniz ya da sildiğiniz istemcileri diğer kullanıcıların bağlantısını kesmeden çalışan arayüze uygular. Komut bash süreç ikamesi kullandığı için root kabuğunda bash ile çalıştırılmalıdır. wg show çıktısındaki transfer satırı her istemcinin ne kadar veri gönderip aldığını, latest handshake satırı ise en son ne zaman bağlantı kurduğunu gösterir; kullanılmayan cihazları tespit edip yapılandırmadan çıkarmak için bu bilgilerden yararlanabilirsiniz.

Sorun Giderme

• El sıkışma (handshake) yok: wg show çıktısında latest handshake satırı görünmüyorsa istemci sunucuya ulaşamıyordur. UDP 51820 portunun güvenlik duvarında açık olduğunu, Endpoint adresini ve anahtarların doğru eşleştiğini kontrol edin. Sunucuda tcpdump -ni eth0 udp port 51820 ile paketlerin gelip gelmediğini görebilirsiniz.
• Bağlantı var ama internet yok: IP yönlendirmenin açık olduğunu (sysctl net.ipv4.ip_forward), NAT kuralındaki arayüz adının doğru olduğunu ve istemcideki DNS ayarını kontrol edin.
• Bazı siteler açılmıyor: Bu genellikle MTU sorunudur. İstemci yapılandırmasındaki [Interface] bölümüne MTU = 1380 gibi daha düşük bir değer ekleyerek deneyin.

VPN Kurulumundan Sonra Güvenlik

WireGuard çalıştıktan sonra onu bir güvenlik katmanı olarak kullanabilirsiniz. Örneğin VPN bağlantınızın sorunsuz çalıştığını doğruladıktan sonra SSH'ı yalnızca VPN ağından erişilebilir hâle getirebilirsiniz. Ubuntu'da bunun için önce ufw allow from 10.8.0.0/24 to any port 22 proto tcp kuralını ekleyin, ardından genel SSH kuralını kaldırın. Bu değişikliği yapmadan önce sağlayıcınızın konsol erişimine sahip olduğunuzdan emin olun; aksi hâlde VPN arızasında sunucuya erişiminizi kaybedebilirsiniz.

Sık Sorulan Sorular

WireGuard mı OpenVPN mi?

WireGuard daha sade yapılandırması ve çekirdek içi çalışması sayesinde genellikle daha yüksek hız ve daha düşük işlemci kullanımı sunar. OpenVPN ise TCP üzerinden çalışabilmesi ve uzun süredir kurumsal ortamlarda kullanılması nedeniyle bazı kısıtlı ağlarda tercih edilir.

Kaç cihaz bağlayabilirim?

Her cihaz için ayrı bir Peer tanımı yeterlidir. /24 alt ağ, 250'den fazla istemci adresi sağlar. Pratikte sınırı sunucunuzun bant genişliği ve işlemci kaynağı belirler.

VPN sunucumun lokasyonu neyi değiştirir?

Tam tünel kullandığınızda internet sitelerine sunucunuzun IP adresi ve lokasyonuyla çıkarsınız. Türkiye'deki kaynaklara hızlı erişim için Türkiye lokasyonu, Avrupa'daki hizmetlere yakınlık için Almanya lokasyonu tercih edilebilir.

Portu 51820'den farklı yapabilir miyim?

Evet. Sunucudaki ListenPort, istemcideki Endpoint ve güvenlik duvarı kuralını aynı porta göre güncellemeniz yeterlidir.

IPv6 trafiği de VPN'den geçer mi?

Bu rehberdeki yapılandırma yalnızca IPv4 içindir. IPv6 desteği için sunucu ve istemciye IPv6 adresleri, istemcinin AllowedIPs değerine ::/0 ve sunucuda IPv6 yönlendirme ile NAT veya yönlendirilmiş bir IPv6 alt ağı eklemeniz gerekir.

Bu adımlarla VDS VPN kurulumu birkaç dakikada tamamlanır ve sabit IP'li, size özel, yüksek performanslı bir VPN altyapısına sahip olursunuz. WireGuard için güçlü bir donanıma gerek yoktur; Ankara lokasyonlu sanal sunucularımız Türkiye'den düşük gecikmeli erişim sağlarken, Avrupa çıkışı isteyenler Almanya lokasyonlu VDS seçeneğini değerlendirebilir. Limitsiz trafik ve DDoS koruması tüm paketlerde standarttır.