WireGuard ile İki Linux Uç Arasında VPN Kurulumu

WireGuard, iki uç arasında şifreli ağ bağlantısı kurmak için kullanılan bir VPN teknolojisidir. Kurulumu kısa görünebilir; ancak anahtar yönetimi, yönlendirme ve ağ izinleri anlaşılmadan yapılan bir ayar istenmeyen erişim oluşturabilir. Bu rehber, iki Linux uç arasında yalnızca tünel adreslerini konuşturan küçük bir laboratuvar senaryosu sunar.

Örnekte Ubuntu Server 24.04 LTS tabanlı sunucunun tünel adresi 10.77.0.1, istemcininki 10.77.0.2'dir. Bu adreslerin mevcut ağlarla çakışmadığı varsayılır. Kurumsal LAN'a yönlendirme, internet çıkışını tünele alma ve NAT bu örnekte kurulmaz. Amaç ilk bağlantıyı ve anahtar eşleşmesini doğrulamaktır; tam bir uzaktan çalışma tasarımı farklı gereksinimler taşır.

1. Ağ erişimi ve anahtar sahipliğini planlayın

İstemcinin ulaşacağı gerçek sunucu adresini, UDP portunu ve aradaki güvenlik duvarını belirleyin. NAT varsa gerekli yönlendirme sunucuya ulaşmalıdır. Hangi istemcinin hangi ağlara erişeceği ayrıca yazılmalıdır. Bir tünelin kurulabilmesi, her hedefe erişim verilmesi gerektiği anlamına gelmez.

Her uç kendi anahtar çiftini üretir. Özel anahtar o uçta korunur; karşı tarafa açık anahtar verilir. Ortak bir özel anahtarı bütün cihazlara dağıtmak, cihaz bazında erişim kaldırmayı zorlaştırır. Kaybolan veya yetkisi biten bir cihazın peer kaydının nasıl kaldırılacağını başlangıçta belirleyin.

2. Paketi kurun ve anahtarları yerelde üretin

Her iki Ubuntu uçta WireGuard araçlarını kurun. WireGuard hızlı başlangıç dokümanı, anahtar ve arayüz mantığını açıklar. Aşağıdaki komutlar anahtar dosyalarını yalnızca ilgili sistemde oluşturur; özel anahtarı ekrana yazdırmaz.

sudo apt update
sudo apt install wireguard
sudo install -m 700 -d /etc/wireguard
sudo sh -c 'umask 077; wg genkey > /etc/wireguard/private.key; wg pubkey < /etc/wireguard/private.key > /etc/wireguard/public.key'

Bu komutu tekrar çalıştırmak mevcut anahtar dosyasını değiştirir. İlk kurulum örneği olarak kullanın; çalışan bağlantının anahtarını değiştirmek ayrı bir rotasyon işlemidir. Açık anahtarı güvenilir bir kanalla karşı uca iletin. Gerçek özel anahtarınızı sohbet, e-posta veya örnek yapılandırma deposuna koymayın.

3. Sunucu arayüzünü tanımlayın

Sunucuda /etc/wireguard/wg0.conf dosyasını yetkili düzenleyiciyle hazırlayın. Aşağıdaki anahtar alanları açıklayıcı yer tutuculardır; gerçek dosyada ilgili uçta üretilen değerlerle değiştirilir. PrivateKey satırı dosya yolu değil, anahtar değerini bekler. Dosya izinlerini yalnızca yetkili yönetime açık tutun.

[Interface]
Address = 10.77.0.1/24
ListenPort = 51820
PrivateKey = SUNUCU_OZEL_ANAHTARI

[Peer]
PublicKey = ISTEMCI_ACIK_ANAHTARI
AllowedIPs = 10.77.0.2/32

Buradaki peer yalnızca istemcinin tünel adresiyle ilişkilidir. Sunucuya yeni istemci eklerken her cihaz için ayrı adres ve açık anahtar kullanılır. AllowedIPs değerlerini belirsiz veya çakışan aralıklarla büyütmeyin. Bu alan hem yönlendirme seçimiyle hem peer ilişkilendirmesiyle bağlantılıdır.

4. İstemciyi dar kapsamlı rota ile hazırlayın

İstemcideki wg0.conf dosyası sunucunun açık anahtarını ve ulaşılabilir gerçek uç adresini içerir. vpn.example.com anlatım için ayrılmış bir isimdir; kendi gerçek sunucu adresinizle değiştirilmelidir. Örnekte yalnızca sunucunun tünel adresi yönlendirilir; istemcinin bütün internet trafiği tünele alınmaz.

[Interface]
Address = 10.77.0.2/24
PrivateKey = ISTEMCI_OZEL_ANAHTARI

[Peer]
PublicKey = SUNUCU_ACIK_ANAHTARI
Endpoint = vpn.example.com:51820
AllowedIPs = 10.77.0.1/32

NAT arkasındaki uçlarda bağlantı davranışına göre PersistentKeepalive gerekebilir; ihtiyacı ölçerek ve ürün dokümanıyla değerlendirerek ekleyin. Her bağlantıya aynı ayarı kopyalamak yerine ağın gerçek davranışını anlayın. İç DNS çözümleme de bu örneğin dışında, ayrı tasarlanacak bir bileşendir.

5. Bağlantıyı açın ve iki yönden test edin

Her uçta yapılandırmanın izinlerini kontrol ettikten sonra arayüzü başlatın. Otomatik açılışa eklemeden önce elle yapılan denemenin başarılı olması daha anlaşılır bir başlangıçtır. Aynı isimli mevcut arayüz varsa onu değiştirmeden durumu inceleyin.

sudo chmod 600 /etc/wireguard/wg0.conf
sudo wg-quick up wg0
sudo wg show

İstemciden 10.77.0.1'e, sunucudan 10.77.0.2'ye kontrollü erişim denemesi yapın. ICMP kapalıysa yalnızca ping sonucuna dayanmayın; izin verilen bir test servisini kullanın. Son handshake ve aktarım sayaçlarını karşılaştırın. Handshake bulunmamasıyla handshake olduğu hâlde hedefe ulaşılamaması farklı inceleme yolları gerektirir.

İşletime alma ve geri dönüş

Laboratuvar denemesi başarılıysa uygun uçta systemctl enable wg-quick@wg0 ile açılışta başlatma değerlendirilebilir. Geri dönüş için wg-quick down wg0 ve ilgili servis yapılandırması anlaşılmış olmalıdır. Gerçek kurumsal ağlara erişim eklenecekse IP forwarding, firewall, dönüş rotaları ve yetkilendirme birlikte tasarlanır; bu yazı bunları otomatik açmaz.

Kabul dosyasında peer sahipleri, erişim kapsamı, anahtar yenileme ve cihaz kaldırma adımları yer alsın. CieloSync ile ağ ve uzaktan erişim ihtiyaçlarınızı birlikte değerlendirebilirsiniz.