Kendi VPN'inizi kurun: offshore bir VPS üzerinde WireGuard

Neden kendi VPN'inizi çalıştırmalısınız

Ticari bir VPN, birkaç çıkış IP'sini paylaşan binlerce kullanıcı boyunca tek bir şirketin kayıt-tutmama iddiasına güvenmenizi ister. WireGuard'ı offshore bir VPS üzerinde kendiniz barındırmak bu güven modelini tersine çevirir: anahtarları siz tutarsınız, günlük kayıt politikasını siz belirlersiniz ve var olan tek meta veri, tutmayı seçtiğiniz meta veridir. Bazı tehdit modelleri için bu doğru takastır — pazarlama metnine güvenmeyi bırakır, kendi yapılandırmanıza ve sunucunun bulunduğu yargı bölgesine güvenmeye başlarsınız.

WireGuard bu iş için modern seçimdir. OpenVPN veya IPsec'in yanında çok küçük bir saldırı yüzeyine sahip, birkaç bin satırlık denetlenmiş çekirdek kodudur ve sabit, modern kriptografi ile gelir — Curve25519, ChaCha20-Poly1305, BLAKE2s — bu yüzden zayıf bir şeye yanlış yapılandırılacak bir şifre paketi yoktur. El sıkışmalar hızlıdır, Wi-Fi ile mobil arasında dolaşım kesintisizdir ve boştaki bir tünel neredeyse hiçbir maliyet getirmez. Offshore bir VPS üzerinde 6 bölge arasından seçtiğiniz bir yargı bölgesinde özel bir çıkış elde edersiniz, yaklaşık 15 min içinde çevrimiçi olur; her planda standart olan 1.5 Tbps L3/4 azaltma ve sayaçsız bir port ile.

Kendi barındırdığınız bir tünel neyi gizler — ve neyi gizlemez

Onu kurmadan önce model konusunda dürüst olun. Kendi barındırdığınız bir tünel, cihazınız ile VPS arasındaki her şeyi şifreler, bunu yerel ağınızdan ve ISP'nizden gizler ve üzerinden yönlendirdiğiniz her şey için ev IP'nizi VPS IP'siyle değiştirir. Bu, düşmanca Wi-Fi'da, sabit bir adresin arkasındaki kendi hizmetlerinize erişmek için ya da erişim ISP'nizi gezinmenizin dışında tutmak için gerçekten faydalıdır.

Yapmadığı şey ise sizi anonim kılmaktır. Çıkış IP'si yalnızca size aittir — içine karışacağınız bir kullanıcı kalabalığı yoktur, dolayısıyla bağlantının her iki ucunu ilişkilendirebilen ya da barındırıcıya karşı bağlayıcı bir karar elde eden herkes, o adresi hesabınıza atfedebilir. Barındırıcı tarafında duruş sabittir: DMCA bildirimleri işleme alınmaz veya yanıtlanmaz — DMCA bir ABD yasasıdır ve yargı bölgelerimizde hiçbir hükmü yoktur, biz yalnızca ilgili sunucu üzerinde yargı yetkisine sahip bir mahkemeden gelen bağlayıcı bir karar üzerine harekete geçeriz. Bu sizi otomatik kaldırma robotlarından korur; tek kullanıcılı bir VPN'i bir anonimlik aracına dönüştürmez. Düşmanınız küresel bir pasif gözlemciyse, bunun yerine Tor'a yönelin. Kendi barındırdığınız bir tünel bir gizlilik ve kontrol aracıdır, bir pelerin değil.

Önce konumu ve planı seçin

Kişisel bir VPN bant genişliğine bağlıdır, CPU'ya değil, bu yüzden en küçük plan fazlasıyla yeterlidir — aylık $8.00 başlangıçlı Drift VPS, vCPU'su zorlanmadan çok önce portunu doyuracaktır. Karar bütçenizi bunun yerine nereye kuracağınıza harcayın. Etkileşimli kullanım için gecikme önemliyse sunucuyu size yakın koyun, ya da hukuki mesafe gidiş-dönüş süresinden daha önemliyse sizden uzağa koyun.

Romanya ve Hollanda taban ücretten faturalandırılır ve en iyi Avrupa bağlantısını taşır; İsviçre, İzlanda, Malezya ve Panama, yapılandırıcıda canlı olarak gösterilen bölgesel bir değiştirici uygular. Malezya Asya-Pasifik tercihidir; Panama ve İzlanda en çok yargısal mesafeye yaslanır. Emin değilseniz, eşlik eden hangi offshore konumu seçmelisiniz? rehberi bölge bölge ödünleşmeleri ele alır. Hangisini seçerseniz seçin, bakiyenizi $30.00 tutarından kripto ile yükleyin ve dağıtın — kimlik denetimi yoktur ve dosyada kart yoktur.

Parçalar nasıl bir araya gelir

WireGuard, bir VPN'i her biri bir açık anahtarla tanımlanan, sanal bir arabirim (burada wg0) üzerinden konuşan bir eşler kümesi olarak modeller. Sunucu özel bir alt ağ alır — diyelim 10.66.0.0/24 artı bir IPv6 ULA — ve her istemci içindeki bir adresi alır. Sunucunun [Interface] bloğu özel anahtarını ve dinleme portunu tutar; her istemci, o istemcinin açık anahtarını ve kullanmasına izin verilen adresleri taşıyan bir [Peer] bloğudur.

İstemci tarafında, AllowedIPs = 0.0.0.0/0, ::/0 bunu tam tünelli bir VPN yapan şeydir: istemciye tüm trafiği wg0 üzerinden yönlendirmesini söyler. Sunucu daha sonra bu trafiği bir maskeleme kuralıyla gerçek ağ arabirimi üzerinden NAT'lar, IP yönlendirmesinin çekirdekte etkinleştirilmesi gerekmesinin nedeni de budur. PersistentKeepalive = 25, durum bilgisi tutan güvenlik duvarları ve taşıyıcı NAT'ı boyunca yolu açık tutar. İstemcideki DNS'i güvendiğiniz bir çözümleyiciye ayarlayın ki aramalar yerel ağınıza sızmak yerine tünelin içinden geçsin. WireGuard'ın kendisi bağlantısızdır — bırakılacak uzun ömürlü bir oturum yoktur, bu yüzden bağlantı, uyuyan bir dizüstü bilgisayardan ya da Wi-Fi'dan mobile geçen bir telefondan hiçbir yeniden bağlanma dansı olmadan sağ çıkar. Bir yolun tuhaf bir MTU'su varsa ve büyük paketler takılırsa, istemci arabirimi MTU'sunu 1380 civarına düşürmek genellikle sorunu çözer. Şu dört fikri — arabirim, eşler, AllowedIPs, maskeleme — kavrayın ve aşağıdaki yapılandırma düzyazı gibi okunur.

Hazır oradayken sunucuyu sıkılaştırın

Bir VPN uç noktasını sıkılaştırmaya değer. SSH'yi yalnızca anahtarla kimlik doğrulamaya geçirin ve /etc/ssh/sshd_config içinde parola ve root oturumlarını devre dışı bırakın (PasswordAuthentication no, PermitRootLogin prohibit-password), ardından sshd'yi yeniden yükleyin. Güvenlik duvarını varsayılan-reddet konumunda tutun: bir WireGuard kutusunun ihtiyaç duyduğu tek gelen portlar SSH ve UDP 51820'dir. Geri kalan her şey kapalı kalır.

WireGuard anahtar dosyalarını 0600 izninde tutun — aşağıdaki adımlardaki umask 077 bunu halleder — ve özel bir anahtarı ait olduğu sunucudan asla kopyalamayın. Çekirdeğin ve wireguard paketinin bir gözcüye gerek kalmadan yamalı kalması için gözetimsiz güvenlik güncellemelerini açın. Tünel ayağa kalktığında DNS sızıntılarını test edin — erişim İSS'niz üzerinden değil, seçtiğiniz çözümleyici üzerinden çözülen bir sorgu, sorguların gerçekten wg0 içinde kaldığını doğrular. Daha sonra başka hizmetler açarsanız, güvenlik duvarını genişletmek yerine fail2ban ve hizmet başına kurallar ekleyin. Bunların hiçbiri sağlayıcıya bağlı değildir: VPS sizin, root sizin ve 99.9% çalışma süresi taahhüdü kutuyu erişilebilir tutarak tünelinizin ayakta kalmasını sağlar.

Daha fazla cihaz ekleyin ve çalışır durumda tutun

Bağlanan her cihazın sunucuda kendi anahtar çiftine ve kendi [Peer] bloğuna ihtiyacı vardır; her biri alt ağ içinde benzersiz bir adrese sahip olmalıdır — tek bir anahtar çiftini bir dizüstü ve bir telefon arasında yeniden kullanmak gezinmeyi (roaming) bozar ve sorun gidermeyi bulanıklaştırır. Yeni bir client2.key/client2.pub çifti oluşturun, bir eş (peer) ekleyin ve arayüzü ya wg syncconf wg0 <(wg-quick strip wg0) ile yeniden yükleyin ya da systemctl restart wg-quick@wg0 ile yeniden başlatın.

Telefonlar için dosya kopyalamayı tamamen atlayın: istemci yapılandırmasını sunucuda qrencode -t ansiutf8 < client.conf ile bir QR kodu olarak oluşturun ve doğrudan resmi WireGuard uygulamasına tarayın. Kimin bağlı olduğunu ve her eşin son ne zaman el sıkıştığını (handshake) görmek için wg show komutunu çalıştırın — kişisel bir kurulum için izlemenin tamamı budur. Bir çekirdek yükseltmesinden önce alınan anlık görüntüler, yeni bir sürüm hatalı davranırsa size temiz bir geri alma imkânı verir.

Ticari bir VPN veya Tor'un daha iyi bir araç olduğu durumlar

Kendi sunucunuzu barındırmak her zaman yanıt değildir ve aksini ileri sürmek dürüstçe olmaz. Amacınız kalabalığın içinde kaybolmaksa, saygın çok kullanıcılı bir VPN size aynı anda birçok kişinin kullandığı paylaşımlı çıkış IP'leri verir — tek kiracılı bir tünel bunu sunamaz. Talep üzerine çıkış ülkeleri arasında geçiş yapmanız gerekiyorsa, tek tıkla geçiş yapan bir uygulamaya sahip ticari bir hizmet, kutular oluşturmaktan basitçe daha pratiktir. Ve iyi kaynaklara sahip bir saldırgana karşı gerçek anonimlik gerekiyorsa, Tor'un soğan yönlendirmesi tam olarak kendi barındırdığınız bir VPN'in çözemeyeceği korelasyon sorunu için tasarlanmıştır.

Kendi barındırmanın kazandığı yer kontrol ve gizliliktir: bir başkasının günlük tutma politikasına güvenmiyorsunuz, yönetim ve izin listeleri için kararlı ayrılmış bir IP elde ediyorsunuz ve yargı yetkisine siz karar veriyorsunuz. Birçok kişi ikisini birden kullanır — günlük gizlilik için kendi barındırdığı bir tünel ve anonimlik gerektiren nadir görev için Tor. En iyi açılış sayfasına sahip olanı değil, tehdide uyan aracı seçin.

Adım adım

1. 01

   VPS'i dağıtın ve WireGuard'ı kurun

   Debian 13 veya Ubuntu 24.04 ile bir VPS dağıtın, SSH üzerinden root olarak oturum açın, ardından ihtiyaç duyduğunuz iki paketi güncelleyip kurun.

   apt update && apt full-upgrade -y
   apt install -y wireguard qrencode

2. 02

   IP yönlendirmeyi etkinleştirin

   Tam tünelli bir VPN, istemci trafiğini sunucunun arayüzünden dışarı yönlendirir, dolayısıyla çekirdek IPv4 ve IPv6 için yönlendirmeye izin vermelidir.

   cat > /etc/sysctl.d/99-wg.conf <<'EOF'
   net.ipv4.ip_forward=1
   net.ipv6.conf.all.forwarding=1
   EOF
   sysctl --system

3. 03

   Sunucu anahtarlarını oluşturun

   Her anahtar dosyasının 0600 izninde oluşması için sıkı bir umask ile /etc/wireguard dizininde çalışın.

   cd /etc/wireguard
   umask 077
   wg genkey | tee server.key | wg pubkey > server.pub

4. 04

   Bir istemci anahtar çifti oluşturun

   Her cihaz kendi anahtar çiftini alır. İlkini şimdi oluşturun.

   wg genkey | tee client.key | wg pubkey > client.pub

5. 05

   Sunucu yapılandırmasını yazın

   Gerçek ağ arayüzünüzü ip route get 1.1.1.1 ile bulun ve farklıysa aşağıdaki eth0'ı değiştirin (genellikle enp1s0 olur). $(cat ...) çağrıları az önce oluşturduğunuz anahtarları satır içine yerleştirir.

   cat > /etc/wireguard/wg0.conf <<EOF
   [Interface]
   Address = 10.66.0.1/24, fd86:ea04:1115::1/64
   ListenPort = 51820
   PrivateKey = $(cat server.key)
   PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
   
   [Peer]
   PublicKey = $(cat client.pub)
   AllowedIPs = 10.66.0.2/32, fd86:ea04:1115::2/128
   EOF

6. 06

   İstemci yapılandırmasını yazın

   Aynı dizinde client.conf oluşturun. client.key ve server.pub içeriğini gösterilen yere yapıştırın ve Endpoint değerini sunucunuzun genel IP'sine ayarlayın. AllowedIPs = 0.0.0.0/0, ::/0 her şeyi tünel üzerinden yönlendirir.

   [Interface]
   PrivateKey = <paste client.key>
   Address = 10.66.0.2/32, fd86:ea04:1115::2/128
   DNS = 9.9.9.9
   
   [Peer]
   PublicKey = <paste server.pub>
   Endpoint = YOUR_SERVER_IP:51820
   AllowedIPs = 0.0.0.0/0, ::/0
   PersistentKeepalive = 25

7. 07

   Güvenlik duvarını açın

   SSH'ye ve WireGuard UDP portuna izin verin, ardından ufw'yi etkinleştirin. Geri kalan her şey için varsayılan-reddet duruşunu koruyun.

   ufw allow OpenSSH
   ufw allow 51820/udp
   ufw enable

8. 08

   Tüneli ayağa kaldırın

   Yeniden başlatmalardan sağ çıkması için arayüzü etkinleştirin, ardından eşleri ve el sıkışmaları doğrulayın.

   systemctl enable --now wg-quick@wg0
   wg show

9. 09

   Bir telefonu QR koduyla bağlayın

   İstemci yapılandırmasını taranabilir bir kod olarak oluşturun ve WireGuard mobil uygulamasına aktarın — dosya transferine gerek yok.

   qrencode -t ansiutf8 < client.conf