WireGuard VPN Sunucusu Kurulumu ve Güvenliği

Son Güncelleme: Haziran 2026

WireGuard VPN sunucusu, uzak ekiplerin, geliştiricilerin ve sistem yöneticilerinin sunucu altyapılarına güvenli şekilde erişmesini sağlayan modern bir sanal özel ağ çözümüdür. Hafif mimarisi, güçlü şifreleme yaklaşımı ve kolay yapılandırması sayesinde Linux sunucu güvenliği, özel ağ erişimi ve uzaktan yönetim senaryolarında sıkça tercih edilir.

Bu rehberde WireGuard’ın ne olduğunu, hangi durumlarda kullanılabileceğini, Linux sunucu üzerinde nasıl kurulacağını, istemci yapılandırmasının nasıl yapılacağını ve güvenlik açısından nelere dikkat edilmesi gerektiğini adım adım ele alacağız.

İçindekiler

• WireGuard Nedir?
• WireGuard Kullanım Senaryoları
• Sunucu Gereksinimleri ve Ağ Planlaması
• Linux Sunucuda WireGuard Kurulumu
• İstemci Yapılandırması
• WireGuard Güvenlik İpuçları
• Performans, İzleme ve Sorun Giderme
• WireGuard, OpenVPN ve IPsec Karşılaştırması
• Sıkça Sorulan Sorular
• Sonuç

WireGuard Nedir?

WireGuard, modern kriptografi kullanan, sade yapılandırma dosyalarıyla yönetilen ve çekirdek seviyesinde yüksek performans hedefleyen bir VPN protokolüdür. VPN, Türkçe karşılığıyla sanal özel ağ, internet üzerinden şifreli bir tünel oluşturarak kullanıcıların özel ağ kaynaklarına güvenli biçimde erişmesini sağlar.

Geleneksel VPN çözümlerinde yapılandırma dosyaları, sertifika zincirleri, karmaşık kimlik doğrulama akışları ve geniş parametre setleri bulunabilir. WireGuard ise daha yalın bir yaklaşım sunar. Her cihaz bir özel anahtar ve açık anahtar çiftiyle tanımlanır. Sunucu, hangi istemcinin hangi VPN IP adresini kullanacağını bilir ve trafiği buna göre yönlendirir.

WireGuard’ın temel mantığını anlamak için onu güvenli bir özel yol gibi düşünebilirsiniz. Normalde kullanıcı, sunucuya internet üzerinden doğrudan erişir. WireGuard kullanıldığında ise istemci ile sunucu arasında şifreli bir tünel kurulur. Bu tünelden geçen trafik, yetkisiz kişiler tarafından okunamaz ve ağdaki hizmetler yalnızca izin verilen istemcilere açılabilir.

WireGuard’ın öne çıkan özellikleri

• Sade yapı: Yapılandırma dosyaları kısa, okunabilir ve yönetimi kolaydır.
• Yüksek performans: Hafif tasarımı sayesinde düşük gecikme ve verimli kaynak kullanımı hedefler.
• Güçlü şifreleme: Modern kriptografik yöntemlerle güvenli tünel oluşturur.
• Çapraz platform desteği: Linux, Windows, macOS, Android ve iOS gibi birçok istemci ortamında kullanılabilir.
• Sunucu dostu kullanım: VPS, VDS, bulut sunucu ve fiziksel sunucularda kolayca konumlandırılabilir.

Bu özellikler, WireGuard’ı özellikle küçük ve orta ölçekli ekipler, yazılım geliştirme ortamları, yönetim panellerine güvenli erişim, özel veritabanı bağlantıları ve ofis dışı çalışma düzenleri için pratik bir seçenek haline getirir.

WireGuard Kullanım Senaryoları

WireGuard yalnızca kişisel gizlilik amacıyla kullanılan bir VPN aracı değildir. Doğru planlandığında, sunucu altyapılarında erişim kontrolünü güçlendiren stratejik bir güvenlik katmanı olarak kullanılabilir. Özellikle yönetim servislerinin internete açık bırakılmaması gereken ortamlarda büyük avantaj sağlar.

1. Sunucu yönetim servislerini özel ağa almak

SSH, veritabanı paneli, izleme paneli, yönetim arayüzü veya iç API gibi servisler herkese açık internette yayınlandığında brute force (kaba kuvvet), parola denemesi ve zafiyet taraması gibi risklerle karşılaşabilir. WireGuard ile bu servisler yalnızca VPN ağına bağlı istemcilerden erişilebilir hale getirilebilir.

• SSH erişimi: 22 veya özel SSH portu yalnızca WireGuard arayüzünden gelen IP’lere açılabilir.
• Veritabanı yönetimi: MySQL, MariaDB, PostgreSQL veya Redis gibi servisler genel internete kapatılabilir.
• Panel güvenliği: Plesk, cPanel, Grafana, Kibana gibi arayüzler yalnızca özel VPN ağına sunulabilir.

2. Dağıtık ekipler için güvenli çalışma ortamı

Uzaktan çalışan geliştiriciler veya operasyon ekipleri, WireGuard üzerinden şirket içi kaynaklara güvenli biçimde erişebilir. Böylece ofis IP adresine bağlı kalmadan, kimliği tanımlı cihazlarla özel ağ kaynaklarına ulaşmak mümkün olur.

3. Site-to-site özel ağ bağlantısı

Birden fazla veri merkezi, ofis veya bulut ortamı arasında özel ağ bağlantısı kurulması gerekiyorsa WireGuard ile site-to-site VPN tasarlanabilir. Bu modelde iki ayrı ağ, şifreli tünel ile birbirine bağlanır ve sistemler birbirini aynı özel ağdaymış gibi görebilir.

4. Geliştirme ve test ortamlarını izole etmek

Staging (ön yayın), test veya dahili uygulama ortamları genel erişime kapalı tutulmalıdır. WireGuard, bu sistemlere yalnızca yetkili geliştiricilerin erişmesini sağlayarak hem güvenlik hem de düzenli erişim yönetimi sunar.

Sunucu Gereksinimleri ve Ağ Planlaması

WireGuard kurulumu teknik olarak hafif olsa da sağlıklı bir VPN mimarisi için kurulumdan önce ağ planlaması yapılmalıdır. Bu planlama, kullanılacak VPN IP bloğunu, portu, istemci sayısını, erişilecek servisleri ve güvenlik duvarı kurallarını kapsamalıdır.

Temel sunucu gereksinimleri

• İşletim sistemi: Ubuntu, Debian, AlmaLinux, Rocky Linux veya benzeri güncel Linux dağıtımları kullanılabilir.
• Root veya sudo yetkisi: Paket kurulumu, ağ yönlendirme ve güvenlik duvarı kuralları için yönetici yetkisi gerekir.
• Sabit IP adresi: VPN istemcilerinin sunucuya kararlı şekilde bağlanabilmesi için sabit public IP önerilir.
• UDP port erişimi: WireGuard varsayılan olarak UDP protokolüyle çalışır. Örnek olarak 51820/udp kullanılabilir.
• Yedekleme planı: Anahtarlar ve yapılandırma dosyaları güvenli biçimde yedeklenmelidir.

VPN IP bloğu seçimi

WireGuard ağı için özel bir IP bloğu belirlenmelidir. Örneğin 10.8.0.0/24 ağı, 254 adede kadar istemci adresi sunabilir. Ancak mevcut altyapınızdaki ağlarla çakışmamasına dikkat edilmelidir. Eğer kurum içi ağınızda zaten 10.0.0.0/8 aralığı yaygın kullanılıyorsa daha belirgin bir blok seçmek yönetimi kolaylaştırır.

WireGuard’ı üretim ortamında konumlandıracaksanız, ihtiyaca göre Sanal Sunucu, Türkiye VDS Sunucu veya daha yüksek kaynak gereksinimleri için Kiralık Sunucu altyapısı tercih edilebilir.

Linux Sunucuda WireGuard Kurulumu

Bu bölümde örnek olarak Ubuntu tabanlı bir sunucu üzerinde WireGuard kurulumu gösterilecektir. Farklı dağıtımlarda paket yöneticisi değişebilir; ancak anahtar üretimi, arayüz yapılandırması ve servis yönetimi mantığı benzerdir.

1. Paketleri güncelleyin ve WireGuard kurun

Öncelikle sistem paketlerini güncelleyin ve WireGuard paketini kurun. Komutları çalıştırmadan önce sunucuda yönetici yetkiniz olduğundan emin olun.

sudo apt update
sudo apt install wireguard -y

Kurulum tamamlandıktan sonra wg ve wg-quick komutları kullanılabilir hale gelir. wg mevcut tünel durumunu görüntülemek için, wg-quick ise arayüzü hızlıca başlatmak ve durdurmak için kullanılır.

2. Sunucu anahtarlarını oluşturun

WireGuard’da her taraf bir anahtar çiftiyle tanımlanır. Özel anahtar asla paylaşılmamalı, açık anahtar ise karşı tarafa tanıtılmalıdır. Aşağıdaki komutlar sunucu için özel ve açık anahtar üretir.

umask 077
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key

umask 077 komutu, oluşturulan dosyaların yalnızca yetkili kullanıcı tarafından okunmasını sağlar. Bu, özel anahtar güvenliği için önemli bir adımdır.

3. Sunucu yapılandırma dosyasını oluşturun

WireGuard arayüzü için genellikle /etc/wireguard/wg0.conf dosyası kullanılır. Aşağıdaki örnekte sunucu 10.8.0.1/24 adresini kullanır ve 51820 UDP portunu dinler.

sudo nano /etc/wireguard/wg0.conf

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = SUNUCU_OZEL_ANAHTARI

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT

SUNUCU_OZEL_ANAHTARI alanına /etc/wireguard/server_private.key dosyasındaki değer yazılmalıdır. Yapılandırma dosyasını düzenlerken anahtarların başında veya sonunda boşluk bırakmamaya dikkat edin.

4. IP yönlendirmeyi etkinleştirin

İstemcilerin VPN üzerinden farklı ağlara veya internete çıkması gerekiyorsa sunucuda IP forwarding (IP yönlendirme) etkinleştirilmelidir. Geçici etkinleştirme için şu komut kullanılabilir:

sudo sysctl -w net.ipv4.ip_forward=1

Kalıcı hale getirmek için /etc/sysctl.conf dosyasına aşağıdaki satır eklenebilir:

net.ipv4.ip_forward=1

Ardından ayarı yüklemek için:

sudo sysctl -p

5. Güvenlik duvarında UDP portunu açın

Sunucuda ufw kullanılıyorsa WireGuard portuna izin verin. Ayrıca SSH erişimini kaybetmemek için mevcut yönetim portunuzun açık olduğundan emin olun.

sudo ufw allow 51820/udp
sudo ufw status

Farklı bir güvenlik duvarı çözümü kullanıyorsanız ilgili UDP portu için izin kuralı tanımlanmalıdır. Üretim ortamında gereksiz tüm portların kapalı olması önerilir.

6. WireGuard servisini başlatın

Yapılandırma dosyasını oluşturduktan sonra wg0 arayüzünü başlatabilirsiniz.

sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0
sudo wg show

sudo wg show çıktısı, arayüzün aktif olup olmadığını, dinlenen portu ve eklenmiş istemcileri gösterir. Henüz istemci tanımlanmadıysa peer (eş) bilgisi görünmeyebilir.

İstemci Yapılandırması

WireGuard’da her istemci ayrı bir anahtar çifti ve ayrı bir VPN IP adresiyle tanımlanmalıdır. Aynı anahtar veya aynı IP adresi birden fazla cihazda kullanılmamalıdır. Bu yaklaşım, erişim takibini kolaylaştırır ve bir cihaz kaybolduğunda yalnızca o istemcinin erişimini iptal etmeyi mümkün kılar.

1. İstemci anahtarlarını oluşturun

Linux istemci üzerinde aşağıdaki komutlarla anahtar üretilebilir. Windows, macOS veya mobil istemcilerde ise WireGuard uygulaması üzerinden anahtar oluşturmak mümkündür.

wg genkey | tee client_private.key | wg pubkey > client_public.key

2. Sunucuya istemciyi ekleyin

Sunucudaki /etc/wireguard/wg0.conf dosyasına istemci için bir [Peer] bloğu eklenir. Örnekte istemciye 10.8.0.10 adresi atanmıştır.

[Peer]
PublicKey = ISTEMCI_ACIK_ANAHTARI
AllowedIPs = 10.8.0.10/32

Buradaki AllowedIPs alanı, ilgili istemcinin VPN tünelinde hangi IP ile temsil edileceğini belirtir. Güvenlik için her istemciye yalnızca kendi /32 adresi verilmelidir.

3. İstemci yapılandırma dosyası

İstemci tarafında kullanılacak örnek yapılandırma aşağıdaki gibidir. Endpoint alanında sunucunun public IP adresi veya alan adı ve WireGuard UDP portu yer alır.

[Interface]
Address = 10.8.0.10/32
PrivateKey = ISTEMCI_OZEL_ANAHTARI
DNS = 1.1.1.1

[Peer]
PublicKey = SUNUCU_ACIK_ANAHTARI
Endpoint = SUNUCU_PUBLIC_IP:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

AllowedIPs değeri kullanım amacına göre değişir. Sadece VPN içi kaynaklara erişilecekse 10.8.0.0/24 yeterlidir. Tüm internet trafiği VPN üzerinden geçirilecekse 0.0.0.0/0 kullanılabilir; ancak bu durumda NAT ve yönlendirme kuralları ayrıca planlanmalıdır.

4. Yapılandırmayı yeniden yükleme

Sunucu yapılandırmasına yeni istemci ekledikten sonra servisi yeniden başlatabilir veya yapılandırmayı tekrar yükleyebilirsiniz. Üretim ortamında kesintiyi azaltmak için değişiklikleri dikkatli uygulayın.

sudo systemctl restart wg-quick@wg0
sudo wg show

Bağlantı kurulduğunda latest handshake alanında son el sıkışma zamanı görünür. Bu değer, istemcinin sunucuyla başarılı şekilde iletişim kurduğunu gösterir.

WireGuard Güvenlik İpuçları

WireGuard sade bir yapı sunsa da yanlış planlanan bir VPN mimarisi güvenlik açığına dönüşebilir. Özellikle istemci anahtarlarının korunması, gereksiz ağ erişimlerinin engellenmesi ve güvenlik duvarı kurallarının doğru yazılması kritik öneme sahiptir.

Anahtar yönetimi

• Özel anahtarları paylaşmayın: İstemci veya sunucu özel anahtarı e-posta, mesajlaşma uygulaması veya ortak depolama alanlarında açık şekilde tutulmamalıdır.
• Cihaz bazlı anahtar kullanın: Her kullanıcı ve her cihaz için ayrı anahtar oluşturun.
• Erişim iptalini kolaylaştırın: Bir çalışan ayrıldığında veya cihaz kaybolduğunda ilgili [Peer] bloğunu kaldırarak erişimi sonlandırın.
• Yapılandırma dosyalarını sınırlandırın: /etc/wireguard dizinindeki dosya izinlerini sıkı tutun.

Ağ erişimini en az yetki prensibiyle sınırlandırın

En az yetki prensibi, kullanıcılara yalnızca ihtiyaç duydukları kaynaklara erişim verilmesi anlamına gelir. WireGuard istemcisi bağlandı diye tüm iç ağa sınırsız erişim verilmemelidir. Örneğin geliştirici yalnızca staging web sunucusuna ve Git servislerine erişecekse veritabanı yönetim portlarına doğrudan erişimi olmamalıdır.

Güvenlik duvarı ile katmanlı koruma sağlayın

WireGuard tek başına erişim kontrolü sağlar; ancak güvenlik duvarı kurallarıyla desteklenmelidir. Örneğin SSH servisini yalnızca VPN ağına açmak için aşağıdaki mantık kullanılabilir:

sudo ufw allow from 10.8.0.0/24 to any port 22 proto tcp
sudo ufw deny 22/tcp

Bu örnek uygulanmadan önce aktif bağlantınızın kesilmeyeceğinden emin olmalısınız. Yanlış güvenlik duvarı kuralı, sunucuya erişiminizi engelleyebilir.

Kayıt ve erişim takibi

WireGuard kullanıcı adı ve parola tabanlı ayrıntılı oturum kaydı tutmaz; ancak peer bazlı bağlantı durumunu gösterir. Bu nedenle istemci IP planı, anahtar listesi, kullanıcı eşleştirmesi ve erişim tarihçesi ayrıca dokümante edilmelidir.

Güvenlik odaklı bir altyapıda WireGuard; merkezi log yönetimi, IDS/IPS, güvenlik duvarı, yedekleme ve erişim politikalarıyla birlikte değerlendirilmelidir. Kritik yapılandırma dosyaları için Yedekleme Hizmeti kullanmak, yanlışlıkla silme veya yapılandırma kaybı riskini azaltır.

Performans, İzleme ve Sorun Giderme

WireGuard genellikle düşük kaynak tüketimiyle çalışır; ancak performans, sunucunun CPU kapasitesi, ağ kalitesi, MTU değeri, istemci sayısı ve güvenlik duvarı kurallarına bağlıdır. Özellikle yüksek trafikli ortamlarda VPN sunucusunun kaynak kullanımı düzenli izlenmelidir.

Bağlantı durumunu kontrol etme

En temel kontrol komutu wg show komutudur. Bu komut, sunucu arayüzünü, tanımlı istemcileri, son el sıkışma zamanını ve aktarılan veri miktarını gösterir.

sudo wg show

Eğer istemci bağlanamıyorsa ilk bakılması gereken noktalar şunlardır:

• Endpoint doğruluğu: İstemci yapılandırmasındaki sunucu IP adresi ve port doğru mu?
• UDP port erişimi: Sunucu güvenlik duvarında 51820/udp açık mı?
• Anahtar eşleşmesi: Sunucuya istemcinin açık anahtarı, istemciye sunucunun açık anahtarı doğru girildi mi?
• IP çakışması: Aynı VPN IP adresi birden fazla istemciye verilmiş mi?
• Routing sorunu: AllowedIPs ve sistem yönlendirmeleri kullanım senaryosuna uygun mu?

Servis loglarını inceleme

WireGuard servisi systemd ile yönetiliyorsa loglar aşağıdaki komutla kontrol edilebilir:

sudo journalctl -u wg-quick@wg0 --no-pager -n 100

Yapılandırma hatalarında genellikle eksik anahtar, yanlış satır formatı, hatalı IP adresi veya güvenlik duvarı kuralı gibi nedenler öne çıkar. Değişiklik yapmadan önce çalışan yapılandırmanın yedeğini almak iyi bir alışkanlıktır.

MTU ayarı ve bağlantı kopmaları

Bazı ağlarda paket parçalanması nedeniyle yavaşlık veya bağlantı kopması yaşanabilir. Bu durumda istemci veya sunucu yapılandırmasına uygun bir MTU değeri eklenebilir. Örneğin:

[Interface]
Address = 10.8.0.10/32
PrivateKey = ISTEMCI_OZEL_ANAHTARI
MTU = 1420

MTU değerini rastgele değiştirmek yerine sorun yaşanan ağlarda kademeli test yapmak daha sağlıklıdır. Mobil ağlar, kurumsal güvenlik cihazları ve bazı ISS yönlendirmeleri farklı davranışlar gösterebilir.

WireGuard, OpenVPN ve IPsec Karşılaştırması

VPN çözümü seçerken yalnızca performansa değil, yönetim kolaylığına, ekip deneyimine, uyumluluğa ve bakım maliyetine de bakmak gerekir. WireGuard, sadeliği ve hız odaklı yaklaşımıyla öne çıksa da bazı kurumlarda mevcut OpenVPN veya IPsec altyapıları uyumluluk nedeniyle tercih edilmeye devam edebilir.

Yeni bir sunucu altyapısı kuruyor ve hızlı, sade, yönetilebilir bir özel ağ çözümü arıyorsanız WireGuard güçlü bir adaydır. Buna karşılık, halihazırda sertifika tabanlı karmaşık bir erişim politikası veya ağ cihazı entegrasyonu varsa mevcut çözümle uyumluluk da değerlendirilmelidir.

Sıkça Sorulan Sorular

Sonuç

WireGuard VPN sunucusu, modern sunucu altyapılarında güvenli uzaktan erişim, özel servis izolasyonu ve dağıtık ekip bağlantısı için güçlü bir çözümdür. Sade yapılandırması sayesinde hızlı devreye alınabilir; ancak gerçek güvenlik, doğru anahtar yönetimi, güvenlik duvarı kuralları, en az yetki prensibi ve düzenli izleme ile sağlanır.

Sunucularınızda SSH, veritabanı, kontrol paneli veya iç uygulama erişimlerini herkese açık internetten ayırmak istiyorsanız WireGuard pratik ve etkili bir katman sunar. Küçük ekipler için Türkiye VPS Sunucu, daha izole kaynak ihtiyacı için Türkiye VDS Sunucu, yüksek trafikli VPN ve kurumsal ağ senaryoları için ise Türkiye Kiralık Sunucu seçenekleri değerlendirilebilir.

Corelux altyapınız üzerinde WireGuard gibi güvenlik odaklı çözümleri konumlandırırken ağ planlaması, yedekleme, erişim politikaları ve performans izleme süreçlerini birlikte ele almanız uzun vadede daha güvenli, yönetilebilir ve ölçeklenebilir bir sistem mimarisi oluşturmanıza yardımcı olur.