WireGuard ile Ev Ağına Dışarıdan Güvenli ve Şifreli Uzaktan Erişim Tüneli

Posted on by AHakan

Ev sunucunuzda çalışan servislere (Pi-hole, yerel web arayüzleri, dosya depoları veya masaüstü bilgisayarınız) ev dışındayken erişmek istediğinizde ilk akla gelen yöntem modemden dış dünyaya port açmaktır. Ancak SSH veya web portlarını doğrudan internete açmak, sunucunuzu tüm dünyadaki otomatik bot taramalarına, brute-force saldırılarına ve sıfır gün (zero-day) açıklarına açık hedef haline getirir.

En güvenli ve profesyonel yaklaşım, evinize yalnızca tek bir şifreli tünel açmak ve dışarıdayken sanki evinizin Wi-Fi ağına bağlıymış gibi davranan bir VPN kurmaktır.

Bu rehberde; OpenVPN ve IPsec gibi eski protokollere göre katbekat hızlı ve hafif olan, Linux çekirdeğinin içine doğrudan gömülü WireGuard protokolüyle güvenli uzaktan erişim tüneli kurmayı inceliyoruz.

1. Neden WireGuard?

  • Linux Çekirdek Alanında (Kernel Space) Çalışır: Kullanıcı uzayı (User Space) ile çekirdek arasında bağlam geçişi (context switch) yapmadığı için CPU tüketimi son derece düşüktür ve gigabit hızlara rahatlıkla ulaşır.
  • Modern ve Yalın Kriptografi: Eski protokollerin yüz binlerce satırlık karmaşık kod tabanına kıyasla WireGuard yaklaşık 4.000 satır temiz C kodundan oluşur. Curve25519, ChaCha20-Poly1305 ve BLAKE2s algoritmalarını kullanır.
  • Sessiz Bağlantı (Stealth): Karşı taraftan geçerli bir kriptografik imza gelmediği sürece port taramalarına kesinlikle yanıt vermez. Dışarıdan bakan bir saldırgan o portun açık olduğunu dahi anlayamaz.
  • Hızlı Yeniden Bağlanma (Roaming): Mobil cihazınız Wi-Fi’dan 4G/5G hücresel ağa geçtiğinde bağlantı kopmaz; el sıkışma anında güncellenir.

2. Docker ile Kolay Yönetim: wg-easy Kurulumu

Komut satırından anahtarları manuel yönetmek yerine, web tabanlı QR kod üretebilen popüler wg-easy konteynerini kullanacağız:

docker-compose.yml:

version: "3.8"

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy:latest
    container_name: wg-easy
    restart: always
    environment:
      - LANG=tr
      - WG_HOST=evim.ddns.net         # Dinamik DNS veya statik dış IP adresiniz
      - PASSWORD_HASH=$$2a$$12$$...   # Web paneli şifre hash'i
      - WG_PORT=51820
      - WG_DEFAULT_ADDRESS=10.8.0.x
      - WG_DEFAULT_DNS=192.168.1.150  # DNS olarak yerel Pi-hole adresini verin!
      - WG_ALLOWED_IPS=0.0.0.0/0      # Tüm internet trafiğini ev üzerinden tünelle
    volumes:
      - ./wireguard_data:/etc/wireguard
    ports:
      - "51820:51820/udp"             # VPN veri tüneli
      - "51821:51821/tcp"             # Yönetim web paneli
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv4.ip_forward=1

Konteyneri başlatın:

docker compose up -d

3. Modemden Port Yönlendirme (Port Forwarding)

WireGuard’ın dış dünyadan gelen paketleri kabul edebilmesi için ev modeminizin arayüzünden tek bir yönlendirme kuralı eklemeniz yeterlidir:

  • Harici Port: 51820
  • Dahili Port: 51820
  • Protokol: UDP (WireGuard TCP kullanmaz)
  • Hedef Yerel IP: Ev sunucunuzun IP adresi (Örn: 192.168.1.150)

Güvenlik Uyarısı: Web yönetim portu olan 51821‘i asla internete açmayın. Bu panele yalnızca evdeyken veya VPN’e bağlandıktan sonra yerel ağ üzerinden erişmelisiniz.

4. İstemci Ekleme ve Mobil Bağlantı

  1. Tarayıcınızdan http://192.168.1.150:51821 adresine girin.
  2. “Yeni İstemci Ekle” butonuna basarak örneğin Telefon adında bir profil oluşturun.
  3. Ekranda beliren QR Kodu telefonunuzdaki resmi WireGuard uygulamasıyla taratın.
  4. Tüneli aktif ettiğiniz anda telefonunuz dünyanın neresinde olursa olsun evinizin yerel ağına dahil olur.

5. Çifte Kazanç: Dışarıdayken Evdeki Pi-hole ile Güvenli Gezinme

Bu kurulumun en büyük avantajlarından biri, WGDEFAULTDNS olarak evdeki Pi-hole sunucumuzu göstermemizdir:

  • Kafede, otelde veya havaalanındaki güvenli olmayan halka açık Wi-Fi ağlarına bağlandığınızda WireGuard’ı açın.
  • Tüm internet trafiğiniz eviniz üzerinden şifreli akar; halka açık ağdaki hiç kimse girdiğiniz siteleri veya şifrelerinizi dinleyemez.
  • Üstelik cep telefonunuz dışarıdayken bile evdeki Pi-hole sayesinde mobil reklamları ve izleyicileri engellemeye devam eder.

Bir sonraki bölümde, telefonumuzdaki fotoğrafları ve kişisel belgelerimizi otomatik olarak ev sunucumuza yedekleyen hafif yerel bulut depolama kurulumunu inceleyeceğiz.