Ubuntu veya Debian üzerinde WireGuard VPN sunucusu nasıl kurulur

WireGuard, Linux çekirdeğine yerleşik modern bir VPN protokolüdür. Az sayıda güncel şifreleme yöntemi kullanır, yalnızca bir UDP portuna ihtiyaç duyar ve kısa metin dosyalarıyla yapılandırılır; bu da onu hızlı ve denetlemesi kolay kılar. Kendi WireGuard sunucunuzla dizüstü bilgisayarınızı ve telefonunuzu güvenilmeyen ağlarda denetiminizdeki bir sunucu üzerinden yönlendirebilir veya sunucuda internete açmak istemediğiniz servislere erişebilirsiniz.

Bu rehber WireGuard sunucusunu dağıtım paketleriyle ve wireguard-tools ile gelen standart araç wg-quick ile kurar. Anahtarları güvenli dosya izinleriyle üretir, /etc/wireguard/wg0.conf dosyasını yazar, IP yönlendirmeyi açar, istemcilerin internete çıkabilmesi için NAT ve yönlendirme kurallarını ufw ile ekler, tüneli wg-quick@wg0 systemd servisi olarak çalıştırır ve QR kod olarak içe aktarabileceğiniz istemci ayarları oluşturursunuz. Eş ekleme, tam ve bölünmüş tünel, yedekleme ve sorun giderme sonda anlatılır. İstemcileri bir web arayüzünden yönetmeyi tercih ediyorsanız bunun yerine wg-easy ile WireGuard rehberine bakın.

Adım 1 — WireGuard'ı kurun

Araçları ve istemci ayarlarını telefonlar için QR koda dönüştüren qrencode paketini kurun:

sudo apt update
sudo apt install wireguard qrencode
wg --version

wg --version, wireguard-tools sürümünü yazdırır. Çekirdek modülü Ubuntu ve Debian çekirdekleriyle gelir; derlenmesi gereken bir şey yoktur.

Adım 2 — Anahtarları üretin

Her WireGuard eşinin bir özel anahtarı ve bundan türetilen bir açık anahtarı vardır. Özel anahtarlar yalnızca root tarafından okunabilmelidir. WireGuard'ın hızlı başlangıç rehberi anahtar üretmeden önce umask 077 ayarlar; böylece yeni dosyalar 600 izniyle oluşturulur. Sunucu için bir, ilk istemci (burada laptop) için bir anahtar çifti oluşturun:

sudo mkdir -p /etc/wireguard/clients
sudo chmod 700 /etc/wireguard /etc/wireguard/clients
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/clients/laptop.key | wg pubkey > /etc/wireguard/clients/laptop.pub'
sudo ls -l /etc/wireguard /etc/wireguard/clients

Liste, anahtar dosyalarını -rw------- izinli ve root'a ait olarak gösterir. Bir .key dosyasını asla paylaşmayın; yalnızca .pub dosyaları paylaşılmak içindir.

Adım 3 — Genel ağ arayüzünü bulun

NAT ve yönlendirme kuralları internete çıkan arayüzün adına ihtiyaç duyar. Bu ad çoğunlukla eth0 olur, ancak ens3, enp1s0 veya benzeri de olabilir:

ip -o -4 route show to default

Çıktı default via 203.0.113.1 dev eth0 proto static gibi görünür. dev sözcüğünden sonraki ad arayüzünüzün adıdır. Bu rehber eth0 kullanır; sizinki farklıysa aşağıdaki her yerde değiştirin.

Adım 4 — Sunucu yapılandırmasını yazın

/etc/wireguard/wg0.conf dosyasını oluşturun. VPN, 10.8.0.0/24 özel ağını kullanır: sunucu 10.8.0.1 adresini alır, her istemci kendi adresini alır. Komut, sunucunun özel anahtarını ve dizüstü bilgisayarın açık anahtarını doğrudan dosyalardan ekler:

sudo tee /etc/wireguard/wg0.conf > /dev/null <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(sudo cat /etc/wireguard/server.key)

[Peer]
# laptop
PublicKey = $(sudo cat /etc/wireguard/clients/laptop.pub)
AllowedIPs = 10.8.0.2/32
EOF
sudo chmod 600 /etc/wireguard/wg0.conf

• Address ve ListenPort değerlerini wg-quick okur; arayüz, dosya adına göre wg0 olarak adlandırılır.
• Sunucudaki bir [Peer] bölümünde AllowedIPs, istemcinin kendi VPN adresidir ve /32 olarak yazılır. Sunucu o eşten yalnızca bu kaynak adresli paketleri kabul eder ve bu adrese giden trafiği ona yönlendirir.
• İstemcilerinizin evde veya işte kullandığı ağlarla çakışmayan bir özel aralık seçin.

Adım 5 — IP yönlendirmeyi açın

Sunucu paketleri wg0 ile internet arasında yönlendirmelidir. IPv4 yönlendirmeyi bir sysctl dosyasıyla kalıcı olarak açın:

echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-wireguard.conf
sudo sysctl --system
sysctl net.ipv4.ip_forward

Son komut net.ipv4.ip_forward = 1 yazdırır.

Adım 6 — ufw ile güvenlik duvarı, yönlendirme ve NAT kurallarını ekleyin

Bu rehber her şey için ufw kullanır ve Ubuntu'nun ufw-framework belgelerindeki IP masquerading örneğini izler. Üç şey gerekir: WireGuard portunu açmak, wg0 arayüzünden internete yönlendirmeye izin vermek ve VPN adreslerini sunucunun genel IP'si arkasında maskelemek (NAT). Önce before.rules dosyasını yedekleyin, ardından dosyanın sonuna bir nat bölümü ekleyin:

sudo ufw allow 51820/udp
sudo ufw route allow in on wg0 out on eth0
sudo cp /etc/ufw/before.rules /etc/ufw/before.rules.bak
sudo tee -a /etc/ufw/before.rules > /dev/null <<'EOF'

# WireGuard istemcileri için NAT
*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
COMMIT
EOF
sudo ufw reload
sudo iptables -t nat -S POSTROUTING
sudo ufw status verbose

iptables çıktısı 10.8.0.0/24 için MASQUERADE kuralını içerir; ufw status verbose ise 51820/udp portunu ve wg0 arayüzünden eth0 arayüzüne giden bir ALLOW FWD kuralını listeler. ufw'nin yönlendirilen trafik için varsayılan politikası deny olarak kalır; böylece yalnızca VPN trafiği yönlendirilir.

Adım 7 — Tüneli systemd ile başlatın

wireguard-tools, açılışta adı verilen yapılandırma için wg-quick up çalıştıran [email protected] şablonunu getirir:

sudo systemctl enable --now wg-quick@wg0
sudo systemctl status wg-quick@wg0 --no-pager
sudo wg show
ip -brief address show wg0

systemctl status çıktısı active (exited) gösterir; bu tek seferlik birim için normaldir. wg show arayüzü açık anahtarı ve dinlediği portla, dizüstü bilgisayar eşini ise henüz el sıkışması olmadan listeler.

Adım 8 — İstemci yapılandırmasını ve QR kodunu oluşturun

Dizüstü bilgisayarın yapılandırmasını clients klasörüne yazın. 203.0.113.10 yerine sunucunuzun IP adresini veya onu gösteren bir ana bilgisayar adını yazın:

sudo tee /etc/wireguard/clients/laptop.conf > /dev/null <<EOF
[Interface]
PrivateKey = $(sudo cat /etc/wireguard/clients/laptop.key)
Address = 10.8.0.2/24
DNS = 9.9.9.9, 149.112.112.112

[Peer]
PublicKey = $(sudo cat /etc/wireguard/server.pub)
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
EOF
sudo chmod 600 /etc/wireguard/clients/laptop.conf

• DNS, istemcinin bağlıyken kullandığı çözümleyicileri belirler. Herhangi bir genel çözümleyici çalışır; bu VPN üzerinden AdGuard Home çalıştırıyorsanız bunun yerine 10.8.0.1 kullanın.
• AllowedIPs = 0.0.0.0/0, ::/0 tüm trafiği tünelden gönderir (aşağıdaki Tam veya bölünmüş tünel bölümüne bakın).
• PersistentKeepalive = 25 her 25 saniyede küçük bir paket gönderir; WireGuard'ın hızlı başlangıç rehberi NAT veya güvenlik duvarı arkasındaki eşler için bu aralığı önerir.

Telefon için yapılandırmayı terminalde QR kod olarak gösterin ve WireGuard uygulamasıyla tarayın (Add tunnel, ardından QR koddan tarama):

sudo cat /etc/wireguard/clients/laptop.conf | qrencode -t ansiutf8

Masaüstü için dosyayı sudo cat /etc/wireguard/clients/laptop.conf ile görüntüleyin ve uygulamaya yeni boş bir tünel olarak yapıştırın; Linux istemcide ise /etc/wireguard/wg0.conf olarak kaydedip sudo wg-quick up wg0 çalıştırın. Bağlanın, ardından sunucuda sudo wg show çalıştırın: eş artık bir latest handshake ve artan aktarım sayaçları gösterir; web siteleri de sizin adresiniz olarak sunucunun IP adresini görür.

Yapılandırma dosyası istemcinin özel anahtarını içerir. İstemci kurulduktan sonra laptop.key ve laptop.conf dosyalarını sunucudan silebilir veya yalnızca şifreli yedeklerinizde tutabilirsiniz.

Adım 9 — Daha fazla eş ekleyin

Her cihaz kendi anahtar çiftini ve kendi adresini alır; bir yapılandırmayı asla cihazlar arasında paylaşmayın. 10.8.0.3 adresli bir telefon eklemek için anahtarlarını oluşturun, bir [Peer] bölümü ekleyin ve servisi yeniden yükleyin:

sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/clients/phone.key | wg pubkey > /etc/wireguard/clients/phone.pub'
sudo tee -a /etc/wireguard/wg0.conf > /dev/null <<EOF

[Peer]
# phone
PublicKey = $(sudo cat /etc/wireguard/clients/phone.pub)
AllowedIPs = 10.8.0.3/32
EOF
sudo systemctl reload wg-quick@wg0
sudo wg show

systemd biriminin reload eylemi değişen dosyayı wg syncconf ile uygular; bu komut yalnızca farklı olanı değiştirir ve bağlı eşleri kesintiye uğratmaz. Ardından Adım 8'deki gibi phone.key ve Address = 10.8.0.3/24 ile phone.conf dosyasını oluşturun. Bir cihazın erişimini kaldırmak için onun [Peer] bölümünü silin ve yeniden yükleyin.

Tam veya bölünmüş tünel

VPN'den neyin geçeceğine istemcideki AllowedIPs karar verir; sunucu yapılandırması aynı kalır:

• Tam tünel (0.0.0.0/0, ::/0): tüm trafik sunucu üzerinden geçer; herkese açık Wi-Fi ağlarında kullanışlıdır. Bu rehber tünele yalnızca IPv4 adresleri verir; bu yüzden ::/0 satırı esas olarak IPv6 trafiğinin VPN'i atlamasını önler. Yalnızca IPv6 ile erişilebilen siteler, tünele IPv6 ekleyene kadar açılmaz.
• Bölünmüş tünel (10.8.0.0/24): tüneli yalnızca VPN ağına giden trafik kullanır; örneğin 10.8.0.1 üzerinde dinleyen servislere erişmek için. Geri kalan her şey istemcinin normal bağlantısını kullanır ve DNS satırını kaldırabilirsiniz.

Yedekleme ve geri yükleme

VPN'in tamamı birkaç dosyayla tanımlanır: /etc/wireguard (sunucu anahtarı, wg0.conf ve istemci dosyaları), /etc/ufw/before.rules içindeki NAT bölümü ve sysctl dosyası. Bunları arşivleyin ve özel anahtarlar içerdiği için arşivi gizli tutun:

sudo mkdir -p /opt/backups
sudo tar -czf /opt/backups/wireguard-$(date +%F).tar.gz /etc/wireguard /etc/ufw/before.rules /etc/sysctl.d/99-wireguard.conf
sudo chmod 600 /opt/backups/wireguard-*.tar.gz

Yeni bir sunucuya geri yüklemek için paketleri kurun (Adım 1), arşivi sudo tar -xzf /opt/backups/wireguard-2026-10-09.tar.gz -C / ile açın, before.rules içindeki arayüz adını kontrol edin, Adım 6'daki iki ufw komutunu ve sudo sysctl --system komutunu çalıştırın, ardından servisi Adım 7'deki gibi başlatın. Anahtarlar değişmediği için istemciler çalışmaya devam eder; sunucunun IP adresi değiştiyse yalnızca Endpoint satırlarının düzenlenmesi gerekir. Arşivi sunucunun dışına kopyalayın.

WireGuard güncelleme

WireGuard çekirdeğin bir parçasıdır ve araçlar dağıtımdan gelir; bu yüzden olağan sistem güncellemeleri ikisini de kapsar:

sudo apt update
sudo apt upgrade
sudo reboot

Çekirdek güncellemelerinden sonra yeniden başlatın; wg-quick@wg0 kendiliğinden yeniden başlar. Arayüzün geri geldiğini ve istemcilerin yeniden bağlandığını sudo wg show ile kontrol edin.

Sorun giderme

wg show çıktısında latest handshake yok

İstemcinin paketleri sunucuya ulaşmıyor veya anahtarlar eşleşmiyor. UDP 51820 portuna ufw'de ve sağlayıcınızın güvenlik duvarında izin verildiğini, Endpoint satırında doğru IP adresi ve port olduğunu ve anahtarların doğru çaprazlandığını kontrol edin: sunucudaki [Peer] istemcinin açık anahtarını, istemcideki [Peer] ise sunucunun açık anahtarını içerir. WireGuard yanlış anahtarlarda tasarımı gereği sessiz kalır; bu yüzden bir hata mesajı görmezsiniz.

El sıkışması çalışıyor ama internet yok

Yönlendirme veya NAT eksik. sysctl net.ipv4.ip_forward (1 olmalı), sudo iptables -t nat -S POSTROUTING (MASQUERADE kuralını içermeli) ve sudo ufw status verbose (ALLOW FWD kuralını göstermeli) çıktılarını kontrol edin. En sık neden, iki yerde de eth0 yerine yazılması gereken arayüz adının yanlış olmasıdır.

Bağlıyken web siteleri çözümlenmiyor

İstemcinin çalışan bir DNS'i yok. İstemci yapılandırmasındaki DNS satırını kontrol edin. Linux istemcilerde wg-quick bu satırı resolvconf ile uygular; resolvconf: command not found görüyorsanız dağıtımınızdan bir resolvconf uygulaması kurun veya DNS satırını kaldırıp DNS'i başka bir yolla ayarlayın.

Bazı siteler takılıyor veya yarım yükleniyor

Bu bir MTU sorununa işaret eder; mobil ağlarda, PPPoE hatlarında veya iç içe tünellerde sık görülür. wg-quick MTU değerini kendiliğinden seçer; istemcinin [Interface] bölümüne MTU = 1280 ekleyerek daha düşük bir değer ayarlayın ve yeniden bağlanın.

wg-quick@wg0, Operation not supported hatasıyla başarısız oluyor

Çekirdekte WireGuard desteği yok. sudo modprobe wireguard çalıştırın ve hatayı inceleyin. Standart Ubuntu ve Debian çekirdekleri modülü içerir; bu durum genellikle özel bir çekirdeğe veya çekirdek modüllerinin yüklenemediği konteyner tabanlı bir ortama işaret eder.

Sonraki adımlar

• İstemciler için web arayüzü mü istiyorsunuz? wg-easy ile WireGuard rehberini deneyin.
• Tüm VPN istemcileri için reklamları ve izleyicileri WireGuard üzerinden AdGuard Home ile engelleyin.
• Yönetici sayfalarına, örneğin Vaultwarden yönetici sayfasına, yalnızca VPN üzerinden erişin.
• Kendi VPN'iniz için sunucuları VPN sunucusu sayfasında karşılaştırın.
• Tüm seçenekler için WireGuard hızlı başlangıç sayfasını ve wg-quick(8) kılavuz sayfasını okuyun.