WireGuard config dosyası nasıl kullanılır

Bir .conf dosyasının içinde ne var, satır satır

Her WireGuard yapılandırması aynı iki parçalı yapıya sahiptir. [Interface] tünelin sizin ucunuzu tanımlar; [Peer] ise bağlandığınız makineyi. İşte gizli bilgilerin yer tutucularla değiştirildiği eksiksiz bir istemci yapılandırması:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

[Interface] bloğu: sizin tarafınız

• PrivateKey — VPN üzerindeki kimliğiniz budur. Bu anahtara sahip olan herkes sizin yerinize geçebilir. = ile biten 44 base64 karakterden oluşur; sizinki farklı uzunluktaysa dosya kopyalanırken bir yerde kesilmiştir.
• Address — cihazınızın tünelin içinde sahip olduğu IP; genel IP'niz değil. /32 "yalnızca bu tek adres" anlamına gelir ve bir istemci için normaldir.
• DNS — tünel açıkken kullanılan çözümleyici. Bu satır olmazsa cihazınız eski çözümleyicisine sormaya devam eder; bu hem neye baktığınızı sızdırır hem de çoğu zaman karşı taraftaki hiçbir şeyi çözümleyemez.
• MTU — isteğe bağlıdır ve bilinmesi en faydalı satırdır. Varsayılan değer doğru olduğu için çoğu dosyada bulunmaz; doğru olmadığı durum için sorun giderme bölümüne bakın.

[Peer] bloğu: sunucunun tarafı

• PublicKey — sunucunun genel anahtarı. Sizinki kendi dosyanızda asla yer almaz; onu sunucu tutar.
• Endpoint — paketlerin gönderileceği yer, host:port biçiminde. WireGuard yalnızca UDP kullanır ve 51820 zorunlu değil, geleneksel porttur.
• AllowedIPs — hangi hedeflerin tünelden geçeceği. 0.0.0.0/0, ::/0 her şey demektir ve gizlilik VPN'inin amacı da budur. Daha dar bir liste — örneğin yalnızca şirketinizin iç adres aralığı — sadece onu tünelden geçirir, geri kalanı normal bağlantınızda bırakır. Bu düzene split tunnel denir ve bozuk bir tam tünel değil, bilinçli bir tercihtir.
• PersistentKeepalive — sizinle sunucu arasındaki NAT cihazının dönüş yolunu açık tutması için her 25 saniyede bir küçük bir paket gönderir. NAT arkasındaysanız gereklidir; telefonda veya ev bağlantısında da her zaman NAT arkasındasınızdır.

Windows: tüneli içe aktarın

Windows için resmî bir WireGuard uygulaması var ve tüm iş, dosyayı bu uygulamaya aktarmaktan ibaret.

1. WireGuard'ı kurun: wireguard.com/install.
2. Sol alttaki Tünel ekle'ye tıklayın; Yapılandırma dosyaları (*.zip, *.conf) filtresiyle bir dosya seçici açılır. .conf dosyanızı seçin; dosyanın adını taşıyan tünel listede görünür.
3. Ya da yapıştırın. Tünel ekle'nin yanındaki ok Boş tünel ekle… seçeneğini sunar ve size bir metin kutusu verir — yapılandırma dosya olarak değil de bir mesajla geldiyse işe yarar. Kutu yeni bir özel anahtarla önceden doldurulur; o satırı silip kendi yapılandırmanızı üzerine yapıştırın.
4. Etkinleştir'e tıklayın. Durum Etkin olarak değişir ve panel aktarılan baytları saymaya başlar. Bu bayt sayacı elinizdeki en hızlı kontroldür: giden veri görünüyor ama hiçbir şey geri gelmiyorsa handshake tamamlanmıyor demektir.

Android ve iPhone: QR kodunu okutun veya dosyayı içe aktarın

Telefonda iki yolunuz var; QR kodu da tam olarak 44 karakterlik bir anahtarı dokunmatik ekranda yazmak işkence olduğu için var.

Android

1. Play Store'dan WireGuard'ı kurun ve + düğmesine dokunun.
2. WireGuard tüneli oluştur ekranı QR kodu okut, Dosyadan veya arşivden içe aktar ve sıfırdan oluşturma seçeneklerini sunar. Size verilen şeye uyanı seçin.
3. İstenirse tünele bir ad verin, ardından anahtarını açın. Android bir kez VPN yapılandırması ekleme izni ister — bu istem uygulamanın değil, işletim sisteminin istemidir.

iPhone ve iPad

1. App Store'dan WireGuard'ı kurun ve Tünel ekle'ye dokunun.
2. Yeni bir WireGuard tüneli ekle altında QR kodundan ekle veya Dosya veya arşivden ekle seçeneğini seçin. Tarayıcı ekranının başlığı QR kodu tara'dır; başarılı bir taramadan sonra tünele ad vermenizi ister.
3. Tüneli açın ve iOS sorduğunda VPN yapılandırmasına izin verin.

Elinizdeki config dosyasından QR kodu oluşturmak

QR kodu sağlayıcının size vermek zorunda olduğu bir şey değildir — yalnızca config dosyanızın resim olarak çizilmiş hâlidir ve tek bir komutla kendiniz üretebilirsiniz. WireGuard uygulaması da bunu kendisi önerir:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Debian veya Ubuntu'da qrencode paketini apt install qrencode ile, macOS'ta brew install qrencode ile kurarsınız.

macOS ve Linux

macOS

WireGuard'ı Mac App Store'dan kurun. Mac uygulaması, iPhone uygulamasının büyük ekrandaki hâli değildir: menü çubuğunda yaşar ve penceresi Tünelleri Yönet ile açılır. Tünelleri dosyadan içe aktar'a tıklayın (menü çubuğunda aynı seçenek Tünelleri Dosyadan İçe Aktar… olarak bulunur), .conf dosyanızı seçin, ardından tüneli seçip Etkinleştir'e tıklayın. Mac'te QR tarayıcı yoktur — QR kodları telefonlar içindir — bu yüzden dosyanın kendisini kullanın ya da Boş Tünel Ekle…'yi seçip yapılandırmayı yapıştırın.

Terminalde çalışmayı tercih ederseniz, brew install wireguard-tools size Linux'takiyle aynı wg-quick komutlarını verir; bunlar aşağıda anlatılıyor.

Linux

1. Araçları kurun. Debian veya Ubuntu'da: sudo apt install wireguard. Çoğu dağıtımda aynı adlı bir paket bulunur.
2. Dosyayı wg-quick'in aradığı yere koyun. İnsanların en çok hata yaptığı adım budur, çünkü dosya adı arayüz adı olur:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 önemlidir — dosya özel anahtarınızı içerir ve makinedeki diğer kullanıcılar tarafından okunamamalıdır. Adı kısa ve basit tutun; geçerli bir ağ arayüzü adı olmalıdır.
3. Tüneli başlatın:

   sudo wg-quick up wg0
   sudo wg show

   wg show akılda tutulmaya değer tek komuttur. Peer'ı, endpoint'i, bir latest handshake satırını ve aktarım sayaçlarını yazdırır. Hiç görünmeyen bir handshake zaman damgası, bir sonraki bölümdeki sorunun işaretidir.
4. Açılışta başlatmak için: sudo systemctl enable --now wg-quick@wg0. Tüneli elle durdurmak için sudo wg-quick down wg0.

Router üzerinde, evin tamamı kapsansın diye

Tüneli router'a koymak, arkasındaki her cihazı kapsar; hiç VPN uygulaması çalıştıramayanlar da dahil — oyun konsolu, televizyon, akıllı hoparlör. Bunu yapıp yapamayacağınız tamamen yazılımına (firmware) bağlıdır.

Router'ınız internet şirketinin size verdiği kutuysa, gerçekçi seçenekler arkasına kontrolü sizde olan bir router koymak ya da cihaz başına yapılandırmaları kullanmaya devam etmektir. İkisi de başarısızlık değildir; cihaz başına kurulum çoğu zaman daha iyidir bile, çünkü tüneli ihtiyaç duymayan cihazlarda kapalı bırakabilirsiniz.

Evin tamamını bir tünelden geçirmeden önce karar vermeniz gereken bir şey var: o andan itibaren her şey tünelden geçer. Yabancı adreslerden hoşlanmayan bankacılık siteleri, bölgenizi kontrol eden yayın servisleri ve kendi ağınızdaki cihazlarla konuşan her şey farklı davranabilir. Daha dar bir AllowedIPs tam burada işe yarar — yalnızca gitmesi gerekeni gönderin, gerisine dokunmayın.

Bağlanıyor ama hiçbir şey açılmıyor ve diğer gerçek sorunlar

WireGuard başarısız olduğunda alışılmadık derecede sessizdir ve bu bilinçli bir tasarım tercihidir — kimliği doğrulanmamış bir pakete hiç yanıt verilmez, böylece bir tarayıcı dinleyen bir şey olup olmadığını anlayamaz. Yan etkisi şudur: yanlış bir anahtar, yanlış bir port ve engellenmiş bir ağ sizin tarafınızdan tamamen aynı görünür: sessizlik. Belirtiden yola çıkın.

"Handshake did not complete" hatası

Cihazınız bir başlatma paketi gönderdi ve karşılığında hiçbir şey almadı. Şu sırayla kontrol edin:

• Endpoint. Doğru host, doğru port ve port UDP olmalı. Buradaki bir yazım hatası tam olarak bu belirtiyi verir, başka hiçbir şeyi değil.
• UDP dışarıya çıkabiliyor mu. Misafir wifi'leri, otel ağları, bazı şirket ağları ve birkaç mobil operatör yaygın portlarda yalnızca TCP'ye izin verir. Aynı yapılandırma ev bağlantınızda çalışıp belirli bir ağda çalışmıyorsa, yapılandırma sağlamdır ve sorun ağdadır.
• Anahtarlar doğru yerde. [Peer] içindeki PublicKey sunucunun genel anahtarıdır ve sunucunun da ayrıca sizin PrivateKey değerinize karşılık gelen genel anahtarı tutması gerekir. Başka bir cihaz için kopyalanmış bir yapılandırma burada başarısız olur.
• Saatiniz. WireGuard handshake'i bir zaman damgası içerir ve çok sapmış olanı reddeder. Nadirdir ama saatini kaybetmiş cihazlarda olur.

Tünel evden çalışıyor ama mobil bağlantıdan hiç çalışmıyorsa, sebep sizde değil operatörünüzde olabilir — carrier-grade NAT ve benzeri düzenlemeler size nelerin ulaşabileceğini değiştirir. Port yönlendirme rehberi, bunu kendi router'ınızdan birkaç dakikada nasıl tespit edeceğinizi anlatıyor.

Bir kez anlamaya değer MTU sorunu

Bu, klasik "bağlı ama internet bozuk" durumudur ve deseni belirgindir: ping çalışır, DNS çalışır, küçük sayfalar açılır, biraz büyük olan her şey sonsuza dek takılır.

Sebep boyuttur. Trafiğinizi tünel için paketlemek başlıklar ekler; bu yüzden normal bağlantınıza tam sığan bir paket, WireGuard'ın içine girince artık sığmaz. Küçük paketler rahatça geçer; büyükler düşürülür. Normalde ağ, göndericiye daha küçük paketler kullanmasını söyler, ama bunu yapan mesaj sıklıkla filtrelenir; böylece bir hata yerine sadece beklersiniz.

Çözüm, WireGuard'a baştan daha küçük paketler kullanmasını söylemektir. wg-quick bunu zaten dener: normal yolunuzun MTU'sunu alır ve tünelin ek yükü için 80 bayt çıkarır; böylece sıradan 1500 baytlık bir bağlantıda 1420 elde edersiniz. Bu hâlâ çok büyükse — bazı mobil ağlarda, zaten başka bir tünel üzerinden çalışan bağlantıların çoğunda — değeri açıkça ayarlayın ve aşağı doğru inin:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 denemeye değer alt sınırdır, çünkü IPv6'nın her şeyin taşımasını zorunlu kıldığı en küçük paket boyutudur; bu yüzden neredeyse her yoldan geçer. Biraz verimliliğe mal olur ama takılıp kalan bir tünelden çok daha iyidir.

Tünel açık ama içinden hiçbir şey geçmiyor

Önce AllowedIPs değerini kontrol edin. Bu bir güvenlik duvarı ya da izin listesi değildir — hangi hedeflerin tünele yönlendirileceğine karar verir. 0.0.0.0/0 içermiyorsa, internetin geri kalanına giden trafiğin zaten tünelden geçmesi hiç amaçlanmamıştır ve bağlantınız tam olarak yapılandırıldığı gibi davranıyordur. Linux'ta ip route show table all | grep wg0 gerçekte neyin yönlendirildiğini gösterir.

Yönlendirme doğruysa ve adlar yine de çözümlenmiyorsa, sorun DNS satırıdır — ya eksiktir ya da vardır ama resolvconf kurulu olmadığı için uygulanmamıştır.

Config dosyası nereden gelir

Yukarıdaki her şey elinizde bir dosya olduğunu varsayıyor. Bir dosya edinmenin tam olarak iki yolu var.

Sunucuyu kendiniz çalıştırın

Bir anahtar çifti üretir, genel adresi olan bir makineye WireGuard kurar, cihazınızı peer olarak ekler ve istemci yapılandırmasını elle yazarsınız. Zor değildir ve öğrenmesi gerçekten faydalı bir iştir. Maliyeti süreklidir: parasını ödeyip güncel tutmanız gereken bir sunucu ve her cihaz eklediğinizde iki uçta da elle düzenleme — çünkü unutmayın, bir peer bir cihazdır.

Bir sağlayıcıdan alın

Diğer seçenek, dosyanın sizin için üretilmesi ve sizin onu indirmenizdir. Aylık €0.99'dan başlayan HytHost VPN ile dosya şurada bulunur:

1. Hizmeti sipariş edin ve müşteri paneline giriş yapın, ardından listeden VPN hizmetinizi açın.
2. WireGuard Configuration bölümünü bulun. Burada iki düğme vardır — yapılandırma metnini panonuza kopyalayan Copy to Clipboard ve size hazır dosyayı veren Download Configuration.
3. Kopyaladıysanız, düz bir metin düzenleyiciye yapıştırın ve .conf uzantısıyla kaydedin — wg0.conf iyi bir addır. Düzenleyicinizin sonuna .txt eklemediğinden emin olun.
4. İçe aktarın: cihazınız için yukarıdaki bölümü izleyin. Telefonda önce qrencode ile QR koduna dönüştürün.

Aynı sayfa tünelin şu anda sunucuya bağlı olup olmadığını da gösterir; böylece ayarları değiştirmeye başlamadan önce "sorun bende mi, onlarda mı" sorusu yanıtlanır. QR kodu düğmesi yoktur — kodu dosyadan kendiniz üretin; bu, kodun gitmesi gerekmeyen hiçbir yere gitmemesi anlamına da gelir.