WireGuard'ı yakından tanıyın: nasıl çalışır, nereden geldi

WireGuard'dan önce yaygın seçenekler IPsec ve OpenVPN'di. IPsec koca bir standartlar ailesidir; ayar seçeneği çok fazladır ve farklı üreticilerin cihazlarını birbirine bağlamak meşhur bir baş ağrısıdır. OpenVPN kullanıcı alanında çalışır ve büyük bir TLS kütüphanesine dayanır; esnektir ama yavaştır. İkisinin de kodu, birinin baştan sona denetleyemeyeceği kadar büyüktür.

WireGuard tam tersini düşünür: tek bir işi yap ve onu doğru yap. Sistemde sanal bir ağ kartı olarak görünür (örneğin wg0). Bu karta kendi özel anahtarınızı ve birkaç karşı tarafın açık anahtarını verirsiniz; karta gönderdiğiniz paketler şifrelenip yola çıkar, gelen paketler çözülüp karttan çıkar. Geri kalan her şey (yönlendirme, güvenlik duvarı, adres dağıtımı) sistemde zaten var olan araçlara bırakılır.

Bilerek yapmadığı şeyler de net: algoritma pazarlığı yapmaz, kullanıcı adı ve parola yönetmez, adres dağıtmaz, trafiği gizlemez. Bunlar ya güvenlik açıklarının kaynağı sayılır ya da üst katmandaki araçlara bırakılır.

WireGuard'da her cihazın bir anahtar çifti vardır ve açık anahtarı onun kimliğidir; SSH'tekine benzer. İki taraf birbirinin açık anahtarını kendi yapılandırmasına yazınca güven kurulmuş olur; sertifika yok, kullanıcı adı ve parola yok.

Yapılandırmada her karşı taraf için bir “izin verilen adresler” (AllowedIPs) satırı yazılır. Bu satır iki yönü birden yönetir: paket gönderirken hedef adres kimin izinli aralığına düşüyorsa paket onun açık anahtarıyla şifrelenip ona gider; paket alırken, çözüldükten sonra kaynak adresin o karşı tarafın izinli aralığında olup olmadığına bakılır, değilse paket atılır. Bu yaklaşımın adı cryptokey routing'dir (anahtar tabanlı yönlendirme): yönlendirme tablosu ile erişim denetimi tek bir tabloda birleşir.

Bu yüzden bir karşı tarafın izinli adreslerini 0.0.0.0/0 yazarsanız “bütün trafik ona gitsin” demiş olursunuz; bu, bilinen tam VPN'dir. Yalnızca bir iç ağ aralığı yazarsanız, tünel sadece o aralığa erişirken kullanılır.

İki cihaz ilk kez konuşmadan önce el sıkışır: başlatan taraf bir paket gönderir, karşı taraf bir paketle yanıt verir; tek gidiş-dönüşte iş biter ve iki taraf yalnızca bu süre için geçerli oturum anahtarları elde eder. El sıkışma Noise protokol çerçevesine dayanır; iki tarafın uzun vadeli anahtarlarıyla karşılıklı kimlik doğrulaması yapılır, geçici anahtarlarla da ileriye dönük gizlilik sağlanır. Yani ileride uzun vadeli özel anahtar sızsa bile geçmişte kaydedilmiş trafik çözülemez.

Oturum anahtarları birkaç dakikada bir kendiliğinden yenilenir; bu kullanıcıya hiç görünmez ve “yeniden bağlanma” diye bir şey olmaz.

Algoritmalar sabittir: anahtar değişimi için Curve25519, veri şifrelemesi için ChaCha20-Poly1305, özet (hash) için BLAKE2s. Pazarlık olmadığı için sürüm düşürme saldırısı da yoktur; saldırgan iki tarafı daha zayıf bir algoritmaya geçmeye kandıramaz. İleride bu algoritmalardan biri kırılırsa çözüm, bir seçenek eklemek değil, protokolün yeni bir sürümünü çıkarıp hepsini birden değiştirmektir.

Ayrıca isteğe bağlı bir ön paylaşımlı anahtar eklenebilir; açık anahtar mekanizmasının üstüne biner ve gelecekte kuantum bilgisayarların açık anahtar algoritmalarına yönelik tehdidine karşı önlem içindir.

• Yalnızca UDP: WireGuard her paketi ayrı ayrı şifreler ve bir UDP paketinin içine koyup gönderir. TCP'nin kullanılmaması bilinçlidir: TCP'nin içinde TCP çalıştırırsanız iki katman birden yeniden gönderim yapar ve paket kaybında birbirini aşağı çeker.
• Yabancılara yanıt yok: kimlik doğrulamasından geçmeyen hiçbir pakete cevap verilmez. Port tarayan biri için bu port kapalı görünür; üzerinde WireGuard çalıştığını anlamanın yolu yoktur.
• Dolaşım (roaming): WireGuard “bağlantı” tanımaz, yalnızca açık anahtar tanır. Karşı tarafın adresi değişirse (telefon Wi‑Fi'dan mobil veriye geçtiğinde), gönderdiği bir sonraki paket doğrulamayı geçtiği anda bu taraf yanıtları otomatik olarak yeni adrese yollar. Bu yüzden ağ değiştirirken tünel kopmaz.
• Sessizlik: gönderilecek veri yokken tünel hiç trafik üretmez; telefonda pil bu sayede çok az harcanır. Yalnızca cihaz bir router'ın arkasındaysa ve karşı tarafın ona her an ulaşabilmesi gerekiyorsa periyodik canlı tutma (PersistentKeepalive) açılır; birkaç on saniyede bir küçük bir paket göndererek router'daki eşleşme ayakta tutulur.

• Çekirdekte çalışır: Linux'ta WireGuard bir çekirdek modülüdür; paketler çekirdek ile kullanıcı programı arasında ileri geri kopyalanmaz. OpenVPN geleneksel olarak kullanıcı alanında çalışır ve her paket fazladan bir tur atar.
• Algoritmalar her işlemciye uygun: ChaCha20 özel donanım hızlandırma komutlarına ihtiyaç duymaz; AES komutu olmayan telefon ve router çiplerinde özellikle avantajlıdır.
• Kısa el sıkışma: tek gidiş-dönüşten sonra veri gönderilebilir, bağlantı kurmak için neredeyse hiç beklenmez.
• Az kod: yol kısadır ve yapılabilecek optimizasyonlar tam da kritik adımlara yoğunlaşmıştır.
• Şunu unutmayın: bunlar protokolün ve uygulamanın kendi yüküyle ilgilidir. Uluslararası hatlardaki gerçek hız daha çok hattaki paket kaybına ve operatörün UDP'ye bakışına bağlıdır.

• 2015 civarı: Jason A. Donenfeld WireGuard'ı geliştirip kamuya açar; başlangıçta Linux için bağımsız bir çekirdek modülüdür.
• 2017: tasarımını anlatan makale ağ güvenliği konferansı NDSS'de yayımlanır; protokol ardından birçok bağımsız biçimsel doğrulamadan geçer. Aynı dönemde Mullvad gibi VPN sağlayıcıları WireGuard ile bağlantı sunmaya başlar.
• 2018: Linux'un yaratıcısı Linus Torvalds e-posta listesinde kodunu över ve OpenVPN ile IPsec'in yanında onun adeta bir sanat eseri olduğunu söyler; bu söz WireGuard'ı geliştirici dünyasında geniş kitlelere tanıtır.
• 2019: Cloudflare, Rust ile yazılmış kullanıcı alanı uygulaması BoringTun'u yayımlar ve WireGuard'ı WARP'ta kullanır; NordVPN, WireGuard tabanlı NordLynx'i çıkarır; Tailscale da bu dönemde veri katmanı olarak WireGuard ile yola çıkar.
• Mart 2020: WireGuard, Linux 5.6 ile resmen çekirdeğin ana koluna girer ve aynı anda 1.0 sürümü yayımlanır. O günden beri yaygın Linux dağıtımlarında WireGuard hazır gelir, ayrıca modül kurmak gerekmez. Aynı yıl OpenBSD de onu çekirdeğine ekler.
• 2021: Windows için çekirdek düzeyinde çalışan WireGuardNT çıkar ve önceki kullanıcı alanı uygulamasından belirgin biçimde hızlıdır; ardından FreeBSD'de de çekirdek uygulaması gelir.
• Bugün: Windows, macOS, Linux, iOS ve Android'de resmî istemcileri vardır; OpenWrt, Synology gibi router ve NAS sistemleri yaygın olarak dahili destek sunar; ticari VPN'lerin büyük çoğunluğu onu varsayılan ya da seçilebilir protokol olarak listeler.

• Anahtar dağıtımıyla ilgilenmez: her yeni cihazda onun açık anahtarını diğer cihazların yapılandırmasına yazmanız gerekir. Cihaz sayısı artınca bu yönetilemez hâle gelir; Tailscale gibi araçların var olma nedeni de budur.
• Adresleri dinamik dağıtmaz: her karşı tarafın iç ağ adresi yapılandırmada sabit yazılıdır; OpenVPN'deki “bağlanınca bir adres ver” mekanizması yoktur. Ticari VPN'ler onu kullanırken dışına kendi katmanlarını eklemek zorundadır.
• Gizlilik kaygısı: sunucunun yanıt gönderebilmesi için her karşı tarafın en son genel IP adresini hatırlaması gerekir. “Kayıt tutmama” iddiasındaki VPN sağlayıcıları bunun için genellikle ek önlem alır (düzenli silme, çift adres dönüşümü gibi).
• Yalnızca UDP: UDP'yi engelleyen ya da yavaşlatan ağlarda ya hiç çalışmaz ya da çok yavaştır. TCP veya 443 portu üzerinden geçmesini istiyorsanız dışına başka bir araç sarmanız gerekir.
• Gizleme yok: el sıkışma ve veri paketlerinin biçimi ve uzunluğu sabit izler taşır, kolayca tanınır. Tasarım hedefi güvenlik ve sadeliktir, sansüre direnmek değil.
• Hesap sistemi yok: protokolde kullanıcı adı, parola, bitiş tarihi gibi kavramlar yoktur; tanıdığı tek şey açık anahtardır.

• Kod miktarı: WireGuard'ın çekirdeği birkaç bin satır; OpenVPN, dayandığı TLS kütüphanesiyle birlikte, ve IPsec'in çeşitli uygulamaları yüz binlerce satır düzeyindedir.
• Taşıma: WireGuard yalnızca UDP kullanır; OpenVPN ikisini de kullanabilir ve TCP 443 ile HTTPS trafiğinin portuna karışabilir; IPsec kendi protokol numarasını ve UDP 500 / 4500'ü kullanır.
• Yapılandırma: WireGuard'da bir karşı taraf birkaç satırdır; OpenVPN'in yapılandırma dosyasında çok seçenek vardır ama esnektir; IPsec en karmaşığıdır.
• Performans: temiz bir ağda WireGuard genellikle en hızlı ve en az pil tüketendir; OpenVPN yeni sürümlerde çekirdek hızlandırması (DCO) kazandı ve fark kapanıyor.
• Özellikler: kullanıcı adı ve parolayla kimlik doğrulama, adres ve rotaların dinamik dağıtımı, TCP üzerinden çalışma OpenVPN'de hazır gelir; WireGuard'da bunların hepsini dışarıdaki bir sistem tamamlamak zorundadır.
• Cihaz desteği: OpenVPN'in geçmişi uzundur; eski router'lar, NAS'lar ve her türlü gömülü cihaz neredeyse hep onu tanır. WireGuard son yılların sistemlerinde yaygınlaştı ama eski cihazlarda bulunmayabilir.

• Tailscale: WireGuard'a giriş, anahtar dağıtımı, NAT geçişi ve aktarma sunucusu ekleyerek otomatik bir ağ kurar; bkz. Tailscale'i yakından tanıyın. Headscale onun açık kaynaklı kontrol sunucusu uygulamasıdır.
• Netmaker, NetBird, Firezone ve benzerleri: yine “veri katmanı WireGuard, yönetim katmanı bizden” mantığıyla çalışan ağ ya da sıfır güven (zero trust) ürünleri.
• Cloudflare WARP: sıradan kullanıcılara yönelik bir WireGuard istemcisi; trafiği Cloudflare'in ağına gönderir.
• Ticari VPN'lerin kendi paketleri: NordLynx gibi; WireGuard'ın dışına adres dağıtımı ve gizlilik katmanı eklerler.
• AmneziaWG gibi türevler: sıkı denetlenen ağlarda kullanılmak üzere paket başlığını değiştirip dolgu ekleyerek WireGuard'ın sabit izlerini gizlerler; standart WireGuard istemcileriyle uyumlu değildirler.

• Çalışıp çalışmayacağı önce UDP'ye bağlıdır: Çin'de pek çok sabit ve mobil ağ yoğun UDP trafiğini yavaşlatır. Belirtisi: bağlanınca hızlı, bir süre sonra yavaş, ya da akşam yoğun saatlerde belirgin takılma.
• Doğrudan uluslararası bağlantı kolayca tanınır: WireGuard'ın el sıkışma paketlerinin izleri sabittir; Çin'den dışarı giden hatlarda tanınıp bozulabilir. Belirtisi: el sıkışma tamamlanmaz ya da bir süre kullandıktan sonra trafik kesilir. Bu, protokolün trafiği gizlememesinin doğrudan sonucudur.
• Çin içindeki cihazlar arasında kurulan ağ (ofis ile ev, telefon ile NAS) yurt dışına çıkan hattan geçmez; genelde bu sorun yaşanmaz, yalnızca UDP yavaşlatması ve NAT delme başarısı etkili olur.
• Bu yüzden WireGuard en çok ağ kurmaya ve uzaktan erişime uygundur. Çin'in Büyük Güvenlik Duvarı'nın dışına uzun süre kararlı çıkmak için gizleme yapabilen ya da TCP / TLS üzerinden çalışan bir yöntemle desteklenmesi gerekir; protokol karşılaştırması için bkz. VPN protokolleri karşılaştırması.

LeoTun'ın Özel ağ bölümü Tailscale kullanır ve veri katmanı WireGuard'dır: cihazlar arasındaki tüneller ve farklı bölgelerdeki çıkış düğümlerine giden tüneller, hepsi onunla şifrelenip taşınır. Anahtar üretmenize ya da yapılandırma yazmanıza gerek yok; sitemizdeki hesabınızla giriş yaptığınızda istemci her şeyi kendisi halleder. Nasıl kullanılacağı için bkz. Özel ağ (Tailscale) nedir; giriş noktası Özel ağ sayfası.

Özel ağ dışında aynı hesapta UDP'ye bağımlı olmayan yöntemler de var: Cisco (AnyConnect) TLS üzerinden çalışır, OpenVPN TCP kullanabilir, Hiddify (trafik gizleme, Hysteria2) ise özellikle paket kaybıyla başa çıkmak için yapılmıştır. Bulunduğunuz ağda Özel ağ hem yavaş hem kararsızsa başka bir yönteme geçmeniz yeterli; bkz. hangi bağlantı yöntemi hangi duruma uygun.