VPS'te kendi barındırdığınız VPN: On dakikada WireGuard ve bunun gerçekte sağladığı gizlilik

Bir VPN gerçekte ne yapar — ve çoğu açıklamanın atladığı cümle

Bir VPN trafiğinizi şifreler ve bir sunucuya gönderir; sunucu da bunu çözer ve yoluna devam ettirir. Bunun sonucu trafiğinizin görünmez hale gelmesi değildir. Sonuç, onu görebilecek kişiler kümesinin değişmesidir. Öncesinde: kafenin Wi-Fi'ı, otel, mobil operatör, evinizin İSS'si ve bunların üzerinde duran hangi ulusal ara kutu varsa — hepsi hangi sitelere ulaştığınızı ve orada kabaca ne kadar zaman geçirdiğinizi görür. Sonrasında: tek bir adrese giden, uzun ömürlü, tek bir şifreli akış görürler ve içinde ne olduğuna dair hiçbir şey görmezler. Karşılığında, sunucunuzun bulunduğu ağ artık onların bıraktığı konumu işgal eder.

Mekanizmanın tamamı budur ve bu konuda açık sözlü olmakta fayda var, çünkü pazarlama versiyonu — "internette görünmez olun" — insanların, tasarımın sunmadığı bir korumayı beklemesine yol açıyor. Bir VPN, bakış açısının değişmesidir. İşe yarayıp yaramayacağı, tamamen yeni bakış noktasının, endişelendiğiniz o belirli konu için eskisinden daha iyi olup olmamasına bağlıdır. Gözlemciyi hiç duymadığınız bir otel ağından, kendi seçtiğiniz bir ülkedeki, kendi seçtiğiniz ve kendi yapılandırdığınız yazılımı çalıştıran bir veri merkezine taşımak genellikle çok iyi bir takastır. Onu evinizin İSS'sinden podcast'lerde reklam veren bir şirkete taşımak ise farklı, ve o kadar da bariz olmayan bir takastır.

Kendi kendine barındırma bu cümlenin yalnızca ikinci yarısını değiştirir, başka hiçbir şeyi değiştirmez. Kriptografi birebir aynıdır — WireGuard'ın tasarım belgesi, eş ister sizin olsun ister bir sağlayıcının, aynı el sıkışmayı tarif eder. Değişen şey, karşı uçtaki özel anahtarı kimin elinde tuttuğu, isterse kimin kayıt tutabileceği, kimin müşteri veritabanının var olduğu ve çıkış adresinizi başka kimin paylaştığıdır. Bu dört fark, kendi VPN'inizi çalıştırmanın lehindeki ve aleyhindeki tüm gerekçedir ve hepsi aynı yönü göstermez.

Kendi çıkışınız mı, ticari bir çıkış mı: gerçekte yaptığınız takas

İçgüdüsel eğilim, kendi kendine barındırmayı kesin olarak daha gizli seçenek saymaktır ve çoğu tehdit modeli için bu doğrudur. Hesap kaydı tutan bir sağlayıcı yoktur, başkasının hesabı yüzünden el konulabilecek paylaşımlı bir altyapı yoktur, güvenle kabul etmeniz gereken bir gizlilik politikası yoktur ve size söylenmeyen bir günlükleme değişikliği olasılığı yoktur. Anahtarı siz tutarsınız. Kimseye güvenmeniz gerekmez, çünkü size ihanet edebilecek konumda kimse yoktur.

Ama ticari bir VPN'in kesin olarak kazandığı bir boyut var ve bu küçük bir boyut değil. Onların çıkış adresi aynı anda yüzlerce, binlerce kişi tarafından paylaşılır; bu yüzden bir web sitesi ondan gelen bir isteği gördüğünde bu kişilerden hangisinin gönderdiği hakkında neredeyse hiçbir şey öğrenmez. Sizin çıkış adresinizi ise yalnızca siz paylaşırsınız. Sabittir, tek bir müşteriye aittir ve onun üzerinden ziyaret ettiğiniz her site aynı tanımlayıcıyı görür — tıpkı ev IP adresi gibi, sadece farklı bir ülkede. İstediğiniz şey bir kalabalığın içinde kaybolmaksa, tek kişilik bir kalabalık bunu sağlamaz.

Bu tabloyu tek bir puan olarak değil, iki farklı soru olarak okuyun. Düşmanınız üzerinde bulunduğunuz ağ ise — tarama verisi satan bir İSS, TLS'i inceleyen bir işyeri, bir kafe, bir otel, sansür uygulayan bir güvenlik duvarı — kendi kendine barındırma önemli olan her satırda kazanır, çünkü gizlendiğiniz şey tünelin yukarısındadır ve içini göremez. Düşmanınız, bugünkü oturumu geçen ayınkiyle ilişkilendirmeye çalışan ziyaret ettiğiniz site ise, o zaman koruma kalabalıktır ve özel bir çıkış işe yaramazdan da kötüdür. Gerçekte çok az kişi ikinci durumdadır ve bu durumda olanların çoğunun VPN'ler yerine Tor hakkında okuması gerekir.

İnsanların bu ikisini birbirine karıştırmasının nedeni, sektörün tek bir ürünü her iki tanımla birden satmasıdır. Ticari bir VPN'in gerçek, savunulabilir iddiası kalabalıktır. Satış konuşmasındaki geri kalan her şey — günlük tutmama vaadi, denetimler, kuruluş yargı bölgesi — trafiğinizi bir şirkete teslim ettiğiniz gerçeğini telafi etme girişimidir. Kendi kendine barındırma şirketi ortadan kaldırır. Ama bir kalabalık yaratamaz.

Kendi kendine barındırmanın doğru yanıt olduğu durumlar

En açık durum, kontrol edemediğiniz ve güvenemeyeceğiniz bir ağdır. Konferans Wi-Fi'ı, oteller, havalimanları, ev sahibinin paylaşımlı bağlantısı, agresif bir yasal dinleme rejimine sahip bir ülkede mobil dolaşım. Bunların hepsinde tehdit yereldir ve pasiftir; başka herhangi bir yere giden bir tünel bunu tamamen ortadan kaldırır. Bunun en gösterişsiz kullanım senaryosu olması, en az değerli olduğu anlamına gelmez — bu, neredeyse herkese, neredeyse her hafta uygulanan senaryodur.

İkincisi yargı bölgesidir. Zürih'te çıkış yapan bir tünel, ondan çıkan trafiğin İsviçre hukukuna tabi olduğu, bir İsviçre transit sağlayıcısı tarafından taşındığı ve kendi bağlantınızı yöneten rejimin erişiminin dışında olduğu anlamına gelir. Bu, İSS'nin tarama kayıtlarını tutup teslim etmesinin zorunlu olduğu ülkelerdeki insanlar için bir soyutlama değildir. Çıkış ülkesini bilinçli olarak seçmek, net ve okunaklı bir etkiye sahip birkaç gizlilik kararından biridir ve dağıtımı yapmadan önce yargı bölgesi karşılaştırmasını okumak, sonradan okumaktan daha değerlidir.

Üçüncüsü sansürdür. Ulusal güvenlik duvarları, ticari VPN'leri adres aralıklarını listeleyerek engeller; bu kolaydır çünkü o aralıklar yayımlanmıştır, satılmaktadır ve yoğun biçimde kullanılmaktadır. Bir barındırma ağındaki tek bir VPS adresi böyle bir listede yer almaz — bu akıllıca olduğu için değil, kimsenin onu kataloglamak için bir nedeni olmadığı içindir. En güvenilir atlatma kurulumlarının her zaman büyük ve ticari değil, küçük ve kişisel olmasının nedeni budur ve burası kalabalığın fiilen bir dezavantaj olduğu tek yerdir.

Dördüncüsü, tarama dışında bir şey için istikrarlı, temiz, kontrol edilebilir bir çıkışa ihtiyaç duymanızdır: bir ev laboratuvarına dışarıdan erişmek, küçük bir ekibe iç servisleri dışarı açmadan erişim vermek, öngörülebilir bir kaynak adresine ihtiyaç duyan bir servis çalıştırmak veya altınızda dönmeyecek bir adres üzerinde uzun ömürlü bir oturumu sürdürmek. Bunlar, ticari bir VPN'in hiçbir şekilde çözemeyeceği, $8.50'lık bir VPS'in ise bir öğleden sonrada çözdüğü ağ mühendisliği sorunlarıdır. VPN iş yükü sayfası, boyutlandırma ve ağ ayrıntılarını ele alır.

Ve karşı görüş şu: bir sunucuyu yamalı tutamayacaksanız, birini çalıştırmayın. Açık bir SSH portuna sahip, bakımsız bir VPS, herhangi bir ticari VPN'den daha kötü bir gizlilik sonucudur; çünkü ele geçirilmiş bir çıkış her şeyi görür ve başka birine hesap verir. Kendi kendine barındırma, bir güven sorununu bir operasyon sorunuyla takas eder. Bu, ancak operasyonu gerçekten yapacaksanız iyi bir takastır ve bu kılavuzun son bölümü bunu ayda yaklaşık on dakikaya indiriyor.

On dakikada WireGuard: yapılandırmanın tamamı

WireGuard, okunabilecek kadar küçüktür. Linux kernel'inin içinde yaşar, tek bir UDP portu konuşur, herhangi bir müzakere olmadan sabit bir modern ilkeler kümesi kullanır ve tüm yapılandırma yüzeyi iki tür bloktan ibarettir: bu makineyi tanımlayan bir [Interface] ve bağlanmasına izin verilen her cihaz için bir [Peer]. Ortada sertifika otoritesi, kötü seçilebilecek şifreleme paketi ya da ayarlanması gereken bir daemon yoktur. Bu minimalizm, onu tehlikeli bir şekilde yanlış yapılandırmayı zorlaştıran ve neredeyse her yerde alternatiflerinin yerini almasını sağlayan nedendir.

Paketi kurup bir anahtar çifti oluşturarak başlayın. Özel anahtarın herkes tarafından okunabilir yazılmaması için önce umask 077 ayarlayın — öyle olursa wg-quick yüksek sesle şikayet eder, ve haklıdır. wg genkey özel anahtarı üretir, wg pubkey ondan genel yarıyı türetir. Aynısını her istemcide de yapın. Genel anahtarlar karşılıklı değiş tokuş edilir; özel anahtarlar ise onları üreten makineden asla ayrılmaz.

Ardından /etc/wireguard/wg0.conf dosyasını yazın. Aşağıdaki tablo, çalışan bir sunucu için eksiksiz dosyadır — kısalık uğruna hiçbir şey atlanmamıştır.

Dosyanın dışında da doğru olması gereken iki şey var. Kernel yönlendirme yapmaya istekli olmalıdır: net.ipv4.ip_forward=1 ve net.ipv6.conf.all.forwarding=1 değerlerini ayarlayın ve bir yeniden başlatmaya dayanmaları için bunları /etc/sysctl.d/ içine yazın. Ve PostUp içindeki NAT kuralı gerçek herkese açık arayüzü adlandırmalıdır — çoğu bulut imajında bu eth0'dır, ama varsaymak yerine ip route get 1.1.1.1 ile kontrol edin. Yanlış bir arayüz adı, ilk WireGuard kurulumunun bağlanıp sonra hiçbir yere gitmemesinin tek en yaygın nedenidir.

wg-quick up wg0 ile ayağa kaldırın, arayüzün var olduğunu ve eşlerinizi listelediğini wg show ile doğrulayın, ardından bir yeniden başlatmadan sonra geri dönmesi için systemctl enable --now wg-quick@wg0 çalıştırın. İstemci tarafında dosya neredeyse birebir aynıdır, önemli olan üç farkla: AllowedIPs, bu kaynakları kabul et değil her şeyi buradan yönlendir anlamına gelecek şekilde 0.0.0.0/0, ::/0 olur — bir Endpoint satırı sunucunun herkese açık adresini ve portunu gösterir, ve PersistentKeepalive = 25, aksi halde eşlemeyi zaman aşımına uğratacak ev yönlendiricileri boyunca eşlemeyi canlı tutar. Telefonlar için istemci yapılandırmasını qrencode -t ansiutf8 üzerinden geçirin ve terminalden tarayın. Yapılandırma dosyalarını bir mesajlaşma uygulaması üzerinden göndermeyin; özel anahtar onun içindedir.

Tüneli atlatan dört sızıntı

Trafik taşıyan bir tünel, tüm trafiği taşıyan bir tünelle aynı şey değildir ve bu ikisi arasındaki boşluk, gerçek dünyadaki her VPN başarısızlığının yaşadığı yerdir. Aşağıdaki dördün her biri, tünelin kusursuzca çalıştığı ve trafiğinizin onun etrafından dolaştığı bir durumdur ve hiçbiri kendini haber vermez. Bakmanız gerekir.

DNS. İstemci, yerel ağın verdiği çözümleyiciyi kullanmaya devam ederse, tünel trafiğinizi taşırken kafenin DHCP sunucusu baktığınız her alan adının canlı bir akışını almaya devam eder. Sadece isimler bile resmin neredeyse tamamıdır. Bunu istemci yapılandırmasına açık bir DNS = satırı ekleyerek düzeltin, ya da daha iyisi, VPS üzerinde tünel adresine bağlı bir çözümleyici çalıştırıp istemcileri ona yönlendirin — o zaman sorgular da tünelden geçer ve sahip olduğunuz bir makinede sonlanır. Herhangi bir DNS sızıntı testi kullanarak sunucudan değil istemciden doğrulayın; tam olarak bir çözümleyici görmelisiniz ve o da sizin olmalı.

IPv6. Klasik sessiz başarısızlık. İstemcideki AllowedIPs yalnızca 0.0.0.0/0 diyorsa, işletim sistemine IPv4'ü tünelden yönlendirmesini söylemiş, IPv6 hakkında hiçbir şey söylememişsinizdir. Artık çoğu ev ve mobil ağ anlamına gelen çift yığınlı bir ağda, AAAA kaydına sahip her site tünelin dışında, gerçek adresiniz üzerinden ulaşılır; bu sırada yalnızca v4'ü kontrol eden bir sızıntı testi her şeyin yolunda olduğunu bildirir. Ya ::/0 ekleyip tünel içinde v6 adresleri dağıtın, ya da istemcide IPv6'yı tamamen devre dışı bırakın. İkisini de yapmamak varsayılan davranıştır ve bu varsayılan bozuktur.

Kill switch eksikliği. Tünel koptuğunda — laptop uykuya geçtiğinde, mobil cihaz kuleler arasında el değiştirdiğinde, sunucu bir kernel güncellemesi için yeniden başladığında — işletim sistemi yardımsever davranıp yerel ağa geri döner. Tünellendiğine inandığınız trafik tünellenmez ve size hiçbir şey söylenmez. Linux'ta, varsayılan yönlendirme tablosuna sahip wg-quick zaten çoğu trafik için kapalı yönde başarısız olur, ama güvenilir çözüm wg0 üzerinden çıkmayan her şeyi düşüren açık bir güvenlik duvarı kuralıdır. Android ve iOS'ta Always-on VPN ve Block connections without VPN ayarlarını açın. Masaüstü istemcilerinde, ayarın var olduğunu varsaymadan önce gerçekten var olup olmadığını kontrol edin.

MTU. Bir gizlilik sızıntısı değil, ama insanların vazgeçme nedeni. WireGuard'ın kapsülleme maliyeti IPv4 için 60 bayt, IPv6 için 80 bayttır; bu yüzden varsayılan 1420'lik arayüz MTU'su normal bir 1500 baytlık yolun içine sığar. PPPoE üzerinde, bazı mobil ağlarda veya ikinci bir tünelde gerçek yol daha küçüktür ve belirti tuhaftır: ping'ler çalışır, küçük sayfalar yüklenir, büyük TLS el sıkışmaları ise sonsuza dek asılı kalır. Gördüğünüz şey buysa, istemci MTU'sunu 1380 ya da 1280'e düşürün; basitçe çalışmaya başlayacaktır.

Bir VPN'in düzeltemeyeceği bir şey var ve bunu beklememeniz için belirtmekte fayda var: her iki ucu aynı anda izleyebilen bir gözlemci, tünel olsun ya da olmasın, bunları zamanlama ve hacme göre ilişkilendirebilir. Şifreleme içeriği gizler, bir konuşmanın şeklini değil. Bu düşmana karşı savunma yapmak, trafiğinizi birden çok aktarıcı boyunca başkalarınınkiyle karıştırmayı gerektirir; Tor'un işlevi tam olarak budur ve tek sıçramalı bir VPN yapısal olarak bunu yapamaz. Tehdit modeliniz buysa, kendi barındırdığınız bir VPN yanlış araçtır ve onun hiçbir yapılandırması bunu doğru araca dönüştürmez.

Çıkış adresini gerçek dünyada iyi davranan bir adres haline getirmek

Tünelinizin çıkış yaptığı adres bir barındırma ağına aittir ve modern webin büyük bölümü, size nasıl davranacağına karar vermeden önce adresleri konut ve veri merkezi olarak ayırır. Yayın katalogları, bazı bankalar, biletleme siteleri ve pek çok dolandırıcılık önleme aracı, bir barındırma ağından gelen her şeyi varsayılan olarak şüpheli sayar. Bu, bir yapılandırma değişikliğinin düzelteceği bir şey değildir — sunucunun nerede yaşadığının bir özelliğidir ve hem kendi barındırdığınız bir tünele hem de piyasadaki her ticari VPN'e eşit biçimde uygulanır. Aksini vaat eden herkes, şu anda kaybettiği bir kedi-fare oyununu anlatıyordur.

Gerçekten farklı olan şey, adresinizin hangi listelerde göründüğüdür. Ticari VPN aralıkları tam olarak büyük, statik ve paylaşımlı oldukları için listelenir, yayımlanır ve veri akışı olarak satılır; VPN'leri engellemek isteyen bir site o listeyi satın alır. Genel bir barındırma ağındaki tek bir adres o listede değildir. Pratikte bu, kendi barındırdığınız çıkışların, ticari sağlayıcıları doğrudan engelleyen sıradan webin şaşırtıcı bir kısmından sorunsuzca geçtiği, ancak yine de tüm veri merkezi trafiğini engelleyen belirli servislerde duvara tosladığı anlamına gelir. Ara sıra fazladan bir CAPTCHA bekleyin, fazlası değil.

Bir kez yapmaya değer birkaç şey var. Sağlayıcı varsayılanını bırakmak yerine adrese sade, sıradan bir ters DNS kaydı koyun — pek çok itibar sistemi PTR'yi okur ve altyapı gibi görünen bir şeyden ziyade jenerik bir ana bilgisayar adı daha iyi puan alır. Tüneli port 25'ten tamamen uzak tutun; yeni bir barındırma adresinden giden posta, ne yaparsanız yapın spam klasörlerine düşer ve teslim edilebilirlik sorunu kendi başına haftalar süren bir projedir. Ve adres gerçekten zehirlenmiş durumdaysa — önceki bir kiracıdan devralınmış ya da kendi eşlerinizden birinin yaptığı bir şeyden kaynaklanıyorsa — bununla mücadele etmek yerine yeniden IP isteyin. Müşterileri aynı önek içinde ücretsiz olarak yeni bir adrese taşıyoruz; panelden bir destek talebi açın, bir gün içinde tamamlanır.

Son husus, tünelinizin arkasında başka kimlerin olduğudur. Her eş tek bir çıkış adresini paylaştığından, bir kişinin davranışı herkesin itibarı haline gelir. Bir hane sorun değildir. Yarısının ne yaptığını bilmediğiniz yirmi kişilik bir tanıdık grubu, temiz bir adresin nasıl engellenmiş bir adrese dönüştüğünün ve bir istismar bildiriminin hesap adınızla birlikte nasıl geldiğinin tam da yoludur. Kefil olacağınız kişilerin ötesinde eş dağıtıyorsanız, onlara bunun yerine kendi instance'larını verin — ayda $8.50'dan bu, alternatiften daha ucuz bir çözümdür.

Kimsenin yapılandırmadığı katman: kutuyu nasıl ödediğiniz

İşte yukarıdaki her şeyi geçersiz kılan ve WireGuard ile hiçbir ilgisi olmayan başarısızlık burada. Trafik çıkış adresinizden ayrılır. Adres bir sunucuya aittir. Sunucu bir hesaba aittir. Hesap bir e-posta adresiyle açılmış ve adınıza bir kartla ödenmiştir. O noktada trafikten size uzanan zincir dört sıçrama uzunluğundadır, tamamen belgelenmiştir ve bir sağlayıcının faturalandırma veritabanında birinin sormasını beklemektedir. Bir gözlemciyi ortadan kaldırmadınız; onu daha iyi kayıt tutan bir yere taşıdınız.

İşte bu, ağ konumunuzu değiştiren bir VPN ile maruziyetinizi değiştiren bir VPN arasındaki farktır ve bu, yapılandırma dosyasında değil ödeme ekranında karara bağlanır. Özel bir çıkış istemenizin nedeni İSS'nizin ya da hükümetinizin tarama geçmişinize sahip olmaması gerektiğiyse ve sunucu kart ödemesiyle yasal kimliğiniz altında kiralanmışsa, kurulum yine de işe yarar — İSS gerçekten tünelin içini göremez. Ama bu, kararlı bir gözlemciye karşı değil, tek bir belirli gözlemciye karşı bir gizlilik iyileştirmesidir. Hangisini satın aldığınız konusunda kendinize karşı net olun.

Bu boşluğu kapatmak, hesabın sizi tanımlayamaması ve ödemenin de tanımlayamaması demektir. Bu da kayıt sırasında kimlik doğrulaması olmaması — tek kullanımlık bir e-posta adresi ve başka hiçbir şey, ki KYC'siz barındırmanın pratikte gerçekte anlamı budur — ve adınızı taşımayan bir ödeme rayı üzerinden ödeme anlamına gelir. Monero temiz yanıttır, çünkü tutarlar ve taraflar herkese açık bir defterde hiç yer almaz; adım adım kılavuz baştan sona yaklaşık beş dakika sürer. Bitcoin işe yarar ama kalıcı, herkese açık bir kayıttır, bu yüzden yalnızca içine giren coinler kadar özeldir ve önemli olmadığına karar vermeden önce ikisi arasındaki karşılaştırmayı okumakta fayda var.

Sonra yargı bölgesi var; bu, birileri sorsa bile neyi zorla alabileceklerini belirler. 14-Eyes alanının dışında kurulmuş, veri saklama hukuku trafik kayıtlarının tutulmasını zorunlu kılmayan ülkelerde veri merkezlerine sahip bir sağlayıcı, yapısal olarak hiç toplamadığı bir tarama geçmişini teslim edemez. Bu, bakmama sözünden daha güçlü bir garantidir. Bu argümanın tam versiyonu için — kiralanmış bir sunucu hakkında gerçekten neyin izlenebilir olduğu ve neyin olmadığı — dürüst yanıt burada, pazarlamadan daha az güven verici kısımlar dahil.

Boyutlandırma: bir tünelin gerçekte ne kadar az sunucuya ihtiyaç duyduğu

WireGuard'ı çalıştırmak dikkat çekici derecede ucuzdur. Kernel içinde yaşar, bu yüzden paketler asla kullanıcı alanına kopyalanmaz; her CPU'da hızlı olan ve hızlı kalmak için AES hızlandırmasına bağımlı olmayan ChaCha20-Poly1305 kullanır; ve eş başına yalnızca birkaç kilobayt durum tutar, başka hiçbir şey tutmaz. Tek bir modern çekirdek, şifreli verimde bir gigabit civarında bir hız sağlar ve bellek pratikte neredeyse hiçbir zaman kısıtlayıcı olmaz. Bir VPS tünelindeki pratik sınır, işlemci değil uplink'tir.

Bu da çoğu insanın planını yanlış nedenle seçtiği anlamına gelir. Gün boyu tarama yapan, yayın izleyen ve görüntülü görüşen beş cihazlık bir hane, en küçük katmanın sınırlarından çok uzaktır — CPU boşta durur ve bant genişliği sınırsızdır. Bir tünel talepkar olması gerekiyormuş gibi hissettirdiği için değil, aynı anda gerçek trafik gönderen çok sayıda eş zamanlı eşiniz olduğunda ya da uplink'te daha fazla manevra alanı istediğinizde büyütün.

Tünelin nasıl hissettirdiği konusunda konum, donanımdan daha önemlidir. Gönderdiğiniz her paket sunucu üzerinden bir sapma yapar; bu yüzden her şeye olan gecikmeniz, sunucuya olan gecikmeniz artı sunucunun ileriye doğru gecikmesi haline gelir. Tünel her zaman açıksa ve tepki hızını önemsiyorsanız size yakın bir veri merkezi seçin; değilse ulaşmak istediğiniz şeye yakın olanı seçin. Amsterdam, Avrupa'nın büyük bölümüne dönüş için en kısa yoldur; Zürih ve Reykjavík, daha güçlü gizlilik hukukuna sahip yargı bölgeleri karşılığında birkaç milisaniye feda eder; Bükreş ise her iki açıdan da ikisinin arasında yer alır.

Seçim yapmadan önce bilmeye değer bir şey daha var: WireGuard'ın el sıkışması, hat üzerinde tanınabilir bir şekle sahiptir ve derin paket incelemesi yapan bir güvenlik duvarı, hedef hakkında hiçbir şey bilmeden onu tanıyıp düşürebilir. Dünyanın çoğunda bu hiç gündeme gelmez. Bir avuç ağda ise bu, WireGuard'ın tek başına bağlanamayacağı ve önüne gizleyici bir taşıma katmanı koymanız gerektiği anlamına gelir — Shadowsocks, bir xray ya da v2ray yığını, ya da el sıkışmayı dolduran WireGuard çatallarından biri. Bunların hepsi aynı instance üzerinde çalışır; bu, farklı bir plan değil, üzerine eklenen bir katmandır.

Yıllarca onu düşünmeden çalıştırmak

Kişisel bir WireGuard uç noktasının operasyonel yükü sıfıra yakındır, ama gerçekte sıfır değildir ve bu fark, özel bir çıkışı ele geçirilmiş bir çıkıştan ayıran şeydir. Aşağıdakilerin hepsi, ayda yaklaşık on dakika süren son kalem dışında, tek seferlik bir kurulumdur.

Önce ön kapıyı kilitleyin. Yalnızca anahtarlarla SSH — PasswordAuthentication no, PermitRootLogin prohibit-password — ve internetten tam olarak iki şeyi kabul eden bir güvenlik duvarı: WireGuard UDP portu ve SSH. Titiz olmak istiyorsanız, SSH'ı yalnızca tünel adresinde dinleyecek şekilde taşıyın; bu, herkese açık arayüzde ulaşılabilir tek servisin WireGuard'ın kendisi olduğu ve WireGuard'ın kimliği doğrulanmamış paketlere hiç yanıt vermediği anlamına gelir. Kutunun bir port taraması o zaman hiçbir şey döndürmez; bu, internete açık bir sunucu için gerçekten alışılmadık bir özelliktir.

Gözetimsiz güvenlik güncellemelerini açın ve çalışmalarına izin verin. Kernel burada çoğu sunucudakinden farklı bir şekilde önemlidir, çünkü WireGuard uygulaması onun bir parçasıdır. Bir kernel güncellemesi geldiğinde yeniden başlatın; systemd altındaki wg-quick@wg0 tüneli kendiliğinden geri getirir ve PersistentKeepalive'a sahip istemciler, kimse dokunmadan saniyeler içinde yeniden bağlanır.

Anahtarları hesaplar gibi ele alın, çünkü zaten onlardır. Cihaz başına bir anahtar çifti, asla ikisi arasında paylaşılmaz. Erişimi iptal etmek, o [Peer] bloğunu silmek ve başka kimsenin oturumunu düşürmeden değişikliği uygulayan wg syncconf wg0 <(wg-quick strip wg0) komutunu çalıştırmaktır. /etc/wireguard/ dizinini şifreli ve makineden ayrı bir yerde yedekleyin — onu kaybetmek her cihazı elle yeniden kaydetmek anlamına gelir. Sunucu önemsediğiniz başka bir şey tutuyorsa, tam disk şifrelemesi makul bir ek olur, gerçi salt bir tünel için o tek dizinin ötesinde diskte şifrelemeye değer çok az şey vardır.

Günlük tutmadan izleyin. wg show, her eş için son el sıkışma zamanını verir; bu da gerçekte sorabileceğiniz her operasyonel soruyu yanıtlamaya yeter — ayakta mı, bu cihaz bağlı mı, en son ne zaman bildirim yaptı. Trafik sayımı ya da bağlantı günlükleri ekleme dürtüsüne direnin: bunu özellikle trafiğinizin nereye gittiğinin kaydını kimsenin tutmaması için kurdunuz ve şimdi o kaydı yaratma ihtimali en yüksek kişi sizsiniz. Bizim tarafımızda devre dışı bırakılacak hiçbir şey yok — netflow yok, port mirroring yok, hiçbir türde trafik yakalama yok ve 24 saat içinde süresi dolan ARP tabloları var; bu, bir dipnotta vaat edilmek yerine gizlilik sayfasında belgelenmiştir.

İşin tamamı bu kadar. On beş satır yapılandırma, bir güvenlik duvarı, zamanlanmış güvenlik güncellemeleri ve aylık bir wg show bakışı. Kendi barındırdığınız bir VPN'in zor kısmı hiçbir zaman VPN'in kendisi olmadı — zor olan, tünelin yalnızca gözlemciyi yer değiştirdiğini ve bu yer değiştirmenin ne kadar değerli olduğunun, yukarıdaki dört sızıntının kapatılmasına ve altındaki hesabın size geri götürmemesine bağlı olduğunu hatırlamaktır.