WireGuard Windows kurulumu

Bu kılavuz, iki Windows bilgisayar arasında bir WireGuard VPN tüneli kurmayı anlatır: uzak bir Windows ana bilgisayarda (örneğin bir Windows VPS) çalışan bir WireGuard sunucusu ve yerel Windows bilgisayarınızda çalışan bir WireGuard istemcisi. Tünel etkin olduğunda iki makine verileri şifreli, özel bir bağlantı üzerinden değiştirir ve isteğe bağlı olarak istemcinin tüm trafiğini sunucu üzerinden yönlendirebilirsiniz.

Temel kurulum, sunucu ile istemci arasında bir tünel oluşturur. İstemcinin tüm internet trafiğini sunucu üzerinden yönlendirmek için sunucuda ayrıca NAT gerekir; bkz. "Tam tünelleme için sunucuda NAT yapılandırma".

Anahtar oluşturmayı basit tutmak için bu kılavuz, hem sunucu hem de istemci yapılandırmasını tek bir WireGuard uygulaması içinde oluşturur ve ardından her yapılandırma dosyasını ait olduğu makineye dağıtır. Sunucu yapılandırması sunucuda, istemci yapılandırması istemcide çalışır. Sunucu ve istemci her zaman ayrı makinelerdir. Aynı işlem, istediğiniz sayıda ek istemci eklemek için de kullanılır.

Başlamadan önce, hem sunucuya hem de istemciye WireGuard kurulum sayfasından WireGuard'ın en son sürümünü yükleyin ve her makinede yönetici haklarına sahip olduğunuzdan emin olun.

Bu kılavuzdaki kurulum şöyle görünür:

Sunucu (genel IP, UDP 51820 üzerinde dinliyor)
Tünel adresi 10.0.0.1/24
        |
        |  şifreli WireGuard tüneli
        |
İstemci
Tünel adresi 10.0.0.2/32

Sunucu yapılandırmasını oluşturma

C:\Program Files\WireGuard\wireguard.exe dosyasını çalıştırın, Add tunnel düğmesine tıklayın ve Add empty tunnel seçeneğini seçin. WireGuard otomatik olarak bir anahtar çifti oluşturur. Pencerenin üstünde gösterilen genel anahtar, sunucunun genel anahtarıdır. İstemciyi yapılandırırken buna daha sonra ihtiyacınız olacak.

Tünele bir ad verin ve Interface bölümünü sunucunun özel anahtarı, WireGuard'ın dinleyeceği bağlantı noktası ve sunucunun tünel içinde kullanacağı iç adres ile doldurun.

[Interface]
PrivateKey = # WireGuard sunucusunun özel anahtarı
ListenPort = # WireGuard'ın dinleyeceği bağlantı noktası
Address = # WireGuard sunucusunun iç IP adresi, örneğin 10.0.0.1/24

Tünel ağı için özel bir alt ağ kullanın ve sunucuyu ile tüm istemcileri aynı aralıkta tutun. Yaygın bir tercih, sunucu için 10.0.0.1/24, istemciler için ise 10.0.0.2/32, 10.0.0.3/32 vb. şeklindedir. Sunucu, tüm tünel aralığına WireGuard arayüzü üzerinden ulaşılabilir olarak davranması için /24 öneki kullanır. Her istemci /32 kullanır, çünkü bir istemci bir alt ağı değil tek bir adresi temsil eder. /24 olarak ayarlanmış bir istemci, tüm aralığın kendi arayüzünde olduğunu varsayar ve diğer tünel adresleri için trafiği tünelden göndermez.

Sunucu yapılandırmasında Block untunneled traffic (kill-switch) onay kutusu gösterilmez. Bu seçenek yalnızca tüm trafiği tünelden yönlendiren bir istemci yapılandırmasında görünür; bkz. "İstemci yapılandırmasını oluşturma".

Ek bir güvenlik katmanı için her eşe (peer) bir ön paylaşımlı anahtar (pre-shared key) ekleyebilirsiniz. Bunu bir kez oluşturun ve aynı satırı hem sunucuda hem de istemcide ilgili [Peer] bölümüne ekleyin:

PresharedKey = # ön paylaşımlı anahtar, sunucuda ve istemcide aynı

Anahtarı WireGuard ile birlikte gelen wg aracıyla oluşturabilirsiniz:

"C:\Program Files\WireGuard\wg.exe" genpsk

İstemci yapılandırmasını oluşturma

Add tunnel düğmesine tıklayın ve bu kez istemci için ikinci kez Add empty tunnel seçeneğini seçin. Bu tünel için gösterilen genel anahtar, istemcinin genel anahtarıdır; sunucunun istemciyi kabul edebilmesi için buna ihtiyacı vardır.

İstemci yapılandırmasını doldurun:

[Interface]
PrivateKey = # WireGuard istemcisinin özel anahtarı
Address = # WireGuard istemcisinin iç IP adresi, örneğin 10.0.0.2/32
DNS = 1.1.1.1, 1.0.0.1
[Peer]
PublicKey = # WireGuard sunucusunun genel anahtarı
AllowedIPs = # tam tünel için 0.0.0.0/0, bölünmüş tünel (split tunnel) için 10.0.0.0/24
Endpoint = # WireGuard sunucusunun genel IP adresi ve bağlantı noktası
PersistentKeepalive = 25

Endpoint, iç tünel adresi değil, sunucunun gerçek genel IP adresi ile sunucunun ListenPort değerinde ayarlanan bağlantı noktası olmalıdır. AllowedIPs değerini seçerken yardım için aşağıdaki "AllowedIPs'i anlama" bölümüne bakın.

DNS ve PersistentKeepalive satırları isteğe bağlıdır. DNS, tünel etkinken kullanılan DNS sunucularını belirler ve bağlandıktan sonra ad çözümleme sorunlarını önlemeye yardımcı olur. 1.1.1.1, 1.0.0.1 veya 8.8.8.8, 8.8.4.4 gibi genel çözümleyicileri ya da VPN ağının kendi DNS sunucusunu kullanabilirsiniz. PersistentKeepalive = 25, her 25 saniyede bir küçük bir paket gönderir ve istemci NAT arkasındayken bağlantının açık kalmasına yardımcı olur.

İstemci yapılandırmasında tek bir [Peer] varsa ve onun AllowedIPs değeri 0.0.0.0/0 (veya ::/0) içeriyorsa, tünel düzenleyicisi yapılandırma alanının altında Block untunneled traffic (kill-switch) onay kutusunu gösterir. Bölünmüş tünelde, örneğin AllowedIPs = 10.0.0.0/24 ile, onay kutusu hiç görünmez.

Kill-switch, 0.0.0.0/0 girer girmez varsayılan olarak etkindir. Tünel etkin olduğu sürece güvenlik duvarı kuralları yalnızca tünelden geçen trafiğe, loopback trafiğine, DHCP'ye ve IPv6 komşu keşfine (neighbor discovery) izin verir. Yazıcılar ve NAS gibi yerel ağınızdaki cihazlar dahil diğer her şey engellenir. DNS satırı ayarlanmışsa, DNS sorgularına yalnızca orada listelenen sunuculara izin verilir.

Onay kutusunu temizlemek yalnızca bir ayarı kapatmak değildir. Düzenleyici AllowedIPs değerini yeniden yazar: 0.0.0.0/0 değeri 0.0.0.0/1, 128.0.0.0/1 olur, ::/0 değeri ise ::/1, 8000::/1 olur. Tüm internet trafiği yine tünelden geçer, ancak engelleyici güvenlik duvarı kuralları oluşturulmaz. Onay kutusunu tekrar seçmek 0.0.0.0/0 değerini geri getirir.

Anahtarları ve Endpoint değerini çok dikkatli kopyalayın. Yanlış yazılmış bir anahtar veya yanlış bir Endpoint, bir tünelin bağlanamamasının en yaygın nedenidir.

İstemciyi sunucuya ekleme

Sunucu yapılandırmasını yeniden açın ve önceki adımdaki istemci genel anahtarını kullanarak istemci için bir [Peer] bölümü ekleyin.

[Peer]
PublicKey = # WireGuard istemcisinin genel anahtarı
AllowedIPs = # istemcinin iç IP adresi

Sunucu yapılandırmasında AllowedIPs iki işlev görür. Sunucuya hangi tünel adresinin bu istemciye ait olduğunu söyler ve bir yönlendirme listesi olarak çalışır: bu aralıklara adreslenen her paket şifrelenir ve bu eşe gönderilir. Tek bir istemci için bu, onun tünel adresidir, örneğin 10.0.0.2/32. İstemcinin tünel üzerinden bir yerel ağa erişilebilir olmasını da sağlaması gerekiyorsa, o alt ağı da buraya ekleyin, örneğin 10.0.0.2/32, 192.168.1.0/24. Bu adımı her ek istemci için tekrarlayın.

Sunucuda Windows Güvenlik Duvarı'nı yapılandırma

Sunucu, UDP bağlantı noktasında gelen WireGuard trafiğini kabul etmelidir. Gelişmiş Güvenlik özellikli Windows Defender Güvenlik Duvarı'nı açın, Gelen Kuralları'nı seçin ve Yeni Kural'a tıklayın. Bağlantı Noktası'nı seçin ve İleri'ye tıklayın. UDP'yi seçin, WireGuard bağlantı noktasını girin, örneğin 51820, ve İleri'ye tıklayın. Birden fazla bağlantı noktası kullanıyorsanız, bunları virgülle ayırarak yazın, örneğin 51820, 51821. Bağlantıya izin ver'i seçin ve İleri'ye tıklayın. Kuralın uygulanacağı profilleri seçin. Sunucu bir veri merkezinde barındırılıyorsa genellikle Genel profili yeterlidir; aksi takdirde Etki Alanı, Özel ve Genel profillerini seçili bırakın. İleri'ye tıklayın, kurala WireGuard UDP 51820 gibi anlaşılır bir ad verin ve Son'a tıklayın.

Bu gelen kuralı yalnızca sunucuda gereklidir, çünkü gelen bağlantıları alan taraf sunucudur. Bir VPS'te ayrıca, barındırma sağlayıcınızın bu bağlantı noktasındaki gelen UDP trafiğine yalnızca Windows Güvenlik Duvarı'nda değil, ağ düzeyinde de izin verdiğinden emin olun.

Yapılandırmaları dışa aktarma ve dağıtma

Her iki yapılandırma da hazır olduğunda Export all tunnels to zip düğmesine tıklayın, bir konum seçin ve kaydedin.

Tüm tünellerin yapılandırma dosyalarını bulmak için arşivi açın. Sunucu yapılandırmasını sunucuya yerleştirin ve her istemciye kendi yapılandırma dosyasını verin. Makinede çok sayıda tünel varsa, tek bir tüneli bağlam menüsünden de dışa aktarabilirsiniz. Zip dosyasına dışa aktarma, bu kılavuzdaki gibi her iki tünel de aynı makinede oluşturulduğunda kullanışlıdır. Her yapılandırmayı doğrudan kendi ana bilgisayarında oluşturursanız dışa aktarma gerekmez ve yapılandırma dosyasını elle kopyalayabilirsiniz.

Sunucuda sunucu yapılandırmasını seçin ve Activate düğmesine tıklayın.

İstemcide Add Tunnel düğmesine tıklayın, istemci yapılandırma dosyasını seçin ve açın.

Ardından Activate düğmesine tıklayın.

İlk istemci artık yapılandırıldı. Diğer istemcileri de aynı şekilde ekleyin: her istemci için yeni bir boş tünel oluşturun ve "İstemciyi sunucuya ekleme" bölümünde açıklandığı gibi, sunucu yapılandırmasına o istemcinin genel anahtarını ve tünel adresini içeren eşleşen bir [Peer] bölümü ekleyin.

Bağlantıyı doğrulama

Tüneli etkinleştirdikten sonra Windows, Ağ ve Paylaşım Merkezi'nde WireGuard bağdaştırıcısını "Ağ erişimi yok" veya "İnternet erişimi yok" olarak gösterebilir. Bu beklenen bir davranıştır, çünkü Windows VPN tünel bağdaştırıcılarını standart internet bağlantıları olarak değerlendirmez ve bu durum tüneli etkilemez. Windows bu durumu, belirli Microsoft URL'lerini yoklayan bağlantı denetimiyle belirler; bu nedenle bu yoklamalar engellenirse veya DNS'iniz tarafından çözülmezse, tünel çalışsa bile uyarı görünebilir.

Tünelin çalıştığını doğrulamak için WireGuard istemcisinde durumunu kontrol edin. Etkin bir tünel, veri aktarım sayaçlarıyla birlikte Active durumunu gösterir. Sayaçlar artıyorsa tünel trafik geçiriyordur.

Sunucuda ayrıca, tünel etkinken WireGuard'ın UDP bağlantı noktasında dinlediğini doğrulayabilirsiniz:

netstat -ano | findstr 51820

PowerShell'deki eşdeğeri:

Get-NetUDPEndpoint -LocalPort 51820

51820 değerini kendi WireGuard bağlantı noktanızla değiştirin. Hiçbir şey döndürülmezse tünel etkin değildir veya bağlantı noktası sunucu yapılandırmasında ayarlanandan farklıdır.

Ardından Komut İstemi'ni açın ve sunucunun iç tünel adresine ping atın:

ping 10.0.0.1

10.0.0.1 değerini sunucu için ayarladığınız gerçek iç IP ile değiştirin. Sunucu yanıt verirse trafik tünelden geçiyordur. Yanıt yoksa önce handshake'i kontrol edin: Windows Server'daki Windows Güvenlik Duvarı gelen ping'i varsayılan olarak engeller, bu nedenle yanıtın gelmemesi her zaman tünelin çalışmadığı anlamına gelmez.

İstemci AllowedIPs = 0.0.0.0/0 kullanıyorsa, trafiğin tünelden yönlendirildiğini de doğrulayabilirsiniz:

tracert 8.8.8.8

İlk atlama (hop), WireGuard sunucusunun iç IP adresi olmalıdır.

WireGuard handshake'ini kontrol etme

Handshake, bir WireGuard bağlantısını teşhis ederken en yararlı göstergedir. WireGuard uygulamasında tüneli açın ve Latest handshake alanını izleyin. Çalışan bir tünelde handshake, etkinleştirmeden birkaç saniye sonra görünür ve veri aktarılırken düzenli olarak güncellenir. Tünel boştaysa handshake'ler arasında bir süre geçebilir, bu nedenle kısa bir boşluk normaldir. Alan boş kalırsa eşler birbirine ulaşamıyor demektir; bu genellikle yanlış bir Endpoint'e, kapalı bir UDP bağlantı noktasına veya eşleşmeyen anahtarlara işaret eder.

Handshake'i komut satırından, WireGuard ile birlikte gelen wg aracıyla da kontrol edebilirsiniz:

wg show

Çıktı, her eşi son handshake zamanı ve aktarım sayaçlarıyla birlikte listeler.

AllowedIPs'i anlama

İstemci yapılandırmasındaki AllowedIPs değeri, hangi trafiğin tünelden gönderileceğini belirler. Kısaca, istemcide AllowedIPs hangi paketlerin tünele gönderileceğini belirler; sunucuda ise belirli bir istemciden hangi paketlerin kabul edileceğini ve nereye yönlendirileceğini belirler.

0.0.0.0/0 değeri, sıradan internet gezintisi dahil tüm trafiği tünelden yönlendirir. Tam trafik koruması istediğinizde kullanın. Bu trafiğin internete ulaşabilmesi için sunucunun onu çevirmesi (NAT) gerekir. Aşağıdaki "Tam tünelleme için sunucuda NAT yapılandırma" bölümüne bakın.

10.0.0.0/24 gibi bir değer yalnızca iç ağ trafiğini tünelden yönlendirir, sıradan internet trafiği ise normal bağlantıyı kullanmaya devam eder. Yalnızca uzak ağdaki belirli kaynaklara erişmeniz gerektiğinde kullanın.

Virgülle ayırarak birden fazla alt ağ listeleyebilirsiniz, örneğin 10.0.0.0/24, 192.168.1.0/24.

Tünel etkinken yerel ağa erişme

Bölünmüş tünelde, örneğin AllowedIPs = 10.0.0.0/24 ile, yerel ağ her zamanki gibi çalışmaya devam eder ve hiçbir şeyi değiştirmeniz gerekmez. Aşağıdaki adımlar tam tünel için geçerlidir.

En basit seçenek, istemci tünel düzenleyicisinde Block untunneled traffic (kill-switch) onay kutusunu temizlemektir. Düzenleyici 0.0.0.0/0 değerini 0.0.0.0/1, 128.0.0.0/1 ile değiştirir. Yerel alt ağınız, örneğin 192.168.1.0/24, fiziksel bağdaştırıcı üzerinden daha belirgin bir rotaya sahiptir; dolayısıyla Windows LAN trafiğini doğrudan yerel ağa gönderir, internet trafiği ise yine tünelden geçer. Bunun bedeli, tünel koptuğunda trafiği engelleyen hiçbir şeyin olmamasıdır.

LAN trafiğinin hiçbir zaman tünele girmediğinden emin olmak istiyorsanız, yerel aralığı AllowedIPs değerinden açıkça çıkarın. Örneğin aşağıdaki değer, 192.168.0.0/16 dışındaki her IPv4 adresini kapsar:

AllowedIPs = 0.0.0.0/1, 128.0.0.0/2, 192.0.0.0/9, 192.128.0.0/11, 192.160.0.0/13, 192.169.0.0/16, 192.170.0.0/15, 192.172.0.0/14, 192.176.0.0/12, 192.192.0.0/10, 193.0.0.0/8, 194.0.0.0/7, 196.0.0.0/6, 200.0.0.0/5, 208.0.0.0/4, 224.0.0.0/3

Yerel ağınız 10.x.x.x veya 172.16.x.x gibi farklı bir aralık kullanıyorsa, o aralık için listeyi bir AllowedIPs hesaplayıcısıyla hesaplayın ve tünel alt ağının hâlâ dahil olduğundan emin olun. Bu değerde /0 rotası bulunmadığından, kill-switch bununla birlikte kullanılamaz.

Info Tünel ve yerel ağ için aynı alt ağı kullanmaktan kaçının. Ev ağınız 10.0.0.0/24 ise tünel için başka bir aralık seçin, örneğin 10.8.0.0/24.

Sunucunun arkasındaki bir ağa, örneğin bir ofis LAN'ı olan 192.168.10.0/24'e erişmek için sunucuda ek bir girişe gerek yoktur, çünkü sunucunun kendi LAN'ına zaten bir rotası vardır. İstemcide bunu [Peer] bölümündeki AllowedIPs değerine ekleyin, örneğin AllowedIPs = 10.0.0.0/24, 192.168.10.0/24. Sunucunun ayrıca bu trafiği iletmesi ve çevirmesi gerekir; bkz. "Tam tünelleme için sunucuda NAT yapılandırma". O LAN'daki cihazlar sunucunun LAN adresine yanıt verir, bu nedenle yanıtların tünelden geri dönmesini sağlamanın en kolay yolu sunucuda NAT kullanmaktır.

Tam tünelleme için sunucuda NAT yapılandırma

İstemciler AllowedIPs = 0.0.0.0/0 kullanıyorsa ve trafiklerinin sunucu üzerinden gerçekten internete ulaşmasını istiyorsanız, sunucunun iç WireGuard adreslerini kendi dış adresine çevirmesi gerekir. Windows'ta bu, Linux'ta kullanılan PostUp ve PostDown betikleriyle değil, New-NetNat komutuyla yapılır.

Sunucuda PowerShell'i yönetici olarak açın ve sunucuya atadığınız tünel alt ağını kullanarak aşağıdakini çalıştırın:

New-NetNat -Name WireGuardNAT -InternalIPInterfaceAddressPrefix 10.0.0.0/24

10.0.0.0/24 değerini kendi tünel alt ağınızla değiştirin ve önekin atadığınız her istemci adresini kapsadığından emin olun. Bu aralığın dışındaki bir istemci, örneğin 10.0.1.2, bu kuralla eşleşmez. Etkin kuralları istediğiniz zaman inceleyebilirsiniz:

Get-NetNat

NAT kuralını daha sonra kaldırmak için şunu çalıştırın:

Remove-NetNat -Name WireGuardNAT

İstemciler bağlanıyor ve handshake başarılı oluyor, ancak internet trafikleri yine de sunucudan geçmiyorsa, yönlendirmeye katılan arayüzlerde IP iletmeyi (IP forwarding) etkinleştirin ve yeniden test edin. Kesin biçim Windows sürümüne bağlıdır, örneğin:

Set-NetIPInterface -InterfaceAlias "Ethernet" -Forwarding Enabled

Bunu, internet trafiğini taşıyan dış arayüze ve WireGuard arayüzüne uygulayın; adlarını Get-NetIPInterface çıktısındaki gerçek adlarıyla kullanın.

Sorun giderme

Tünel etkin ancak sunucuyla bağlantı yok. WireGuard UDP bağlantı noktasının, örneğin 51820, sunucudaki güvenlik duvarında açık olduğunu kontrol edin. Genel anahtarların sunucu ve istemci yapılandırmaları arasında doğru kopyalandığını doğrulayın. İstemci yapılandırmasındaki Endpoint değerinin, iç tünel adresine değil, sunucunun gerçek genel IP adresine işaret ettiğinden emin olun.

Bağlandıktan sonra DNS çalışmıyor. İstemcinin Interface bölümüne bir DNS sunucusu ekleyin:

[Interface]
PrivateKey = ...
Address = ...
DNS = 1.1.1.1, 1.0.0.1

Paket sayaçları artmıyor. Tünel veri geçirmiyor. AllowedIPs'in her iki tarafta da doğru ayarlandığını, iç WireGuard adreslerinin mevcut yerel ağla çakışmadığını ve ListenPort'un başka bir uygulama tarafından kullanılmadığını kontrol edin.

Kill-switch onay kutusu temizlenmiyor. Düzenleyici, AllowedIPs değerini yalnızca tüm yapılandırmayı okuyabildiğinde yeniden yazar. [Peer] bölümünün sunucudan kopyalanmış geçerli bir genel anahtar içerdiğini ve her ayarın kendi satırında olduğunu kontrol edin, ardından tekrar deneyin.

Bir sorunu teşhis etmek için daha fazla ayrıntıya ihtiyacınız var. WireGuard uygulamasında tüneli açın ve handshake'leri, hataları ve bağlantı olaylarını anlık olarak kaydeden Log sekmesine bakın. Paylaşmanız gerekirse günlüğü buradan dışa aktarabilirsiniz.

Sunucu yeniden başlatıldıktan sonra WireGuard'ı otomatik başlatma

Tünelin yeniden başlatmalar boyunca çalışmasını sağlamak için onu bir Windows hizmeti olarak yükleyin. Hizmet olarak yüklenen bir tünel, yeniden başlatmadan sonra otomatik olarak başlar. Komut İstemi'ni veya PowerShell'i yönetici olarak açın ve sunucu yapılandırma dosyanızın yolunu kullanarak aşağıdakini çalıştırın:

wireguard /installtunnelservice "C:\Program Files\WireGuard\wg_server.conf"

Bu komutu her başlangıçta değil, yalnızca bir kez çalıştırın. Tüneli WireGuard uygulamasından etkinleştirmek normalde aynı hizmeti yükler; dolayısıyla çoğu durumda bir kez etkinleştirmek yeterlidir. Hizmeti daha sonra kaldırmak için tünel adını, yani .conf uzantısı olmayan yapılandırma dosyası adını kullanın.

wireguard /uninstalltunnelservice wg_server

Hizmeti yeniden başlatmak için, örneğin yapılandırmayı düzenledikten sonra, kaldırma komutunu ve ardından yükleme komutunu yeniden çalıştırın.

Sunucuyu yeniden başlatın ve tünelin kendiliğinden başladığını doğrulayın.