Linux'ta VPN nasıl kurulur

Başlamadan önce

İstemciyi kurun

Linux'ta iki yol vardır ve ikisi de gerçeği olduğu gibi sunar. İlk yol sağlayıcının kendi istemcisidir; istemci beraberinde kill switch, sunucu seçici ve DNS yönetimi getirir. İkinci yol, sistemin kendi araçlarında yapılandırma dosyası kullanmaktır; bu kılavuzun sonundaki bölüm bunun bedelini açıklar.

1. Sağlayıcının web sitesinde oturum açın ve hesap alanından Linux talimatlarını açın. Depoyu, anahtarı ve paketi burada belirtir; bunları izleyin, başka hiçbir şeyi değil.
2. Depoyu ve anahtarını ekleyin, ardından paketi kurun dağıtımın paket yöneticisiyle. Paket yöneticisinin değiştirilmiş bir paketi reddetmesini sağlayan şey anahtardır; bu nedenle anahtar olmadan eklenen bir depoyu güven temelinde kabul etmiş olursunuz.
3. İstemcinin hizmetini etkinleştirin, böylece açılışta başlar. İstemci genellikle root olarak çalışan bir arka plan hizmeti ve onunla iletişim kuran bir masaüstü uygulamasından oluşur; tünel arka plan hizmetinin kontrolündedir ve açılıştan itibaren geçerli olması gereken kill switch'in de açılıştan itibaren çalışması gerekir.
4. İstemcide oturum açın — uygulamadan veya hesap alanının verdiği token ile komut satırından — ve cihaza sizi tanımlamayan bir ad verin.
5. Henüz bağlanmayın. Önce ayarları açın. Aşağıdaki üç ayardan ikisi çoğu istemcide varsayılan olarak kapalıdır.

Kontrol edilmeye değer üç ayar

İstemci menüleri farklı olabilir, ayarlar değişmez. Üç ayarın da adı yabancı gelirse sözlükte bir karşılığı vardır.

Kill switch

Tünel kesildiğinde tüm trafiği engeller; bağlantının sessizce normal ağa geri dönmesine izin vermez. Linux'ta bu, istemcinin yazdığı güvenlik duvarı kurallarıdır: tünel arayüzü ve tünelin kendi uç noktası dışındaki her şey bırakılır. Bunu açın ve istemci sunuyorsa always-on veya lockdown biçimini kullanın; böylece kurallar yalnızca bağlantı sırasında değil, açılıştan itibaren geçerli olur. Bu anahtarın ne işe yaradığı kendi sayfasında açıklanır.

Tünelin içindeki DNS

Diğer her şey tünelin içindeyken bile ad sorguları makineden tünelin dışına çıkabilir. Linux'ta bu sızıntı daha sık görülür, çünkü çözümleyici değişken bir bileşendir. Ubuntu'da bu bileşen systemd-resolved'dır: her arayüzün kendi çözümleyicileri vardır ve DNS için varsayılan rotaya sahip olan çözümleyici, daha özel bir alan adıyla eşleşmeyen her şeyi yanıtlar. İstemci, bu varsayılanı tünel arayüzü üzerinden sağlayıcının çözümleyicisine yönlendirmelidir. İstemcinin DNS ayarını üçüncü tarafınki yerine sağlayıcının kendi çözümleyicisine ayarlayın; yalnızca sorguları gören ikinci bir taraf, fazladan bir taraftır. Sızıntının nasıl oluştuğu DNS sızıntıları sayfasında açıklanır.

Protokol

Bir şey bozulmadıkça modern varsayılanı kullanın — protokol sayfasında hangilerinin güncel, hangilerinin eski olduğu listelenir. İstemci bir bağlantı sorununu düzeltmek için daha eski bir seçenek sunuyorsa, bu bilinçli biçimde yapılması ve sonra geri alınması gereken bir ödündür: sicil, sağlayıcının hâlâ sunduğu en zayıf protokolü işaretler ve bunu elle seçmek, o işareti kendiniz için seçmeniz anlamına gelir.

Gerçekten çalıştığını doğrulayın

Bağlanın, ardından varsaymak yerine kontrol edin. Terminalden şu üç kontrolü sırayla yapın:

1. Adresiniz değişti. Herhangi bir “IP adresim nedir” hizmetine curl ile istek gönderin veya tarayıcıda birini açın ve ülkenin seçtiğiniz çıkış konumuyla eşleştiğini doğrulayın. Genel bir adrese yönelik ip route get çıktısında Wi-Fi veya Ethernet arayüzü değil, tünel arayüzü yer almalıdır.
2. Sorgular tünelin içindedir. resolvectl status komutunu çalıştırın: tünel arayüzü sağlayıcının çözümleyicisini ve DNS varsayılan rotasını taşımalı; fiziksel arayüzün çözümleyicisi kullanılmıyor olmalıdır. Tarayıcıdaki DNS sızıntısı testi ikinci bir görüş sağlar; internet sağlayıcınıza ait herhangi bir şey görmeniz, DNS ayarının uygulanmadığı anlamına gelir.
3. Kill switch söylendiği gibi çalışıyor. İndirme devam ederken istemcinin hizmetini systemctl stop ile durdurun veya istemciden bunu istemeden ip link set … down ile tünel arayüzünü kapatın; böylece tünel kesilir. Aktarım derhal durmalıdır. Devam ederse anahtar yalnızca göstermeliktir.

Daha uzun test dizisi ve her testin neleri gösterip neleri gösteremeyeceği kendi kılavuzunda açıklanır.

Yapılandırma dosyası yolu ve bunun bedeli

Çoğu sağlayıcı, hesap alanından yaygın iki protokol için yapılandırma dosyaları yayımlar. Bir WireGuard dosyası, bağlantı düzenleyicisinden veya nmcli connection import ile NetworkManager'a aktarılır ve wg-quick altında da aynı şekilde çalışır; bir OpenVPN dosyası da OpenVPN eklentisiyle aynı biçimde aktarılır. Tüneli, sistemin kendi arayüz anahtarını ve sağlayıcının dosyaya koyduğu şeyleri alırsınız; başka hiçbir şeyi değil.

Kaybettiğiniz şey istemcinin geri kalanıdır. Güvenlik duvarı kurallarını kendiniz yazmadığınız sürece kill switch yoktur; NetworkManager'a aktarılmış ve kesilen bir dosya, trafiği doğrudan normal ağa geri verir. DNS yönetimi yoktur. Yalnızca dosyadaki DNS satırı uygulanır ve bu satırı içermeyen bir dosya, ilk sorun giderme yanıtındaki sızıntının kendisidir. Sunucu seçici yoktur: her dosya tek bir çıkıştır ve çıkış konumunu değiştirmek başka bir dosya anlamına gelir. Dosyaları hesap alanından oluşturun ve gizli tutun: bir WireGuard dosyası, sağlayıcı açısından kimliğiniz olan özel anahtarı içerir.

Bu yol bir sunucu, başsız bir makine veya istemcinin desteklemediği bir dağıtım için uygundur. Bir dizüstü bilgisayarda istemciyi tercih edin; onun beraberinde getirdiği anahtar, yapılandırma dosyasının sağlayamayacağı şeydir.