Asgari geçmişe sahip kişisel bir WireGuard uç noktası çalıştırın
Küçük, kendi kendine barındırılan bir VPN kurun, yönlendirmeyi yönetimden ayırın ve WireGuard çevresinde oluşturulan günlükleri gözden geçirin.
Bir bakışta
WireGuard kendi barındırmak size eşler, anahtarlar, yönlendirme ve VPN yapılandırması üzerinde kontrol verir. Barındırma sağlayıcısını veya her sistem kaydını ortadan kaldırmaz. Anahtar malzemesini koruyun, güvenlik duvarı kurallarını test edin ve uç noktayı günlük tutmayan olarak tanımlamadan önce işletim sistemi ve uygulama saklamasını gözden geçirin.
Kendi kendine barındırmanın neleri değiştirdiğini bilin
Kişisel bir VPN, uç noktanın, eş anahtarlarının ve yapılandırmanın kontrolünü size verir. Yalnızca ticari bir sağlayıcının etkinlik politikasına güvenmek yerine konuk sistemi inceleyebilirsiniz. Ayrıca size, itibarı binlerce ilgisiz VPN müşterisiyle paylaşılmayan kararlı bir adres verir.
Bu adres genellikle kendi trafiğinizle ilişkilendirilir, bu nedenle paylaşılan bir çıkışa göre daha az kalabalık koruması sunar. VPS işletmecisi ve üst ağ, güven modelinin bir parçası olmaya devam eder. Kendi kendine barındırma, kontrol ve özel bağlantı için yararlıdır; her uygulama için otomatik olarak anonimlik veya uçtan uca şifreleme sağlamaz.
Sade bir Linux sistemi ve istemci cihazları hazırlayın
Bakımı yapılan bir Linux dağıtımı, başlangıç ağ değişiklikleri için kök erişimi ve UDP tarafından erişilebilen bir genel uç nokta kullanın. WireGuard mütevazı kişisel kullanım için hafiftir, oysa trafik izni ve bağlantı hızı genellikle ana kısıtlamalardır. Daha yüksek verim veya birden fazla iş yükü, CPU ve bellek gereksinimlerini değiştirebilir.
Kaybolan bir telefonun tüm anahtarları değiştirmeden iptal edilebilmesi için cihaz başına bir eş kimliği planlayın. Hangi adreslerin ve hizmetlerin tünelden geçmesi gerektiğine karar verin. Tam bir internet tüneli yönlendirme ve genellikle adres dönüşümü gerektirir; sunucular arasındaki özel bir örgü gerektirmeyebilir.
Anahtarları yerel olarak oluşturun ve eşleri açıkça eşleyin
Her cihazın özel anahtarını o cihazda oluşturun ve yalnızca karşılık gelen genel anahtarı paylaşın. Anahtar dosyalarındaki izinleri kısıtlayın ve eksiksiz istemci yapılandırmalarını korumasız e-posta veya paylaşılan notlar aracılığıyla iletmekten kaçının. Yapılandırma içeren bir QR kodu özel anahtarı içerir ve o da korunmalıdır.
Sunucu arayüzü normalde özel bir tünel adresine, bir UDP dinleme bağlantı noktasına ve istemci başına bir eş girdisine sahiptir. AllowedIPs, yönlendirme ile eş adresi yetkilendirmesini birleştirir. Sunucu tarafındaki örtüşen eş aralıklarını kullanmak yerine her istemciye kendi tünel adresini verin.
umask 077
wg genkey > privatekey
wg pubkey < privatekey > publickeyYönlendirme ve güvenlik duvarının birlikte çalışmasını sağlayın
Seçtiğiniz adres ailelerinin gerektirdiği yönlendirmeyi etkinleştirin ve güvenlik duvarını tünel trafiğine ve amaçlanan çıkışa izin verecek şekilde yapılandırın. Yaygın bir IPv4 internet ağ geçidi için bu, genel arayüzde uygun bir maskeleme kuralını içerir. Kuralı gerçek arayüz adı ve alt ağıyla eşleştirin.
Yalnızca gerekli UDP dinleyicisini ve korumalı yönetim yolunuzu açığa çıkarın. Tek başına başarılı bir el sıkışma, yönlendirmenin çalıştığını kanıtlamaz. İnternet erişilebilirliğini, DNS ve dönüş trafiğini kontrol edin. Yapılandırmayı, dağıtım için desteklenen WireGuard hizmet mekanizmasını kullanarak yeniden başlatma boyunca kalıcı hale getirin.
İstemcileri sızıntı oluşturmadan yapılandırın
Bir istemci sunucunun genel anahtarına, uç nokta adresine ve bağlantı noktasına, kendi tünel adresine ve tünele gönderilecek rotalara ihtiyaç duyar. Bir IPv4 tam tüneli için rota 0.0.0.0/0'dir; IPv6 de kasıtlı bir yapılandırma gerektirir, genellikle çalışan IPv6 yönlendirmesiyle ::/0 veya desteklenmediği yerlerde açıkça engelleme.
DNS sorgularının nasıl işleneceğini seçin ve her istemciden test edin. Tünel tüm trafiği korumak içinse, bağlantı kesildiğinde ne olduğunu doğrulayın. Güvenlik duvarı tabanlı bir kill switch, kazara doğrudan erişimi önleyebilir, ancak tek bir rota ayarından varsayılmak yerine cihaza uyarlanmalı ve test edilmelidir.
- Güvenilir bir test uç noktasının gösterdiği genel adresi kontrol edin.
- DNS çözümlemesini ve IPv6 davranışını test edin.
- Amaçlanan hizmetlerin tünel üzerinden çalıştığını doğrulayın.
- Bir sunucu ve istemci yeniden başlatmasından sonra sonucu doğrulayın.
- VPN arızalandığında trafiğin durması gerekiyorsa bağlantı kaybını test edin.
Tüm sistem genelinde geçmişi en aza indirin
WireGuard en son el sıkışmalar ve aktarım sayaçları gibi canlı eş durumunu açığa çıkarır; normalde kendisi kalıcı bir tarama geçmişi tutmaz. Bu ayrım önemlidir: bir eş yapılandırması ve mevcut uç nokta durumu hâlâ vardır. Ekstra betikler, siz eklerseniz bu gözlemleri diske yazabilir.
Çevredeki bileşenleri gözden geçirin: sistem günlüğü, güvenlik duvarı günlüklemesi, trafik muhasebesi, DNS çözümleyici günlükleri ve izleme aracıları. Makinenin hiç kayıt içermediğini iddia etmek yerine ölçülü tanılama saklama kullanın. Depolama şifrelemesi bazı disk risklerini ele alır, ancak çalışan bir VPS yine de altyapısına dayanır.
- Eş bağlantı etkinliğini arşivleyen gereksiz betiklerden kaçının.
- Gerekli olmadığında DNS sorgu geçmişini devre dışı bırakın.
- Operasyonel tanılamayı kapsamı sınırlı ve kısa ömürlü tutun.
- Eş yapılandırmasını ve özel anahtarları koruyun.
- Üçüncü taraf izleme ve yedekleme içeriklerini gözden geçirin.
VPN veri yolunu yönetimden ayırın
WireGuard UDP taşır ve Tor'nin olağan TCP SOCKS taşımasından geçmez. VPN'in veri yolunu normal ağ rotasında tutun. SSH veya özel bir yönetim panosu, istemci tarafından yetkilendirilmiş bir onion hizmeti dahil olmak üzere Tor'i ayrıca kullanabilir.
Bu, yönetim bağlantısının doğrudan bir yönetici IP'sini açığa çıkarmasını önlerken VPN uç noktası yine de istemcilerinden ağ trafiği alır. Özel olarak ödeme yapmak ve korumalı yönetim kullanmak bu veri yolu gerçeğini değiştirmez. Korumaları ve sınırlarını net tutun.
Anahtarları, kapasiteyi ve erişimi koruyun
Kayıp cihazları eş anahtarlarını kaldırarak iptal edin ve ayrı yedekler çıkarın. Ana makine yazılımını güncel tutun, yapılandırmanın korumalı bir yedeğini saklayın ve kullanıcı etkinliğini gereksiz yere arşivlemeden kapasiteyi izleyin. Aktarım tüketimini aylık kotayı tehdit etmeden önce kontrol edin.
Uç nokta ayrıca bir ev hizmetine veya başka bir VPS'ye özel bir rota haline gelebilir. Makinedeki her hizmeti açığa çıkarmak yerine rotaları ve güvenlik duvarı izinlerini kasıtlı olarak ekleyin. Sorunu çözen en küçük ağ düzeniyle başlayın, sonra aynı anahtar ve günlükleme disipliniyle büyütün.