AmneziaWG Sunucu Dağıtım Kılavuzu

Giderek daha fazla insan, ücretli, hazır hizmetlere güvenmek yerine kendi VPN'lerini kullanıyor: daha ucuz, gizlilik açısından daha iyi ve sunucu üzerinde tam kontrol sağlıyor. Ağ engellemesinin agresif olduğu bölgeler için en etkili seçeneklerden biri, WireGuard üzerine Amnezia projesi tarafından geliştirilen bir protokol olan AmneziaWG'dir.

Klasik WireGuard hızlı ve güvenilirdir, ancak sabit bir paket yapısına ve tahmin edilebilir bir el sıkışmaya sahiptir; bu da DPI (Derin Paket İnceleme) sistemlerinin güvenilir bir şekilde parmak izi çıkarıp engellemesine olanak tanır. AmneziaWG bunu çözüyor: normal WireGuard bağlantısına gereksiz paketler ekliyor, başlıkları rastgele hale getiriyor ve el sıkışma alanlarının boyutunu değiştiriyor; böylece WireGuard'ın karakteristik imzası kayboluyor ve trafik artık sıradan UDP trafiğinden ayırt edilemiyor.

Hali hazırda klasik bir tünel kullanıyorsunuz ve geçiş yapmaya değer olup olmadığını merak mı ediyorsunuz? Bunu Linux'ta VPN sunucu kurulumu: PPTP mi yoksa OpenVPN mi? başlıklı yazıda yer alan sade bir OpenVPN/PPTP kurulumuyla veya sunucunuzda Wireguard VPN nasıl kurulur başlıklı yazıda yer alan sade WireGuard (gizleme yok) kurulumuyla karşılaştırın.

Bu kılavuz, Docker veya web paneli kullanmadan, tamamen komut satırından yapılandırılan ve VPS üzerinde mümkün olan en az yer kaplayan bir AmneziaWG sunucusunu elle kurmayı anlatmaktadır. En hafif seçenektir ve GUI, veritabanı ve ters proxy gerektirmediği için bütçe dostu bir VPS'de iyi çalışır. Aşağıdaki örnek sunucu, yer tutucu bir IP adresi kullanmaktadır; bu adresin göründüğü her yerde kendi VPS'nizin adresiyle değiştirin.

İhtiyacınız olanlar: Ubuntu 22.04/24.04 veya Debian 11/12 çalıştıran bir VPS, root erişimi ve VPS'nizin IP adresi. Alan adı gerekli değildir — AmneziaWG sertifika kullanmadığı için yenilenecek bir şey yok ve DPI'nin TLS el sıkışması olarak işaretleyeceği bir şey de yok.

Henüz bir sunucunuz yok mu? Sunucu siparişi nasıl verilir bölümüne bakın.

Sunucuya bağlanıyor

Windows (PuTTY)

PuTTY'yi açın, Ana Bilgisayar Adı alanına VPS IP adresinizi girin, bağlantı noktasını 22 olarak ayarlayın ve VPS sağlayıcınızın size e-posta ile gönderdiği şifreyi kullanarak root olarak giriş yapın.

Sunucu IP adresi: sizin IP adresiniz

root olarak giriş yap

Şifre: şifreniz

1. PuTTY'yi açın ve Ana Bilgisayar Adı alanına VPS IP adresinizi girin.  

2. Bağlantı noktasını 22 olarak ayarlayın. 

3. root olarak giriş yapın. 

4. VPS sağlayıcınızın size e-posta ile gönderdiği şifreyi kullanın.

Sonuç aşağıdaki gibi olmalıdır:

PuTTY/SSH üzerinden bağlantı kurma konusunda ayrıntılı bilgi için, " SSH aracılığıyla Linux sunucusuna nasıl bağlanılır" başlıklı makaleye bakın.

Linux / macOS (terminal)

ssh root@YOUR_SERVER_IP

Aşağıdaki tüm komutlar, aynı SSH oturumunda sunucuda çalıştırılır; bu, 2. ila 5. bölümleri ve 9. bölümdeki sunucu tarafı kontrollerini kapsar. 6-8. bölümler (VPN istemcisinin kurulumu ve yapılandırılması) ise VPN'in çalışması gereken cihaz olduğundan, kendi Windows/macOS/Linux cihazınızda gerçekleşir; bu bölümlerin her birinde, varsa, hangi satırların hala sunucuya müdahale ettiği açıkça belirtilmiştir.

Sunucuyu Hazırlama

Sistemi güncelle

Herhangi bir şey yüklemeden önce, paket listesini yenileyin ve yüklü paketleri güncelleyin:

apt update -y && apt upgrade -y

Eğer bu işlem çekirdeği yükseltirse, 3. Bölümdeki AmneziaWG çekirdek modülünü oluşturmadan önce sistemi yeniden başlatın; aksi takdirde DKMS yanlış çekirdek başlıklarına karşı derleme yapabilir ve modül yüklenemez. (apt ve Linux paket yöneticilerinin nasıl çalıştığı hakkında bilgi edinmek için Linux Paket Yöneticileri bölümüne bakın .) Şunlarla kontrol edin:

cat /var/run/reboot-required

IP iletmeyi etkinleştir

Bu ayar, sunucunun istemcilerin paketlerini internete iletmesini sağlar; bu ayar olmadan tünel kurulur ancak içinden trafik geçmez.

echo "net.ipv4.ip_forward = 1" > /etc/sysctl.d/00-amnezia.conf
sysctl --system

İlk komut özel bir yapılandırma dosyası oluşturur; ikinci komut ise sunucuyu yeniden başlatmadan bu dosyayı uygular.

Güvenlik duvarını (UFW) yapılandırın.

UFW kuralları hakkında daha fazla bilgi için Linux'ta Güvenlik Duvarı Yapılandırma bölümüne bakın.

İhtiyacınız olan iki portu açın: SSH için 22/tcp (bu kuralı atlarsanız sunucuya erişiminizi kaybetme riskiyle karşı karşıya kalırsınız) ve AmneziaWG'nin dinleyeceği 42666/udp portu.

apt install ufw -y
ufw allow 22/tcp
ufw allow 42666/udp
ufw --force enable
ufw status

Her iki kural da ufw durum çıktısında ALLOW olarak görünmelidir.

AmneziaWG'nin Kurulumu

Debian, Ubuntu tarzı PPA'ları doğrudan desteklemediği için, depo add-apt-repository komutuyla değil, elle eklenmelidir. Bu işlem Ubuntu'da da aynı şekilde çalışır.

Depoyu manuel olarak ekleyin

echo "deb [arch=amd64] https://ppa.launchpadcontent.net/amnezia/ppa/ubuntu jammy main" > /etc/apt/sources.list.d/amnezia.list

apt install -y gnupg2
gpg --keyserver keyserver.ubuntu.com --recv-keys 57290828
gpg --export 57290828 | tee /usr/share/keyrings/amnezia.gpg > /dev/null
echo "deb [arch=amd64 signed-by=/usr/share/keyrings/amnezia.gpg] https://ppa.launchpadcontent.net/amnezia/ppa/ubuntu jammy main" > /etc/apt/sources.list.d/amnezia.list

apt update
apt install -y amneziawg

Modülün yüklendiğini doğrulayın.

modprobe amneziawg
lsmod | grep amnezia

Sunucu ve İstemci Yapılandırmasının Oluşturulması

Yardımcı programları yükleyin

qrcode bağımlılığını yükleyin, ardından özel bir çalışma dizini oluşturun ve topluluk tarafından geliştirilen config-generator komut dosyasını bu dizine indirin:

apt install -y python3-qrcode
mkdir -p ~/awg && cd ~/awg
wget -O awgcfg.py \
  https://gist.githubusercontent.com/remittor/8c3d9ff293b2ba4b13c367cc1a69f9eb/raw/awgcfg.py

Eğer python3-qrcode, dağıtımınızın depolarında mevcut değilse, pip3 install qrcode --break-system-packages komutunu kullanın (bu bayrak, varsayılan olarak yönetilmeyen pip kurulumlarını engelleyen Debian 12+/Ubuntu 24.04'te gereklidir). İki kurulumu birden çalıştırmayın, birini seçin.

Sunucu yapılandırmasını oluşturun

/etc/amnezia/amneziawg/awg0.conf dosyasını oluşturun. Tünelin iç alt ağını ve UDP portunu varsayılan değerlerinde bırakabilir veya kendiniz belirleyebilirsiniz:

python3 awgcfg.py --make /etc/amnezia/amneziawg/awg0.conf \
  -i 10.10.8.1/24 -p 42666

-i bayrağı tünelin dahili ağ adresini ve maskesini ayarlar; -p ise sunucunun UDP portunu ayarlar (2.3. adımda açılan portla aynı).

İstemci yapılandırma şablonunu oluşturun.

python3 awgcfg.py --create

Bu işlem, bireysel istemci yapılandırmalarının oluşturulduğu aynı klasöre bir şablon kaydeder; bu şablon zaten sunucunun genel anahtarını, IP adresini ve AmneziaWG'yi düz WireGuard'dan ayıran gizleme parametrelerini (Jc, Jmin, Jmax, S1, S2, H1–H4) içerir.

Müşteri ekle

Her cihaz için bir giriş oluşturun; isim herhangi bir şey olabilir, örneğin cihaz adı:

python3 awgcfg.py -a "laptop"
python3 awgcfg.py -a "phone"

Müşteri dosyaları ve QR kodları oluşturun.

python3 awgcfg.py -c -q

~/awg klasörü artık laptop.conf ve phone.conf gibi dosyaların yanı sıra, doğrudan mobil uygulamaya tarayabileceğiniz eşleşen PNG QR kodlarını da içerecektir.

~/awg klasörü artık laptop.conf ve phone.conf gibi dosyaların yanı sıra, doğrudan mobil uygulamaya tarayabileceğiniz eşleşen PNG QR kodlarını da içerecektir.

Hizmeti Başlatma ve Otomatik Başlatmayı Etkinleştirme

awg0 arayüzünü açın ve yeniden başlatmada otomatik olarak başlamasını sağlayın:

systemctl enable --now awg-quick@awg0
systemctl restart [email protected]
systemctl status [email protected]

Cihaz açılışta etkin (çıkış yapmış) durumda olmalıdır. Konsol günlükleri gösterirken "donmuş" gibi görünüyorsa, çıkmak için Q tuşuna basın.

Aktif eşlerin listesini ve eş başına trafiği şu komutla kontrol edin:

awg show

Windows'tan bağlanma

Bu bölümdeki her şey Windows bilgisayarınızda gerçekleşir, SSH üzerinden değil; VPN istemcisinin tüneli gerçekten kullanacak cihaza yüklenmesi gerekir. Sunucuya dokunan tek adım 6.2'deki scp indirme işlemidir ve bu komut bile bilgisayarınızda yazılır ve sunucunun 4. bölümde zaten oluşturduğu bir dosyayı indirir.

İstemciyi yükleyin

AmneziaWG'nin özel bir Windows uygulaması var; arayüzü standart WireGuard istemcisine benziyor ancak gizleme parametrelerini anlayabiliyor. Kurulum dosyasını projenin resmi deposundan indirin:

https://github.com/amnezia-vpn/amneziawg-windows-client/releases

Yukarıdaki bağlantı, Windows istemcisinin güncellenen sürümler sayfasına aittir; en son .msi/.exe dosyasını oradan indirin. Bu, tarayıcınızda açmanız gereken bir sayfadır, terminale yapıştıracağınız bir komut değildir.

Yükleyiciyi çalıştırın ve kurulum sihirbazını adım adım takip edin; varsayılan ayarları değiştirmenize gerek yok.

Yapılandırmayı içe aktar

İstemci yapılandırma dosyasını sunucudan bilgisayarınıza kopyalayın — en kolay yol scp komutunu kullanmaktır, bunu sunucuda değil, bilgisayarınızdaki PowerShell'de çalıştırın:

scp root@YOUR_SERVER_IP:~/awg/laptop.conf .

AmneziaWG uygulamasında, "Dosyadan tünel(ler) içe aktar" seçeneğine tıklayın, laptop.conf dosyasını seçin ve yeni tünelin yanındaki düğmeyi açın.

MacOS'tan bağlanma

İki seçenek desteklenmektedir:

• AmneziaWG (Mac App Store): macOS 12 ve üzeri sürümlerde çalışan hafif bir istemci. App Store'da "AmneziaWG" araması yapın, yükleyin, ardından "Dosyadan tünel(ler) içe aktar" seçeneğini kullanın ve .conf dosyanızı seçin — Windows istemcisiyle aynı iş akışı.
• AmneziaVPN (tam uygulama, macOS 14+): Hafif AmneziaWG istemcisi yerine tam özellikli Amnezia uygulamasını kullanmayı tercih ederseniz, .pkg dosyasını github.com/amnezia-vpn/amnezia-client/releases/latest adresinden indirin.

Öncelikle gerekirse istemci yapılandırma dosyasını kopyalayın, tıpkı 6.2. adımda olduğu gibi:

scp root@YOUR_SERVER_IP:~/awg/laptop.conf .

Linux'tan bağlanma

apt install -y amneziawg
cp laptop.conf /etc/amnezia/amneziawg/awg0.conf
awg-quick up awg0

Bağlantıyı kesmek için bu kodu çalıştırın.

awg-quick down awg0 

Oturum açıldığında tünelin otomatik olarak devreye girmesini sağlamak için, onu bir hizmet olarak etkinleştirin:

systemctl enable --now awg-quick@awg0

Bağlantıyı Doğrulama

Bölüm 6, 7 veya 8'deki tünel aktifken, kendi cihazınıza (SSH oturumuna değil) geri dönün ve bir tarayıcıda herhangi bir "IP adresim nedir" kontrol aracını açın; gösterilen adres, VPS'nizin IP adresiyle eşleşmelidir. Bunun yerine SSH oturumu içinden doğrulamak için, sunucuda `awg show` komutunu çalıştırın ve istemci tarafının yakın zamanda bir el sıkışma ve sıfır olmayan trafik gösterdiğini doğrulayın.

Referans:

Tünelin her iki ucunda yalnızca S1/S2 ve H1–H4'ün aynı olması gerekir; Jc, Jmin ve Jmax tamamen her iki tarafın kendi giden gereksiz trafiğini nasıl doldurduğuyla ilgilidir, bu nedenle istemci ve sunucu değerleri yukarıdaki örnekte olduğu gibi meşru olarak farklı olabilir.

Sonuç

Bu kılavuzu takip etmek, VPS'nizin kendi AmneziaWG sunucusunu çalıştırmasını sağlar: WireGuard ile uyumlu, trafiği gizleyen ve DPI sistemlerinin sıradan UDP trafiğinden ayırt etmesini WireGuard'a göre belirgin şekilde daha zor hale getiren bir protokoldür. Servis, systemd birimi awg-quick@awg0 olarak çalışır ve sizin herhangi bir işlem yapmanıza gerek kalmadan sunucu yeniden başlatıldıktan sonra da çalışmaya devam eder.

~/awg dizininde oluşturulan .conf dosyaları ve QR kodları yalnızca Windows istemcisiyle çalışmakla kalmaz, aynı zamanda Android, iOS, macOS ve Linux için AmneziaWG veya Amnezia uygulamalarına ve Keenetic ve OpenWrt yönlendiricilerine de aktarılabilir.

4.4–4.5 adımlarını (python3 awgcfg.py -a "name", ardından awgcfg.py -c -q) tekrarlayarak ve systemctl restart [email protected] komutuyla arayüzü yeniden başlatarak istediğiniz zaman yeni istemciler ekleyebilirsiniz.

Sunucu çalışmaya başladıktan sonra sürdürmeye değer birkaç alışkanlık:

• Sistemi güncel tutun. Periyodik olarak `apt update -y && apt upgrade -y` komutunu çalıştırın ve çekirdek yükseltmelerinden sonra sistemi yeniden başlatın, böylece DKMS, amneziawg modülünü yeni çekirdeğe göre yeniden derlesin.
• ~/awg dizinini yedekleyin. Bu dizin, her istemcinin özel anahtarını ve sunucunun kendi anahtar çiftini awg0.conf dosyasında saklar; bu dizini kaybetmek, her cihaz için yapılandırma dosyalarını yeniden oluşturmak anlamına gelir.
• Kaybolan aygıtları derhal geri alın. /etc/amnezia/amneziawg/awg0.conf dosyasından ilgili [Peer] bloğunu kaldırın ve systemctl restart komutunu çalıştırın. [e-posta korumalı].

Bağlantı kurulmazsa, sırasıyla şunları kontrol edin:

• hizmet durumu (systemctl status) [e-posta korumalı])
• Güvenlik duvarı kuralları (ufw status — 42666/udp portunun açık olması gerekiyor)
• Arayüz başlatılamıyorsa DKMS/modül durumunu kontrol edin (dkms status, lsmod | grep amnezia)
• Sunucudaki aktif eşlerin listesi (awg show)
• İstemci yapılandırmasının doğru harici sunucu IP adresini işaret ettiğinden emin olun.

AmneziaWG'yi diğer seçeneklerle karşılaştırıp karar vermeden önce nelere dikkat etmelisiniz? Linux'ta VPN sunucu kurulumu: PPTP mi yoksa OpenVPN mi? ve Sunucunuzda Wireguard VPN nasıl kurulur başlıklı yazılara bakın . Tam bir VPN tüneli yerine yalnızca basit bir proxy'ye ihtiyacınız varsa, CentOS/ArchLinux'ta 3proxy yapılandırması daha hafif bir alternatiftir. VPN aktif hale geldikten sonra genel sunucu güvenliği için Linux Kullanıcıları: Yönetim ve İzinler başlıklı yazıya bakın.