WireGuard + Proxy

WireGuard'ı bir proxy sunucusuyla birleştirmek, kullanıcıların şifreli VPN tünel trafiğini ek bir aracı üzerinden yönlendirmesine olanak tanır; böylece gizlilik artar, coğrafi kısıtlamalar aşılır veya belirli ağ politikaları uygulanabilir. Bu yapılandırma katmanlı bir ağ yaklaşımı oluşturur: WireGuard güvenli ve düşük gecikmeli bir tünel sağlar, proxy sunucusu ise internet trafiğinin son adımını yönetir.

WireGuard ve proxy sunucularını anlamak

WireGuard, sadelik ve güçlü kriptografi için tasarlanmış modern, yüksek performanslı bir VPN protokolüdür. İstemci ile sunucu arasında güvenli, şifreli bir tünel oluşturur ve istemcinin tüm ağ trafiğini bu tünel üzerinden yönlendirir. WireGuard'ın temel işlevi veri aktarımını güvence altına almak ve çoğu zaman istemcinin kaynak IP adresini VPN sunucusunun IP'siyle maskelemektir.

Proxy sunucusu, başka sunuculardaki kaynaklara erişmek isteyen istemcilerin istekleri için aracı görevi görür. İstemci, hedef sunucuya (örneğin bir web sitesine) doğrudan bağlanmak yerine proxy sunucusuna bağlanır ve proxy isteği iletir. Proxy'ler önbellekleme, erişim denetimi, günlük kaydı ve görünen kaynak IP adresini değiştirme gibi çeşitli amaçlarla kullanılabilir. Yaygın türler arasında HTTP proxy'ler (web trafiği için) ve SOCKS proxy'ler (çeşitli protokoller için) bulunur. VPN'den farklı olarak proxy genellikle uygulama katmanında çalışır ve özel olarak yapılandırılmadıkça (örneğin HTTPS proxy) istemci ile proxy arasındaki trafiği şifrelemeyebilir.

Bu teknolojileri birleştirmek, WireGuard tünelinin bir ara sunucuya olan bağlantıyı güvence altına aldığı, o sunucudaki bir proxy'nin (veya tünel üzerinden erişilebilen ayrı bir proxy sunucusunun) sonraki internet isteklerini işlediği bir kurulum yaratır.

Yaygın birleştirme mimarileri

WireGuard'ın proxy ile entegrasyonu, proxy hizmetinin WireGuard sunucusuna göre nerede konumlandığına bağlı olarak genellikle iki temel mimariden birini izler.

İstemci -> WireGuard VPN -> Uzak proxy

Bu mimaride istemci, bir WireGuard VPN sunucusuna WireGuard tüneli kurar. İstemciden çıkan trafik WireGuard tarafından şifrelenir ve VPN sunucusuna gönderilir. Trafik VPN sunucusunda WireGuard tünelinden çıktıktan sonra ayrı, uzak bir proxy sunucusuna yönlendirilir. Bu uzak proxy sunucusu da trafiği internetteki nihai hedefine iletir.

Kullanım senaryosu: Kullanıcı belirli bir coğrafi bölgeye kadar WireGuard'ın güvenliğine ve performansına ihtiyaç duyar, ancak nihai çıkış noktası olarak farklı bir bölgedeki veya farklı bir sağlayıcı tarafından işletilen bir proxy sunucusu kullanmak ister; böylece ağ yolu ve IP adresi daha da çeşitlendirilir.

İstemci -> WireGuard VPN sunucusu (yerel proxy ile)

Bu, yaygın ve genellikle daha basit bir mimaridir. İstemci bir WireGuard VPN sunucusuna bağlanır. WireGuard sunucusunun kendisi bir proxy hizmeti barındırır (örneğin SOCKS5 veya HTTP/HTTPS). Sunucuda WireGuard tünelinden çıkan tüm istemci trafiği, internete ulaşmadan önce bu yerel proxy üzerinden yönlendirilir.

Kullanım senaryosu: Birden fazla VPN istemcisi için proxy erişimini merkezileştirmek, VPN sunucusunun çıkış noktasında belirli filtreleme veya günlük kaydı yetenekleri sağlamak ya da proxy'yi şeffaf hale getirerek istemci yapılandırmasını basitleştirmek.

WireGuard'ı proxy ile yapılandırma

Yapılandırma, seçilen mimariye ve proxy türüne göre değişir.

İstemci tarafı proxy yapılandırması (İstemci -> WireGuard -> Uzak proxy için)

Bu senaryoda WireGuard istemcisi, her zamanki gibi WireGuard VPN sunucusuna bağlanacak şekilde yapılandırılır. WireGuard tüneli kurulduktan sonra istemcideki uygulamalar (örneğin web tarayıcısı, belirli yazılımlar) ayrıca uzak proxy sunucusunu kullanacak şekilde yapılandırılır. WireGuard tüneli, istemciden uzak proxy'ye olan bağlantının şifreli olmasını sağlar.

# Örnek WireGuard istemci yapılandırması (wg0.conf)
[Interface]
PrivateKey = <Client_Private_Key>
Address = 10.0.0.2/32 # VPN tüneli içindeki istemci IP'si
DNS = 8.8.8.8

[Peer]
PublicKey = <Server_Public_Key>
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0 # Tüm trafiği VPN üzerinden yönlendir
PersistentKeepalive = 25

WireGuard tüneli etkin olduktan sonra istemci uygulaması şöyle yapılandırılır:

# Örnek tarayıcı SOCKS5 proxy yapılandırması
SOCKS Host: proxy.remote-provider.com
Port: 1080
SOCKS v5

Sunucu tarafı proxy yapılandırması (WireGuard sunucusu proxy ağ geçidi olarak)

Bu yapılandırma, proxy hizmetinin doğrudan WireGuard VPN sunucusuna kurulmasını içerir. WireGuard istemcileri bu sunucuya bağlanır ve trafikleri yerel proxy tarafından işlenir.

SOCKS5 proxy (örneğin Dante Server)

Dante, yaygın kullanılan bir SOCKS proxy sunucusudur. WireGuard sunucusunda, WireGuard istemcilerinden gelen bağlantıları kabul edip internete iletecek şekilde yapılandırılabilir.

WireGuard sunucu kurulumu:

1. Dante'yi kurun:
   bash sudo apt update sudo apt install dante-server

2. Dante'yi yapılandırın (/etc/danted.conf):
   Dante'nin, WireGuard istemcilerinin erişebileceği bir arayüzde dinlediğinden emin olun (örneğin wg0 veya dahili proxy trafiğini nasıl yönlendirmek istediğinize bağlı olarak sunucunun genel arayüzü).

   ```ini
   logoutput: stderr

   internal: wg0 port=1080 # İstemciler için WireGuard arayüzünde dinle

   internal: eth0 port=1080 # Dış arayüzde dinle, istemciler VPN üzerinden erişir
   external: eth0 # İnternete çıkış arayüzü

   clientmethod: none
   socksmethod: username none # VPN istemcileri için kimlik doğrulama istenmiyorsa 'none'

   user.privileged: root
   user.unprivileged: nobody

   WireGuard alt ağından gelen bağlantılara izin ver

   client pass {
   from: 10.0.0.0/24 to: 0.0.0.0/0
   # 10.0.0.0/24 yerine kendi WireGuard alt ağınızı yazın
   }
   socks pass {
   from: 0.0.0.0/0 to: 0.0.0.0/0
   }
   3. **Dante'yi etkinleştirin ve başlatın:**bash
   sudo systemctl enable danted
   sudo systemctl start danted
   4. **WireGuard sunucusunda IP yönlendirmeyi etkinleştirin:**bash
   echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
   sudo sysctl -p
   5. **WireGuard sunucusunda `iptables` yapılandırın**; böylece WireGuard istemcilerinden Dante proxy'sine trafik geçebilir.bash

   WireGuard arayüzünün wg0 olduğu ve Dante'nin 10.0.0.1:1080 adresinde (WireGuard sunucu IP'si) dinlediği varsayılır

   sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT
   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   ```

İstemci tarafı yapılandırma:
WireGuard istemcisi VPN sunucusuna bağlanır. Ardından istemcideki uygulamalar, WireGuard sunucusunun dahili VPN IP adresini (örneğin 10.0.0.1) SOCKS5 proxy olarak kullanacak şekilde yapılandırılır.

# İstemcide örnek uygulama SOCKS5 proxy yapılandırması
SOCKS Host: 10.0.0.1
Port: 1080
SOCKS v5

HTTP/HTTPS proxy (örneğin Squid)

Squid, önbellekleme ve iletme yapan bir HTTP web proxy'sidir.

WireGuard sunucu kurulumu:

1. Squid'i kurun:
   bash sudo apt update sudo apt install squid

2. Squid'i yapılandırın (/etc/squid/squid.conf):
   ```apacheconf
   # Varsayılan HTTP portunda dinle
   http_port 3128

   WireGuard istemcileri için bir Access Control List (ACL) tanımla

   acl wireguard_clients src 10.0.0.0/24 # Kendi WireGuard alt ağınızla değiştirin

   WireGuard istemcileri için HTTP erişimine izin ver

   http_access allow wireguard_clients
   http_access deny all # Diğer tüm erişimleri reddet
   3. **Squid'i etkinleştirin ve başlatın:**bash
   sudo systemctl enable squid
   sudo systemctl start squid
   `` 4. **IP yönlendirme veiptables` kurallarının ayarlandığından emin olun** — Dante için anlatıldığı gibi, WireGuard trafiğinin internete ulaşmasına izin verin.

İstemci tarafı yapılandırma:
İstemcideki uygulamalar, WireGuard sunucusunun dahili VPN IP adresini (e.0.0.1) HTTP proxy olarak kullanacak şekilde yapılandırılır.

# İstemcide örnek uygulama HTTP proxy yapılandırması
HTTP Proxy Host: 10.0.0.1
HTTP Proxy Port: 3128

iptables ile şeffaf proxy

Şeffaf proxy, istemci tarafında açık bir proxy yapılandırması gerektirmeden belirli trafiği yönlendirir. Bu genellikle WireGuard sunucusundaki iptables kurallarıyla, standart HTTP/HTTPS portlarına (veya diğer portlara) giden trafiğin yerel bir proxy hizmetine (şeffaf moddaki Squid veya Dante ya da SOCKS için redsocks) yönlendirilmesiyle sağlanır.

WireGuard sunucu kurulumu:

1. Yerel bir proxy kurun ve yapılandırın (örneğin şeffaf proxy olarak yapılandırılmış Squid veya SOCKS5 için redsocks).
   • Squid şeffaf modu için http_port 3128 intercept kullanılır.
   • redsocks için, 127.0.0.1:12345 adresinde (örnek port) dinleyecek ve gerekirse uzak bir SOCKS5 proxy'ye iletecek şekilde yapılandırın.
2. IP yönlendirmeyi etkinleştirin:
   bash echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward sudo sysctl -p

3. iptables kurallarını yapılandırın:
   Bu kurallar, wg0 arayüzünden gelen trafiği yerel proxy'ye yönlendirir.
   ```bash
   # WireGuard arayüzünün wg0 olduğu ve yerel şeffaf proxy'nin 127.0.0.1:3128 adresinde (HTTP için) dinlediği varsayılır
   # WireGuard istemcilerinin HTTP trafiğini yerel proxy'ye yönlendir
   sudo iptables -t nat -A PREROUTING -i wg0 -p tcp --dport 80 -j REDIRECT --to-port 3128

   HTTPS (443 portu) için gerçek şeffaf proxy, SSL/TLS'te SSL araya girmesi gerektirir;

   bu da sertifika manipülasyonu içerir ve basit trafik yönlendirmenin ötesindedir.

   Temel iletim için genellikle yalnızca SOCKS veya SSL olmayan belirli portları yönlendirmek daha iyidir.

   Şeffaf SOCKS5 için redsocks kullanılıyorsa:

   sudo iptables -t nat -A PREROUTING -i wg0 -p tcp -j REDIRECT --to-port 12345 # redsocks dinleme portu

   WireGuard sunucusu aynı zamanda ağ geçidiyse NAT için POSTROUTING'i ayarlayın

   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

   wg0'dan eth0'a yönlendirmeye izin ver

   sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT
   ```

İstemci tarafı yapılandırma:
İstemci tarafında özel bir proxy yapılandırması gerekmez; WireGuard sunucusundaki iptables kuralları trafiği şeffaf şekilde yönlendirir. İstemcinin yalnızca WireGuard VPN'e bağlanması yeterlidir.

Kullanım senaryoları ve faydaları

• Artırılmış gizlilik ve anonimlik: Katmanlı yaklaşım ek bir atlama noktası ve IP adresi gizleme sağlar. WireGuard tüneli VPN sunucusuna kadar trafiği korur, proxy ise farklı bir çıkış IP'si sunar.
• İnce ayarlı coğrafi engel aşma: Genel güvenli erişim için VPN'i kullanın, ardından farklı bir coğrafi konumdan IP gerektiren hizmetler için belirli uygulamaları proxy kullanacak şekilde yapılandırın; böylece bölgeye özgü içerik engelleri daha etkili biçimde aşılabilir.
• Politika uygulama ve filtreleme: WireGuard ağ geçidindeki proxy sunucusu içerik filtreleme uygulayabilir, zararlı siteleri engelleyebilir veya istemci erişim denemelerini kaydedebilir; bu da giden trafik üzerinde merkezi denetim sağlar.
• Ağ kısıtlamalarını aşma: Bu birleşim, tek başına VPN'leri veya proxy'leri engelleyen ağ kısıtlamalarını bazen aşabilir. Örneğin bir ağ doğrudan proxy bağlantılarını engelliyorsa, bunları WireGuard üzerinden yönlendirmek engeli aşabilir.
• Trafik yönetimi: WireGuard sunucusunda tanımlanan kurallara göre farklı trafik türlerini farklı proxy'ler üzerinden yönlendirin; bu, ağ akışı üzerinde ayrıntılı denetim sağlar.

Performans ve güvenlik değerlendirmeleri

• Performans yükü: Ek bir proxy katmanı eklemek performans yüküne yol açar. Buna proxy'nin ek işlem yükü, olası ek ağ atlamaları ve artan gecikme dahildir. Trafik WireGuard tarafından şifrelenir, VPN sunucusunda çözülür, proxy tarafından işlenir ve ardından dışarı gönderilir.
• Güvenlik açısından etkileri: WireGuard istemciden VPN sunucusuna kadar tüneli şifrelese de proxy sunucusunun kendisi kritik bir güven noktası hâline gelir. Proxy, HTTPS olmayan trafiği işleyen bir HTTP proxy ise şifresiz veriyi inceleyebilir. HTTPS'te bile meta veriler ve bağlantı ayrıntıları proxy tarafından görülebilir. Proxy sunucusu ele geçirilirse trafiği kaydedebilir veya değiştirebilir. Güvenlik modeli hem WireGuard sunucusunun hem de proxy sunucusunun güvenilirliğine bağlıdır.
• Karmaşıklık: Bu kurulum yapılandırma karmaşıklığını ve sorun giderme çabasını artırır. Sistemin amaçlandığı gibi çalışması için her bileşen (WireGuard istemcisi, WireGuard sunucusu, proxy sunucusu, iptables) doğru yapılandırılmalıdır.

Karşılaştırma: WireGuard, Proxy ve birleşik kullanım