Bir VPS üzerinde logsuz WireGuard VPN'i self-host edin

"Logsuz" ifadesi VPN sektöründe en çok tekrarlanan vaat ve en az doğrulanabilir olanıdır. Her ticari sağlayıcı bunu yazar, birkaçı tek bir anı yakalayan bir denetim için para öder ve hepsi gerisini size güvenmenizi ister. Aynı korumayı kimsenin pazarlamasına güvenmeden elde etmenin daha temiz bir yolu var: uç noktayı kendiniz çalıştırın. Bir logsuz WireGuard VPS, politikayı inanmanız gereken bir slogandan okuyabileceğiniz bir yapılandırmaya dönüştürür, çünkü makine sizindir ve günlük anahtarı sizin elinizdedir. Bu rehber tüm yolu yüksek seviyede anlatır — self-hosting neden kazanır, bir WireGuard sunucusu nasıl bir araya gelir, onu gerçekten logsuz tutmak nasıl olur ve sunucuyu adınıza bağlamadan nasıl kurar ve yönetirsiniz.

Self-hosting neden ticari bir "logsuz" VPN'den daha iyidir

Çoğu ana akım VPN uygulaması zaten WireGuard kullanır, bu yüzden onların çıkışını kiralamak ile kendinizinkini kurmak arasındaki fark protokol veya hız değildir. Fark, güvenin kimde olduğudur. Bir şirket log tutmadığını söylediğinde, onun sunucularını, hipervizörünü, üst sağlayıcısını veya sessizce tabi olabileceği yasal emirleri denetleyemezsiniz. Bu iddia tamamen sizin kontrolünüzün dışında yaşar. Siz sunucuya sahip olduğunuzda, aynı iddia satır satır kontrol edebileceğiniz bir şeye dönüşür: WireGuard, açıkça bir şey yapılandırmadığınız sürece bağlantılar veya trafik içeriği hakkında hiçbir şey kaydetmez.

İkinci, daha sessiz bir avantaj var — hedefin şekli. Popüler bir VPN'in çıkış IP'leri ünlüdür. Kara listeye alınmış, parmak izi çıkarılmış ve davranışlarını etkileyemeyeceğiniz binlerce yabancıyla paylaşılmıştır. Kendi uç noktanız, yalnızca sizin kullandığınız sıradan bir sunucu IP'sidir. Bu, kalabalığa karışmak için daha kötü, tamamen sahip olduğunuz istikrarlı, tartışmasız bir kimliği korumak için daha iyidir. İkisi arasında seçim yapmak gerçekten ne için optimize ettiğinizi seçmek anlamına gelir: kalabalık örtüsü mü, kontrol mü? Kendi kendine barındırılan bir uç nokta kesinlikle kontrolle ilgilidir — çıkışın, anahtarların ve logların kontrolü.

Başlamadan önce ihtiyacınız olanlar

Malzemeler mütevazıdır. WireGuard son derece hafiftir — kişisel bir tünel CPU veya RAM'de zar zor fark edilir ve gerçek kısıt hesaplama değil aylık bant genişliğidir. Üç şeye ihtiyacınız var:

• Tamamen kontrol ettiğiniz, root erişimi ve temiz bir herkese açık IP ile bir VPS. En küçük logsuz WireGuard VPS planımız tam olarak bunun için boyutlandırılmıştır — bir kişi veya bir hane için tek bir sürekli açık tünel.
• Her güncel çekirdekte bulunan çekirdek WireGuard modülüne sahip yeni bir Linux kurulumu (Debian veya Ubuntu LTS en az sürpriz yaratanlardır).
• Kendi özel anahtarını tutacak ve uç noktaya geri bağlanacak bir istemci cihazı — dizüstü bilgisayar, telefon veya yönlendirici.

Burada hiçbir şey bir kontrol paneli, eve telefon eden bir kurulum betiği veya önceden hazırlanmış bir imaj gerektirmez. Self-hosting'in amacı, yığının yalnızca üzerine koyduğunuz şey olmasıdır, bu yüzden düz bir işletim sisteminden başlayın ve yalnızca WireGuard'ı ekleyin, başka bir şey değil.

Üst düzey WireGuard kurulumu

WireGuard'ın tüm tasarım felsefesi, denetlenebilecek kadar küçük olmaktır ve kurulum bunu yansıtır. Kavramsal düzeyde, çalışan bir tünel dört hamledir:

1. Her iki tarafta bir anahtar çifti oluşturun

Her eş — sunucu ve her istemci — kendi özel anahtarını ve eşleşen bir herkese açık anahtarını alır. Özel anahtar ait olduğu cihazdan asla ayrılmaz. Sunucunun anahtarını sunucuda (veya çevrimdışı olarak ve yalnızca gerekeni kopyalayarak) üretin ve her istemcinin anahtarını istemcide üretin. WireGuard eşleri birbirini yalnızca herkese açık anahtarla doğrular, bu yüzden resimde hiçbir yerde parola, sertifika veya hesap yoktur.

2. Sunucu arayüz yapılandırmasını yazın

Sunucu bir arayüz alır — geleneksel olarak wg0 — özel anahtarı, bir dinleme UDP portu ve tünel alt ağı için bir iç adres (özel bir aralıkta bir şey, örneğin 10.8.0.0/24). Ardından her istemci için bir [Peer] bloğu eklersiniz; her biri istemcinin herkese açık anahtarını ve kullanmasına izin verilen tünel adresini belirtir. Bu allowed-IPs listesi aynı zamanda erişim kontrol listesidir: bir eş yalnızca ona verdiğiniz adreslerden trafik gönderebilir.

3. Çıkış için yönlendirmeyi ve bir güvenlik duvarı kuralını etkinleştirin

Kutuyu yalnızca özel bir ağ değil de bir VPN çıkışı gibi davrandırmak için çekirdekte IP yönlendirmeyi açın ve tünel trafiğinin sunucunun herkese açık arayüzünden masquerade edilmesi için bir NAT kuralı ekleyin. İnsanların takıldığı yer burasıdır — yönlendirme ve NAT olmadan istemciler bağlanır ancak internete erişemez. Aksi takdirde güvenlik duvarını sıkı tutun: dünyaya yalnızca WireGuard UDP portunu açın ve diğer her şeyi kapalı bırakın.

4. Arayüzü çalıştırın ve istemcileri ona yönlendirin

Arayüzü başlatın, bir hizmet olarak etkinleştirerek yeniden başlatmada hayatta kaldığını doğrulayın ve her istemciye sunucunun herkese açık anahtarını, herkese açık IP'sini ve portunu ve istemcinin tüm trafiğini tünel üzerinden yönlendirmesini istiyorsanız 0.0.0.0/0 allowed-IPs değerini belirten bir yapılandırma verin. WireGuard'ın kendi hızlı başlangıç belgeleri tam komutları kapsar; yukarıdaki şekil bu komutların toplamıdır.

Tüm zihinsel model budur. Arka planda çalışan bir sürü hizmet yok, kapsamlı bir yapılandırma yok ve — kritik olarak — varsayılan kurulumda kimin bağlandığını veya paketlerinin nereye gittiğini yazan hiçbir şey yok.

Gerçekten logsuz tutmak

Tüm çabayı değerli kılan kısım burasıdır. WireGuard tasarım gereği bağlantıları veya trafiği günlüğe kaydetmez — wg aracı her eş için canlı bir el sıkışma zaman damgası ve aktarım sayaçları gösterir, ancak bu durum bellekte yaşar ve diskte bir geçmiş olarak yazılmaz. Yani kendi kutunuzda "logsuz" açtığınız bir şey değildir; varsayılandır ve sizin işiniz yalnızca sessizce geri almaktan kaçınmaktır. Dikkat edilmesi gereken birkaç şey:

• Loglama betiklerini atlayın. Birçok kurulum eğitimi, eş etkinliğini loglayan veya bağlantı sayımı yapan PostUp kancaları ekler. Gerçek bir logsuz uç nokta istiyorsanız, bunları dışarıda bırakın. Kimin bağlandığını kaydeden her satır, daha sonra savunmak zorunda kalacağınız bir satırdır.
• Sistem günlüğünü evcilleştirin. İşletim sistemi günlük tutar — kimlik doğrulama denemeleri, hizmet yeniden başlatmaları, DHCP. Bunların hiçbiri WireGuard trafik günlüğü değildir, ancak yine de bir kayıttır. journald'nin saklama süresini agresif bir şekilde kısaltın veya hiçbir yere gönderin, böylece kutu çalışır durumda kalırken mümkün olduğunca az hatırlar.
• Diski şifreleyin. Logsuz bir politika, ancak ele geçirilen veya snapshot alınan bir diskin ortaya çıkaracağı kadar güçlüdür. Tam disk şifreleme, VPS'inizin altındaki operasyonel katmanın bile anahtarlarınızı veya yapılandırmanızı değil, yalnızca şifreli metni görmesi anlamına gelir.
• DNS'i günlüğe kaydetmeyin. Tünel istemcileri için kutuda bir çözümleyici çalıştırıyorsanız, sorgu günlüğü tutmadığından emin olun. DNS geçmişi genellikle en açıklayıcı kayıttır ve kazara açık bırakılması kolaydır.

Bunun ticari bir vaatten daha güvenilir olmasının nedeni teşviklere ve denetlenebilirliğe dayanır. Pazarlama departmanı yok, hissedar baskısı yok ve sizinle çıkış arasında politikayı size söylemeden değiştirebilecek üçüncü bir taraf yok. Logsuz duruş, dışarıdan aldığınız bir iddia değil, sizin yönettiğiniz bir makinenin özelliğidir. Bu, logsuz VPS yaklaşımımızın arkasındaki aynı platform seviyesi minimizasyonu üzerine inşa edilir — anahtarın sahibinin sağlayıcı değil siz olduğu bir iş yüküne genişletilmiştir.

Kutuyu Tor üzerinden yönetme

Kurma ve yönetme şekliniz sunucuyu size bağlarsa, logsuz bir VPN değerinin çoğunu kaybeder. Tünel temiz olabilir, ancak VPS'yi gerçek adınızla sipariş ettiyseniz, kartla ödediyseniz ve ev IP'nizden SSH ile bağlandıysanız, kutu etrafındaki meta veriler tünelin gizlemeyi amaçladığı hikayeyi anlatır. Bu boşluğu kapatmak basittir:

• Anonim olarak sağlayın. Sipariş akışına Tor üzerinden ulaşın, tanımlayıcı alanları boş bırakın ve makineye hiçbir ad veya kart eklenmemesi için Monero ile ödeyin. Kayıt sırasında hiçbir şey toplanmazsa, daha sonra ilişkilendirilecek bir şey yoktur. Bu, bir anonim VPS'in arkasındaki tüm öncüldür.
• Bir onion üzerinden yönetin. SSH'yi bir Tor onion hizmetine bağlayın ve kutuya bu şekilde ulaşın, böylece yönetim yolu sunucunun sağlayıcısına veya bir ağ gözlemcisine asla bir ev IP'si göstermez. Tor Project onion hizmetlerini derinlemesine belgeler; pratik etki, yönetimin doğrudan bir IP'den IP'ye iz bırakmamasıdır.
• Veri düzlemini hızlı tutun. WireGuard'ın kendisi bir UDP tünelidir ve Tor üzerinden çalışacak şekilde tasarlanmamıştır — bu hızını mahveder. İşin püf noktası düzlemleri ayırmaktır: günlük trafik için normal UDP bağlantı noktasında WireGuard ve Tor üzerinden kontrol düzlemi (SSH, herhangi bir panel erişimi). Hızlı günlük performans ve hiçbir şey açığa çıkarmayan bir yönetim yolu elde edersiniz.

Bu şekilde yapıldığında, güven sorununun her iki ucu da kapatılır. Sağlayıcı kim olduğunuzu asla öğrenmez, ağ kutuyu yönettiğinizi asla görmez ve uç nokta içinden geçen hiçbir şeyin kaydını tutmaz. Bu gerçekten logsuz bir VPN'dir ve zincirdeki her halka sizin denetleyebileceğiniz bir tanesidir.

Bir VPN uç noktasının ardından nereye gidilir

Tamamen kontrol ettiğiniz bir makineye sahip olduğunuzda, tünel nadiren üzerinde yaşayan tek şeydir. Aynı sunucu, diğer her şeye açılan özel ön kapınız olma eğilimindedir — bir atlama sağlayıcısı, evdeki hizmetlere ulaşmanın bir yolu veya kimsenin okuyamamasını tercih ettiğiniz daha büyük bir yığının giriş noktası. Eğer gittiğiniz yön buysa, özel self-hosting VPS rehberimiz burada bittiği yerden devam ediyor; aynı logsuz, KYC'siz duruşu koruyan altyapı üzerinde. Bir WireGuard uç noktası, tam da anahtarlara sahip olma, loglara sahip olma, meta verileri temiz tutma gibi alışkanlıkları öğrettiği için harika bir ilk hizmettir; bu alışkanlıklar, barındırdığınız diğer her şeyi de özel kılar.

Kapsam hakkında kapanış notu: gizlilik, kanunsuzlukla aynı şey değildir. HushVPS, offshore bir yargı bölgesinde yasal ve veri minimizasyonu yapan bir sağlayıcıdır; kendiniz, haneniz veya birkaç güvendiğiniz kişi için kişisel veya küçük grup VPN'i çalıştırmak, Kabul Edilebilir Kullanım Politikamız kapsamındadır. Bir tüneli saldırı trafiğini aklamak, kötü amaçlı yazılım dağıtmak veya başkalarına zarar vermek için kullanmak ise kapsam dışıdır. Her zaman sahip olmanıza izin verilen uç noktayı oluşturun — logsuz sözünü tutmanız gereken uç noktayı.