VPN kurma: Monero ile ödenen VPS'te WireGuard kurulumu

Kendi sunucunuzda çalışan bir VPN, kiraladığınız küçük bir VPS üzerindeki bir WireGuard sunucusudur: telefonunuz ve dizüstü bilgisayarınız ona tünel açar, ziyaret ettiğiniz siteler de ev bağlantınızın yerine sunucunun adresini görür. Bu şekilde VPN kurma işi birkaç komuttan ibarettir ve ayda kabaca 3 € ile 10 $ arası tutar; en fazla bir e-posta isteyen bir sağlayıcıya Monero ile ödediğinizde faturada hiçbir isim yer almaz. Ama bu sizi anonim yapmaz ve rehber de tam bu ödünleşimle başlıyor.

1 Ekim 2026 tarihinde kontrol edildi.

VPS ve VPN: hangisi neyi gizler

VPS (sanal özel sunucu) kiralık bir sanal makinedir; tek başına hiçbir şeyi gizlemez. VPN (sanal özel ağ) ise cihazınızdan bir sunucuya uzanan şifreli bir tüneldir: ağınız tek bir adrese giden şifreli paketler görür, siteler de sizin yerinize sunucuyu görür.

Bir VPS'e VPN yazılımı kurarsanız kendi VPN'iniz olur; Mullvad'a ya da IVPN'e abone olursanız onlarınkini başkalarıyla paylaşırsınız. Kim neyi görür:

Kim neyi görür	VPN yok	VPS'te kendi VPN'iniz	Paylaşımlı ticari VPN
İnternet servis sağlayıcınız ya da kafenin Wi-Fi'ı	Ziyaret ettiğiniz her site	Tek bir sunucuya giden şifreli UDP	VPN sunucusuna giden şifreli trafik
Ziyaret ettiğiniz siteler	Ev IP'niz	Sunucunuzun IP'si, yalnızca sizin kullandığınız	Pek çok müşterinin paylaştığı bir IP
Sunucuyu işleten	Ortada sunucu yok	Hosting sağlayıcınız trafik hacmini ve bağlanan IP'leri görebilir	VPN şirketi, kendi log politikası çerçevesinde

Kendi sunucunuzda VPN ne zaman mantıklı, paylaşımlı VPN ne zaman daha iyi

Kendi VPN'inizi oluşturmadan önce kimden saklandığınıza karar verin. Tehdit bağlı olduğunuz ağdan geliyorsa kendi kurduğunuz VPN öne geçer: otel Wi-Fi'ı, gezinme geçmişinizi kaydeden bir internet servis sağlayıcısı, bir ofis filtresi. Ayrıca size sabit bir çıkış adresi verir ve güvenmeniz gereken bir VPN şirketi kalmaz.

Tehdit öbür uçtaysa geride kalır. Yalnızca sizin kullandığınız bir çıkış IP'si parmak izi gibi işler: adınızı taşıyan tek bir hesaba giriş yapın, adres de o adı taşımaya başlar. Hosting sağlayıcınız da o IP'nin arkasında tek bir müşteri olduğunu bilir ve akış kayıtları (flow records) tutuyorsa, ona her sabah bağlanan adresi de bilir: ev bağlantınızın adresini.

Paylaşımlı bir VPN sizi kalabalığın içinde gizler: her çıkış adresi bir kişiyi değil, VPN şirketini gösterir. Monero kabul edenler VPN ve proxy bölmemizde listeleniyor. Ziyaret ettiğiniz sitelere karşı anonimlik için ikisi de Tor Browser'ın yerini tutmaz.

Neler gerekir: KVM VPS, bir konum, Monero ile ödeme

Konteyner değil, KVM. Bir KVM VPS'in kendi Linux çekirdeği vardır ve WireGuard bu çekirdekte zaten bulunur; konteyner tabanlı bir VPS (OpenVZ, LXC) ise sağlayıcının çekirdeğini paylaşır ve WireGuard'ı yüklemenize izin vermeyebilir.

Küçük bir plan yeter. Kişisel bir VPN sunucusu çok az işlemci ya da bellek ister; asıl bakmanız gereken trafik kotasıdır. Ayda bir terabayt, günün her saati yaklaşık 3 Mbit/s demektir.

Size yakın bir konum, çünkü mesafe gecikme ekler. Sağlayıcıdan kimlerin kayıt isteyebileceğini ise yargı bölgesi belirler; offshore rehberimiz bunu anlatıyor.

Ödemenin kazandırdığını geri almayan bir kayıt süreci. Monero adınızı faturadan uzak tutar, ama bir telefon numarası ya da kimlik kontrolü onu geri getirir. Sipariş sürecinin tamamı KYC'siz rehberimizde anlatılıyor.

Monero kabul eden WireGuard VPS seçenekleri, alfabetik sırayla, her sağlayıcının kendi sayfalarından:

Sağlayıcı	En küçük plan	Trafik	Kayıtta istenen	Notlar
1984 Hosting	Ayda 8,72 € (1 CPU, 1 GB RAM)	1 TB	E-posta, telefon isteğe bağlı	İzlanda; hazır WireGuard imajı
Cockbox	Ayda 10 $ (0,5 vCPU, 1 GB RAM)	Moldova'da "sınırsız"	E-posta (doğrulanmıyor) ve parola	Moldova, Romanya; Bitcoin ya da Monero
Kyun	Ayda yaklaşık 3,10 € (1 çekirdek, 1 GiB, 10 GB, bir IPv4)	Belirtilmemiş	Parola ve bir iş kanıtı (proof-of-work) bulmacası	Yalnızca Monero; ABD, Hollanda, Romanya
Servers Guru	Ayda 4,99 € (1 vCPU, 2 GB RAM)	20 TB giden, gelen trafik sınırsız	E-posta	Hollanda, Finlandiya, Singapur, Kanada
SporeStack	Ayda 4 $ (Slow Servers, 768 MiB, IPv4)	0,375 TiB	Hiçbir şey: bir token'a bakiye yüklersiniz	Slow Servers Spokane'de (ABD) bulunur ve hazır olması 48 saate kadar sürer; DigitalOcean ve Vultr sunucuları dakikalar içinde açılır, 30 günlüğü 7,50 $'dan başlar

Mynymbox (ayda 4 €'dan başlıyor, yalnızca e-posta istiyor) kabul edilebilir kullanım politikasında VPN hizmetlerine izin veriyor, ancak kontrol ettiğimiz gün VPS planlarının hepsi tükenmiş görünüyordu. Daha fazlası VPS bölmesinde.

VPN kurma: VPS'te WireGuard kurulumu

WireGuard, Mart 2020'de yayımlanan 5.6 sürümünden beri Linux çekirdeğinin bir parçası (duyuru); bu yüzden Debian 12 ya da 13'te veya Ubuntu 24.04 ve sonraki sürümlerde derlenecek hiçbir şey yok. SSH anahtarınızla root olarak giriş yapın ve bir yol seçin.

Seçenek A: wg-quick ile sade WireGuard

Elle yapılandırılan eksiksiz bir WireGuard sunucusu. ip route show default komutunu çalıştırın ve dev sözcüğünden sonra gelen kelimeyi not edin (çoğunlukla eth0 ya da ens3): aşağıda eth0 geçen her yerde onu kullanın.

apt update && apt install -y wireguard iptables qrencode
cd /etc/wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee phone.key | wg pubkey > phone.pub

/etc/wireguard/wg0.conf dosyasını oluşturun:

[Interface]
Address = 10.66.66.1/24
ListenPort = 51820
PrivateKey = <contents of server.key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <contents of phone.pub>
AllowedIPs = 10.66.66.2/32

Bir de istemci dosyası, phone.conf:

[Interface]
PrivateKey = <contents of phone.key>
Address = 10.66.66.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <server IP>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0, ::/0 her şeyi tünele gönderir; bu sunucu yalnızca IPv4 yönlendirdiği için IPv6 trafiği tünelin dışından sızmak yerine başarısız olur. Sunucuyu başlatın ve istemci yapılandırmasını WireGuard uygulaması için QR kodu olarak gösterin:

systemctl enable --now wg-quick@wg0
qrencode -t ansiutf8 < phone.conf

Her ek cihaz, yeni bir anahtar çifti ve yeni bir [Peer] bloğu demektir (10.66.66.3/32 ve devamı), ardından systemctl restart wg-quick@wg0 komutunu çalıştırın. Bir cihaz yapılandırmasını aldıktan sonra onun .key ve .conf dosyalarını sunucudan silin.

Seçenek B: Docker'da wg-easy, web arayüzüyle

wg-easy, WireGuard'ı istemci eklemek ve QR kodlarını göstermek için bir web arayüzüyle birlikte bir konteynerde paketler. GitHub sayfasında AGPL-3.0-only lisansı, Ağustos 2026 tarihli 15.4.0 sürümü ve Eylül 2026 sonundaki commit'ler görünüyor. Docker'ı kurun ve compose dosyasını indirin:

curl -sSL https://get.docker.com | sh
mkdir -p /etc/docker/containers/wg-easy
cd /etc/docker/containers/wg-easy
curl -o docker-compose.yml https://raw.githubusercontent.com/wg-easy/wg-easy/master/docker-compose.yml

Dosya ghcr.io/wg-easy/wg-easy:15 imajını çalıştırır: WireGuard UDP 51820'de, web arayüzü ise TCP 51821'de ve internete açık. Proje, arayüze dışarıdan erişmek için bir HTTPS reverse proxy (ters vekil sunucu) öneriyor; tek kişi için arayüzü dışarıya kapalı tutmak daha basit. Arayüzün port satırını "127.0.0.1:51821:51821/tcp" olarak değiştirin, ardından environment: satırının ve altındaki INSECURE satırının başındaki yorum işaretini kaldırın, INSECURE değeri true olsun. Düz HTTP burada yalnızca dışarıdan hiçbir şey ona ulaşamadığı için kabul edilebilir; projenin reverse proxy'siz kurulum rehberi de tam olarak bu koşulu koyuyor. docker compose up -d komutunu çalıştırın, ardından bilgisayarınızdan bir tünel açıp http://localhost:51821 adresine gidin:

ssh -L 51821:127.0.0.1:51821 root@<server IP>

Portu gizlemek için bunun yerine ufw'ye güvenmeyin: Docker'ın belgeleri, dışarıya açılan (published) portların ufw kurallarını atladığı konusunda uyarıyor.

IP yönlendirme, güvenlik duvarı ve DNS

Seçenek A'da paket yönlendirmenin açılması gerekir (wg-easy compose dosyası bunu kendi konteyneri için ayarlıyor), ardından yalnızca SSH ve WireGuard'a izin veren bir güvenlik duvarı kurulur. SSH sunucunuz başka bir portta dinliyorsa 22'yi değiştirin ve ufw enable SSH konusunda uyardığında y yanıtını verin:

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system
apt install -y ufw
ufw allow 22/tcp
ufw allow 51820/udp
ufw route allow in on wg0 out on eth0
ufw enable

DNS = satırı, sorgularınızı kimin yanıtlayacağını belirler. 9.9.9.9 (Quad9) ile sorgular tünelden geçer; internet servis sağlayıcınız onları artık görmez ama Quad9 görür. Hiçbir üçüncü tarafı işin içine katmamak için sunucuda Unbound gibi bir çözümleyici (resolver) çalıştırın, 10.66.66.1 adresinde dinlesin; onu ufw allow in on wg0 to any port 53 ile tünele açın ve DNS = satırını oraya yönlendirin.

Test etmek için tünel açıkken herhangi bir "IP adresim nedir" sayfasını açın: sunucunun adresini göstermesi gerekir.

Sansürlü ağlarda: AmneziaWG, Outline ve VLESS

WireGuard kendini gizlemez: belgeleri gizlemeyi (obfuscation) üstündeki bir katmana bırakır ve TCP modu yoktur (bilinen kısıtlamalar). Paketleri inceleyen bir ağ onu tespit edip düşürebilir. Üç açık kaynaklı proje tam bu durumu hedefliyor, hepsi aynı türde bir VPS üzerinde çalışır:

• AmneziaWG, Amnezia projesinin WireGuard-Go çatallamasıdır (fork): el sıkışmadan önce anlamsız paketler gönderir, WireGuard'ın sabit mesaj başlıklarını sizin seçtiğiniz değerlerle değiştirir ve boyutları artık eşleşmesin diye paketlere dolgu ekler. Bu seçenekler kapalıyken WireGuard ile uyumlu kalır (belgeler). AmneziaVPN uygulaması onu SSH üzerinden sunucunuza kurar.
• Outline, bir masaüstü uygulamasından yönetilen bir Shadowsocks sunucusu çalıştırır. Google bünyesindeki bir teknoloji kuluçka merkezi olan Jigsaw tarafından 2018'de başlatıldı, 2026'da bağımsız Outline Foundation'a devredildi (SSS).
• VLESS, Xray projesinin hafif taşıma protokolüdür (spesifikasyon); bağlantı sıradan HTTPS trafiğine benzesin diye çoğunlukla 443 portunda, TLS ya da Xray'in REALITY özelliği üzerinden çalıştırılır.

Bu araçlar, bazı devletler VPN'leri kısıtladığı için var. 1 Ekim 2026 itibarıyla, hukuki tavsiye değil bir özet olarak:

• Çin: Sanayi ve Bilgi Teknolojileri Bakanlığı'nın Ocak 2017 tarihli bir genelgesi, onay olmaksızın sınır ötesi faaliyetler için VPN kanalları kurmayı ya da kiralamayı yasaklıyor (resmi metin).
• Rusya: 31 Temmuz 2025 tarihli ve 1 Eylül 2025'ten beri yürürlükte olan 281-FZ sayılı Federal Kanun, engellenmiş kaynaklara erişim sağlayan VPN gibi araçların reklamını yapan herkese ve resmi aşırıcı materyaller listesindeki içerikleri bilerek arayıp açan herkese, böyle bir araç kullansın ya da kullanmasın, para cezası öngörüyor.
• İran: Siber Uzay Yüksek Konseyi Şubat 2024'te yasal izni olmayan VPN'leri yasaklayan bir karar açıkladı; konseyin sekreteri daha sonra kararın halkı değil devlet kurumlarını hedeflediğini söyledi, bu da kapsamı belirsiz bırakıyor.

Kurallar da uygulamaları da değişir. Bulunduğunuz yerdeki güncel yasayı kontrol edin.

Sunucunun bilgi sızdırmasını önleyin

1. SSH için yalnızca anahtar. /etc/ssh/sshd_config.d/10-keys.conf dosyasına PasswordAuthentication no yazın, systemctl reload ssh komutunu çalıştırın ve ikinci bir pencerede anahtarınızla hâlâ girebildiğinizi doğrulayın. Yalnızca bu sunucu için oluşturulmuş bir anahtar kullanın.

2. Otomatik güvenlik güncellemeleri. apt install -y unattended-upgrades komutunu çalıştırın, ardından bunları açmak için dpkg-reconfigure -plow unattended-upgrades komutunu kullanın.

3. Loglar bellekte. wg show her eşin (peer) son adresini RAM'de tutar, SSH de her girişi kaynak IP'siyle birlikte kaydeder. Sistem günlüğünü (journal) de RAM'de tutun:

   mkdir -p /etc/systemd/journald.conf.d
   printf '[Journal]\nStorage=volatile\n' > /etc/systemd/journald.conf.d/volatile.conf
   systemctl restart systemd-journald
   

   Günlük bundan sonra /run/log/journal altında durur ve yeniden başlatmada silinir. rsyslog kuruluysa /var/log içine ayrıca kendi dosyalarını yazar.

4. SSH bağlantısını tünelden geçirin. Seçenek A çalışır durumdayken ufw allow in on wg0 to any port 22 proto tcp ve ufw delete allow 22/tcp komutlarını çalıştırın, ardından 10.66.66.1 adresine bağlanın. Tünel bir gün bozulursa, sağlayıcının web ya da seri konsolu (sunuyorsa) sunucuya geri girmenin yoludur.

5. Her sunucuya ayrı bir kimlik. Diğer hesaplarınızdaki e-postayı, SSH anahtarını ya da kullanıcı adını yeniden kullanmayın.

Mullvad ya da IVPN'e kıyasla maliyet

Seçenek	Aylık	Cihaz	Çıkış adresi
Kendi VPS'iniz (yukarıdaki tablo)	Yaklaşık 3,10 € ile 10 $ arası	Yapılandırdığınız kadar	Yalnızca sizin
Mullvad	5 €, her süre için sabit	5	Paylaşımlı
IVPN Standard	6 $ (haftada 2 $, yılda 60 $)	5	Paylaşımlı
cryptostorm	6 $	1	Paylaşımlı

Üç servis de Monero kabul ediyor. En ucuz sunucular onlardan daha ucuza gelir, ama bedeli kurulumla, güncellemelerle ve her zaman yalnızca sizi işaret eden bir çıkış adresiyle ödersiniz. İkisini birlikte de kullanabilirsiniz: otel Wi-Fi'ı için kendi sunucunuz, izi tek bir kullanıcıya varmaması gereken her şey için paylaşımlı bir VPN.

Sıkça sorulan sorular

Kendi VPN sunucunuzu kurmak mümkün mü?

Evet. KVM kullanan ve herkese açık bir IPv4 adresi olan her Linux VPS, Linux 5.6'dan beri çekirdeğin parçası olan WireGuard'ı çalıştırabilir. Yöntemin tamamı yukarıdaki Seçenek A'dan ibaret, wg-easy ise buna bir web arayüzü ekliyor. Evdeki bir Raspberry Pi de iş görür, ama o zaman çıkış adresi ev IP'niz olur.

VPS, VPN'den daha mı güvenli?

İkisi farklı şeyler: VPS bir sunucu, VPN bir tüneldir. Bir VPS üzerindeki kendi VPN'iniz, güvenmeniz gereken bir VPN şirketi olmaması demektir; ama çıkış adresinizin tek kullanıcısı da, sunucuya yamaları uygulayan da sizsiniz. Kalabalığa karışmak için Monero ile ödenen, log tutmayan paylaşımlı bir VPN daha iyi bir araçtır.

VPS'imi VPN olarak kullanabilir miyim?

Genellikle evet: sağlayıcının kuralları izin verdiği sürece IP yönlendirmesi açık bir KVM planı yeterlidir. Mynymbox'ın kabul edilebilir kullanım politikası VPN hizmetlerine izin veriyor, Servers Guru'nun Monero VPS sayfası VPN'leri öngörülen kullanım alanları arasında sayıyor, Cockbox Romanya'da yasal olan her şeye izin veriyor ve 1984 Hosting hazır bir WireGuard imajı sunuyor. SporeStack sunucuları DigitalOcean'ın ya da Vultr'ın kurallarına da uymak zorunda. Trafik kotasına dikkat edin.

WireGuard VPN kullanmanın dezavantajları neler?

Kendini gizlemeye hiç çalışmaz ve TCP modu yoktur; bu yüzden onu engelleyen ya da yalnızca TCP'ye izin veren bir ağ onu durdurur. Sunucu her eşin son IP adresini bellekte tutar. Protokol varsayılan olarak kuantum sonrası güvenli değildir, ancak önceden paylaşılan bir anahtar (pre-shared key) ek bir katman sağlar.

ABD'de VPN kullanmak yasa dışı mı?

Bunu yasaklayan bir federal yasa yok; Federal Ticaret Komisyonu (FTC) VPN uygulaması seçmeye dair ipuçları yayımlıyor (Şubat 2018). Tünel üzerinden yaptığınız her şey, tünelsiz yaptığınızda olduğu gibi aynı yasalara tabidir ve bir web sitesinin kullanım koşulları VPN ile erişimi yine de yasaklayabilir. Bu hukuki tavsiye değil, bir özettir.

Kısa özet

Monero ile ödeyerek küçük bir KVM VPS kiralayın, WireGuard'ı wg-quick ya da wg-easy ile kurun, SSH ve UDP 51820 dışındaki her şeyi kapatın, logları RAM'de ve SSH'yi tünelin arkasında tutun. Bu size bağlı olduğunuz ağa karşı gizlilik sağlar. Kalabalığın içinde gizlilik, paylaşımlı bir VPN'in sattığı şeydir; anonimlik ise Tor'un işi.