VPN Kurulumu ve Yönetimi: Detaylı Kurumsal Güvenlik Rehberi

Kurumsal VPN (Virtual Private Network) kurulumu, işletmelerin uzaktan erişim ve güvenli iletişim ihtiyaçlarını karşılamak için kritik öneme sahiptir. Bu rehber, farklı VPN çözümlerinin kurulumunu, yapılandırmasını ve yönetimini detaylı olarak ele almaktadır.

VPN kurulumu, işletmenizin güvenlik gereksinimlerine, bütçesine ve teknik altyapısına göre farklı çözümlerle gerçekleştirilebilir. Bu rehberde en yaygın kullanılan VPN çözümlerini ele alacağız.

OpenVPN, açık kaynak, güvenli ve esnek bir VPN çözümüdür. Kurumsal kullanım için en popüler seçeneklerden biridir.

Adım 1: Sunucu Hazırlığı (Ubuntu/Debian)

OpenVPN sunucusu kurulumu için önce sistem güncellemelerini yapın:

sudo apt update sudo apt upgrade -y 

Gerekli paketleri yükleyin:

sudo apt install -y openvpn easy-rsa ufw 

Adım 2: Sertifika Otoritesi (CA) Kurulumu

OpenVPN, sertifika tabanlı kimlik doğrulama kullanır. CA kurulumu:

mkdir -p ~/easy-rsa cd ~/easy-rsa wget https://github.com/OpenVPN/easy-rsa/releases/download/v3.1.0/EasyRSA-3.1.0.tgz tar xzf EasyRSA-3.1.0.tgz cd EasyRSA-3.1.0 

CA yapılandırması:

./easyrsa init-pki ./easyrsa build-ca 

CA için şifre belirleyin ve şirket bilgilerinizi girin.

Adım 3: Sunucu Sertifikası Oluşturma

OpenVPN sunucusu için sertifika oluşturun:

./easyrsa gen-req server nopass ./easyrsa sign-req server server 

Diffie-Hellman parametrelerini oluşturun (uzun sürebilir):

./easyrsa gen-dh 

HMAC imza anahtarı oluşturun:

openvpn --genkey --secret pki/ta.key 

Adım 4: OpenVPN Yapılandırması

OpenVPN yapılandırma dosyasını oluşturun:

sudo nano /etc/openvpn/server.conf 

Örnek yapılandırma:

# Port ve Protokol port 1194 proto udp # CA ve Sertifikalar ca /etc/openvpn/ca.crt cert /etc/openvpn/server.crt key /etc/openvpn/server.key dh /etc/openvpn/dh.pem tls-auth /etc/openvpn/ta.key 0 # Ağ Yapılandırması server 10.8.0.0 255.255.255.0 push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 8.8.8.8" push "dhcp-option DNS 8.8.4.4" # Güvenlik Ayarları cipher AES-256-GCM auth SHA256 tls-version-min 1.2 tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384 # Loglama log /var/log/openvpn.log status /var/log/openvpn-status.log verb 3 # Kullanıcı Yönetimi duplicate-cn user nobody group nogroup persist-key persist-tun # Compression comp-lzo 

Sertifikaları kopyalayın:

sudo cp ~/easy-rsa/EasyRSA-3.1.0/pki/ca.crt /etc/openvpn/ sudo cp ~/easy-rsa/EasyRSA-3.1.0/pki/issued/server.crt /etc/openvpn/ sudo cp ~/easy-rsa/EasyRSA-3.1.0/pki/private/server.key /etc/openvpn/ sudo cp ~/easy-rsa/EasyRSA-3.1.0/pki/dh.pem /etc/openvpn/ sudo cp ~/easy-rsa/EasyRSA-3.1.0/pki/ta.key /etc/openvpn/ 

Adım 5: IP Forwarding ve Firewall Yapılandırması

IP forwarding'i etkinleştirin:

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf sudo sysctl -p 

Firewall kurallarını yapılandırın:

sudo ufw allow 1194/udp sudo ufw allow OpenSSH sudo ufw enable 

NAT kurallarını ekleyin:

sudo nano /etc/ufw/before.rules 

Dosyanın sonuna ekleyin:

# NAT for OpenVPN *nat :POSTROUTING ACCEPT [0:0] -A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE COMMIT 

Adım 6: OpenVPN Servisini Başlatma

OpenVPN servisini başlatın:

sudo systemctl start openvpn@server sudo systemctl enable openvpn@server sudo systemctl status openvpn@server 

Adım 7: İstemci Sertifikası Oluşturma

Her kullanıcı için istemci sertifikası oluşturun:

cd ~/easy-rsa/EasyRSA-3.1.0 ./easyrsa gen-req client1 nopass ./easyrsa sign-req client client1 

İstemci yapılandırma dosyası oluşturun:

cat > client1.ovpn << EOF client dev tun proto udp remote YOUR_SERVER_IP 1194 resolv-retry infinite nobind persist-key persist-tun ca ca.crt cert client1.crt key client1.key tls-auth ta.key 1 cipher AES-256-GCM auth SHA256 verb 3 EOF 

WireGuard, modern, hızlı ve güvenli bir VPN protokolüdür. OpenVPN'den daha hızlı ve daha az kaynak kullanır.

Adım 1: WireGuard Kurulumu (Ubuntu)

sudo apt update sudo apt install -y wireguard wireguard-tools 

Adım 2: Sunucu Yapılandırması

Sunucu için private key oluşturun:

wg genkey | sudo tee /etc/wireguard/private.key sudo chmod 600 /etc/wireguard/private.key 

Public key oluşturun:

sudo cat /etc/wireguard/private.key | wg pubkey | sudo tee /etc/wireguard/public.key 

Sunucu yapılandırma dosyası oluşturun:

sudo nano /etc/wireguard/wg0.conf 

Örnek yapılandırma:

[Interface] Address = 10.0.0.1/24 ListenPort = 51820 PrivateKey = SERVER_PRIVATE_KEY PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE [Peer] PublicKey = CLIENT_PUBLIC_KEY AllowedIPs = 10.0.0.2/32 

Adım 3: WireGuard Servisini Başlatma

sudo systemctl start wg-quick@wg0 sudo systemctl enable wg-quick@wg0 sudo systemctl status wg-quick@wg0 

Adım 4: İstemci Yapılandırması

İstemci için private key oluşturun:

wg genkey > client_private.key cat client_private.key | wg pubkey > client_public.key 

İstemci yapılandırma dosyası:

[Interface] PrivateKey = CLIENT_PRIVATE_KEY Address = 10.0.0.2/24 DNS = 8.8.8.8 [Peer] PublicKey = SERVER_PUBLIC_KEY Endpoint = YOUR_SERVER_IP:51820 AllowedIPs = 0.0.0.0/0 PersistentKeepalive = 25 

VPN kurulumu, kurumsal güvenlik ve uzaktan erişim için kritik öneme sahiptir. Doğru VPN çözümü seçimi, güvenli yapılandırma ve düzenli bakım ile işletmenizin güvenlik gereksinimlerini karşılayabilirsiniz.

OpenVPN, WireGuard veya Windows Server VPN gibi farklı çözümler, işletmenizin ihtiyaçlarına göre seçilebilir. Her çözümün kendine özgü avantajları vardır ve doğru yapılandırma ile yüksek performans ve güvenlik sağlanabilir.

VPN kurulumu ve yönetimi konusunda muharremsen'in deneyimli ekibi yanınızda. Güvenli uzaktan erişim çözümleriniz için bizimle iletişime geçin!