VPN, güvenilmeyen bir ağın üzerinden şifreli bir yol açar. Kavram basittir; karışıklık genelde farklı amaçlarla kullanılan iki ayrı kurulumun aynı adla anılmasından doğar.
Tünel nasıl kurulur
VPN, paketleri başka paketlerin içine koyar. İç paket asıl hedefe gider; dış paket ise iki VPN uç noktası arasında yolculuk eder.
Aradaki hiç kimse iç paketin içeriğini göremez — yalnızca iki uç arasında şifreli trafik aktığını görür. Sarmalama denen şey budur.
Bunun pratik bir yan etkisi vardır: her paket ek başlıklar taşıdığı için kullanılabilir alan daralır. MTU ayarlanmazsa büyük paketler yolda kaybolur ve belirti tuhaf görünür — site açılır ama dosya indirilemez. Katman mantığı OSI modeli yazısında.
İki farklı kurulum
Site-to-site VPN iki ağı birbirine bağlar. Şube ile merkez arasında kalıcı bir tünel kurulur; her iki taraftaki cihazlar birbirini doğrudan görür ve kullanıcı tarafında hiçbir yazılım gerekmez.
İstemci VPN tek bir cihazı ağa bağlar. Kullanıcı bir istemci çalıştırır, kimlik doğrular ve iç ağa erişir.
İkisi farklı sorunları çözer ve seçim ölçütleri farklıdır; karşılaştırma VPN seçimi: site-to-site mi istemci mi rehberinde.
Protokoller
IPsec kurumsal site-to-site bağlantıların uzun süredir standardıdır. Olgun ve yaygındır; yapılandırması ayrıntılıdır ve iki tarafın ayarlarının birebir uyuşması gerekir.
WireGuard yenidir ve belirgin biçimde sadedir: küçük bir kod tabanı, modern şifreleme ve hızlı bağlantı kurulumu. Yapılandırması anahtar çiftlerine dayanır ve okunması kolaydır.
TLS tabanlı çözümler istemci VPN’lerde yaygındır. Avantajı, güvenlik duvarlarından geçmekte zorlanmamasıdır — trafik sıradan HTTPS gibi görünür.
Şifrelemenin arkasındaki mantık simetrik ve asimetrik şifreleme yazısında.
Bölünmüş tünelleme
Tüm trafiğin VPN’den geçmesi gerekmez. Bölünmüş tünelleme, yalnızca iç ağa giden trafiği tünele koyar; internet trafiği doğrudan çıkar.
Kazanç nettir: merkez hattı gereksiz yere yüklenmez ve video görüşmeleri gibi trafik doğrudan gittiği için gecikme düşer.
Bedeli görünürlüktür — internet trafiği kurumsal süzgeçlerden geçmez. Bulut hizmetlerinin yaygınlaşmasıyla birlikte tercih giderek bölünmüş tünellemeye kaydı; denetim ise cihaz üzerindeki koruma katmanlarına taşındı.
Karar, hangi trafiğin gerçekten görünmesi gerektiğine bakar.
Adres çakışması
Uzaktan çalışmada en sık karşılaşılan sorun teknik değil, tesadüfidir: evdeki ağ ile ofis ağının aynı adres bloğunu kullanması.
Her ikisi de 192.168.1.0/24 ise, cihaz o adreslere yerel ağ üzerinden ulaşmaya çalışır ve tünel devreye girmez. Belirti “VPN bağlı ama hiçbir şeye erişemiyorum” olur.
Kurumsal ağlarda alışılmadık bir blok seçmek bu sorunu baştan keser. Adres planının önemi alt ağ nedir ve IP adres planı yazılarında.
Bir de operatör düzeyinde NAT engeli vardır: abonenin gerçek genel adresi yoksa site-to-site tünel kurulamaz; ayrıntısı NAT nedir yazısında.
VPN bir güvenlik katmanı değil, bir taşıma katmanıdır
En önemli yanlış anlama budur. VPN trafiği şifreler — ama bağlanan kişinin ya da cihazın güvenli olduğunu söylemez.
Klasik istemci VPN, kullanıcıyı ağa alır. O andan sonra ağdaki her şeye erişebilir. Ele geçirilmiş tek bir dizüstü, iç ağa açılan bir kapıya dönüşür.
Bu yüzden VPN tek başına yeterli sayılmaz. Yanına en az iki şey gerekir: MFA ve cihaz uyumluluğu denetimi. MFA’sız uzak erişim, fidye yazılımı vakalarında en sık görülen giriş kapısıdır; zincirin tamamı fidye yazılımı nasıl bulaşır yazısında.
Yerini ne alıyor
Modern yaklaşım kullanıcıyı ağa değil tek bir uygulamaya bağlamaktır. Erişim uygulama başına verilir; kullanıcı iç ağı hiç görmez.
Bunun iki yan faydası vardır: uygulamalar internete açık port bırakmak zorunda kalmaz, ve bir hesabın ele geçirilmesi tüm ağa değil yalnızca yetkili olduğu hizmete erişim verir.
Geçiş genelde kademelidir — yeni uygulamalar bu modelle yayına alınır, VPN eski sistemler için bir süre daha kalır. Yaklaşımın çerçevesi sıfır güven nedir yazısında.
Kişisel VPN hizmetleriyle karıştırmayın
Tüketiciye pazarlanan VPN hizmetleri farklı bir şey yapar: trafiğinizi sağlayıcının sunucusundan geçirir ve IP adresinizi gizler.
Bu, internet servis sağlayıcınızdan trafiği saklar — ama VPN sağlayıcısına görünür kılar. Güven bir taraftan diğerine taşınmış olur, ortadan kalkmaz.
Ayrıca HTTPS zaten içeriği şifreler; kişisel VPN’in eklediği şey içerik gizliliği değil, konum ve adres gizliliğidir. Kurumsal VPN ile amaçları örtüşmez.
Kısaca
VPN, güvenilmeyen bir ağın üzerinden şifreli bir tünel açar. Site-to-site ağları, istemci VPN cihazları bağlar.
Kurarken üç şeye dikkat edin: MTU ayarını atlamayın, adres çakışmasını baştan engelleyin, ve VPN’i bir güvenlik sınırı sanmayın — yanına MFA ve cihaz denetimi koymadan tek başına yeterli değildir.