WireGuard mı OpenVPN mi? Hangisi self-hosting için?

Kısa yanıt

Kendi VPS sunucusunda VPN sunan tek kişi için WireGuard ile OpenVPN arasında gerçek bir rekabet yoktur: WireGuard seçilmelidir. Daha küçüktür, Linux çekirdeği içinde çalışır, saniyenin çok küçük bir bölümünde bağlantı kurar ve çalışan bir istemci yapılandırması yaklaşık on satırdır. OpenVPN'in dört gerçek kullanım alanı vardır. Bunların hiçbiri sizin durumunuz için geçerli değilse OpenVPN'e ihtiyacınız yoktur.

Bu dört kullanım alanı şunlardır: yalnızca TCP port 443'e izin veren bir ağdan çıkmak, mevcut bir sertifika yetkilisine bağlanmak, adlandırılmış kullanıcıların parolayla veya ikinci faktörle kimlik doğrulamasını yapmak ve Layer 2 düzeyinde köprüleme gerçekleştirmek. Aşağıdaki bölümlerde bu önerinin dayanakları ve her istisnanın sizin için geçerli olmaya başladığı nokta açıklanmaktadır.

WireGuard, self-host kullanıcıları için neden kazandı

Kod tabanı okunabilecek kadar küçüktür. WireGuard projesi, protokol uygulamasını yaklaşık 4.000 satırlık kodla tutar. OpenVPN, her kriptografik işlem için dayandığı OpenSSL kütüphanesi de hesaba katıldığında altı haneli satır sayısına ulaşır. Boyut önemlidir çünkü her satır bir saldırı yüzeyidir; ne siz ne de denetçiniz 100.000 satırı okuyamazsınız. Ancak 4.000 satırı okuyabilirsiniz.

Kernel içinde çalışır. WireGuard, 5.6 sürümünden beri ana Linux hattında yer almaktadır; bu nedenle Ubuntu 24.04 ve Debian 13, derleme gerektirmeden bu özelliği sunar. Paketler, zaten bulundukları yer olan kernel alanında şifrelenir; bir kullanıcı alanı sürecine kopyalanıp geri gönderilmezler. Başka bir şey yapmadan önce şunu kontrol edin:

sudo modprobe wireguard && echo ok

KVM tabanlı bir VPS üzerinde bu komut ok çıktısını verir. OpenVZ veya LXC gibi ana makine kernel'ını paylaşan konteyner sanallaştırmalarında ise, size ait olmayan bir kernel'a modül yükleyemeyeceğiniz için Operation not supported hatasıyla başarısız olur.

Müzakere edilecek bir şey yoktur. WireGuard'ın tek bir sabit şifreleme paketi vardır: Veri için ChaCha20-Poly1305 ve Curve25519 anahtarları. Sürüm düşürme (downgrade) ihtimali veya yanlış yapılandırılabilecek bir seçenek yoktur. OpenVPN, her istemciyle şifreleme yöntemini ve TLS (transport layer security) sürümünü müzakere eder; bu bir esneklik olsa da aynı zamanda yanlış yapılandırmaların kaynağıdır. data-ciphers AES-256-GCM:AES-128-CBC ile bırakılan bir sunucu, daha iyisini sunamayan bir istemci için CBC şifreleme yöntemine memnuniyetle geri döner ve log kayıtları bu zayıf şifrelemeyi bir sorun olarak işaretlemez. Veri kanalı offload özelliği mevcut olduğunda OpenVPN, CBC girişinin offload'u kapattığına dair bir not düşer; bu güvenlik değil, hız ile ilgili bir uyarıdır.

Port yanıt vermez. Mesaj kimlik doğrulama kontrolünden geçemeyen bir WireGuard paketi, hiçbir yanıt verilmeden düşürülür; bu nedenle nmap -sU -p 51820, bir WireGuard sunucusunu güvenlik duvarınızın sessizce düşürdüğü bir porttan ayırt edemez: her ikisi de open|filtered sonucunu döndürür. Yalnızca dinleme yapmayan ancak filtrelenmemiş bir port kendini ele verir; çünkü kernel bir ICMP port unreachable yanıtı döner ve nmap bunu closed olarak raporlar. TCP modundaki bir OpenVPN sunucusu, sizi kabul etmeyeceğine karar vermeden önce TCP el sıkışmasını tamamlar; bu da bir tarayıcıya orada bir şey olduğunu kanıtlamak için yeterlidir. tls-crypt ile UDP üzerinden çalışan OpenVPN neredeyse aynı derecede sessizdir; dolayısıyla bu argüman OpenVPN'in kendisine karşı değil, OpenVPN'i TCP üzerinde çalıştırmaya karşıdır.

Dolaşım (roaming) ücretsizdir. Bir WireGuard eşi, adresine göre değil, genel anahtarına (public key) göre tanımlanır. Dizüstü bilgisayarınız evden mobil erişim noktasına geçtiğinde, yeni adresten tek bir el sıkışma gönderir ve sunucu yanıt verdiği uç noktayı günceller. Hiçbir şey yeniden bağlanmaz çünkü hiçbir zaman gerçek bir bağlantı kurulmamıştır. OpenVPN, float ile benzer bir şey yapabilir ancak istemci normalde tam bir TLS oturumunu sonlandırıp yeniden oluşturur; bu yüzden dizüstü bilgisayar kapağı açıldığında yaşanan duraksama OpenVPN'de belirgindir, WireGuard'da ise yoktur.

2026 yılında hız: fark yalnızca kernel offload ile kapanıyor

Yıllar boyunca dürüst hız argümanı, OpenVPN'in her paketi userspace'e kopyalayıp orada şifrelemesi ve tekrar geri göndermesi, WireGuard'ın ise kernel'dan hiç çıkmaması üzerine kuruluydu. Standart bir Ubuntu 24.04 sunucusunda durum hala böyledir ve WireGuard açık ara daha hızlıdır. 2026 yılında değişen şey, hem kernel hem de OpenVPN sürümü desteklediğinde OpenVPN'in de veri yolunu kernel içine taşıyabilmesidir; bunu göz ardı eden bir karşılaştırma artık güncel değildir.

OpenVPN 2.7, Şubat 2026'da Linux 6.16 ile birleştirilen upstream ovpn kernel modülü desteğiyle yayınlandı. Bu, DCO (data channel offload) olarak adlandırılır: kontrol kanalı userspace'de kalır, toplu veri yolu ise kernel'a taşınır; bu, WireGuard'ın başından beri yaptığı işleme benzer. Bunu kullanabilecek kadar yeni bir kernel ve OpenVPN sürümünde, throughput değerleri farklı sınıflarda değil, aynı sınıftadır. Elinizde ne olduğunu kontrol edin:

uname -r
openvpn --version | head -n 1
modinfo ovpn 2>/dev/null | head -n 3

Ekim 2026 itibarıyla standart bir Ubuntu 24.04 LTS, OpenVPN 2.7 değil 2.6 sürümüyle gelir ve ovpn modülü 2.7 sürümünü gerektirir. Bu sürümde offload özelliğini yalnızca, çalışan kernel'ınıza karşı out-of-tree bir modül derleyen ve dolayısıyla her kernel yükseltmesinde yeniden derlenmesi gereken eski openvpn-dco-dkms paketi ile alabilirsiniz. Bu, WireGuard'da bulunmayan hareketli bir parçadır. Ubuntu 26.04 LTS, OpenVPN 2.7.0 ve Linux 7.0 kernel ile gelir; her ikisi de ovpn için yeterince yenidir, bu nedenle bu sürümde kontrol edilmesi gereken satır yukarıdaki modinfo satırıdır.

DCO'yu kalmak için bir neden olarak saymadan önce ince detayları okuyun. Yalnızca Layer 3 tünellerini destekler, yalnızca AEAD şifrelerini (ilişkili verilerle doğrulanmış şifreleme: AES-GCM veya ChaCha20-Poly1305) kabul eder, sıkıştırmayı desteklemez ve sunucu tarafında yalnızca topology subnet ile çalışır. Bu kısıtlamaların her biri, OpenVPN'in asıl tercih edilme sebebi olan esnekliğin bir parçasını ortadan kaldırır. Hızlı OpenVPN, WireGuard gibi görünecek şekilde yapılandırılmış OpenVPN'dir.

Bu sayfa dahil olmak üzere kimsenin yayınladığı throughput rakamlarına güvenmeyin. Bir VPS üzerindeki tavan değer, genellikle protokol değil, CPU kotası veya ağ kotasıdır. Kendi ölçümünüzü tünel üzerinden, ardından tünel dışında iperf3 çalıştırarak yapın ve ikisini karşılaştırın.

OpenVPN'in hala tercih edilme nedenleri

TCP 443 numaralı port üzerinden çıkış yapmanız gerekiyor. WireGuard, tasarım gereği yalnızca UDP kullanır ve TCP modu eklenmeyecektir. Yalnızca port numarasına göre filtreleme yapan bir otel ağı, genellikle proto tcp-server ve port 443 ile yapılandırılmış OpenVPN trafiğine izin verir. Bunu bir gizleme yöntemiyle karıştırmayın: TCP üzerinden OpenVPN, standart bir TLS oturumu yerine kendi paket çerçeveleme yapısını kullanır. Bu nedenle HTTPS trafiğini inceleyen veya sonlandıran kurumsal bir güvenlik duvarı ya da proxy, OpenVPN trafiğini tanıyabilir ve engelleyebilir. WireGuard'ın aynı ağdan geçebilmesi için wstunnel veya udp2raw gibi bir sarmalayıcıya ihtiyacı vardır; bu da çalıştırılması ve güncel tutulması gereken ek bir süreç demektir. Çakışmaya dikkat edin: Eğer aynı IP adresi üzerinde bir web sunucusu zaten 443 numaralı TCP portunu kullanıyorsa, servislerden birinin portunu değiştirmeniz gerekir.

Hali hazırda bir sertifika otoritesi (CA) işletiyorsunuz. OpenVPN, X.509 sertifikalarıyla kimlik doğrulaması yapar; bu sayede mevcut PKI (açık anahtar altyapısı) yapınıza kolayca entegre olur. Sertifikaların kendi geçerlilik süreleri vardır ve bir sertifikayı iptal etmek için, sunucunun crl-verify üzerinden okuduğu bir sertifika iptal listesine eklemeniz yeterlidir. WireGuard'da sertifika, geçerlilik süresi veya iptal listesi kavramı yoktur. Bir eşi (peer) kaldırmak için sunucu yapılandırmasını düzenleyip yeniden yüklemeniz gerekir. On eşiniz varsa bu yönetilebilir bir durumdur. Ancak denetim gereksinimleri olan dört yüz eşiniz varsa, sertifika modeli sizin yerinize ciddi bir iş yükünü üstlenmiş olur.

Sadece anahtarlara değil, kullanıcı isimlerine de ihtiyacınız var. OpenVPN, kimlik doğrulama sürecini auth-user-pass-verify veya openvpn-plugin-auth-pam.so gibi bir eklenti aracılığıyla harici bir sisteme devredebilir. LDAP veya tek kullanımlık şifre (OTP) gibi ikinci faktör doğrulama yöntemleri bu şekilde sisteme dahil edilir. WireGuard'da kullanıcı kavramı bulunmaz. Bir anahtar ya yapılandırmadadır ya da değildir. Eğer gereksiniminiz "Sara, telefonundan gelen kodu girmeli" şeklindeyse, WireGuard bunu tek başına gerçekleştiremez.

Katman 2 (Layer 2) desteğine veya eski sistemler için bir istemciye ihtiyacınız var. dev tap kullanan OpenVPN, Ethernet çerçevelerini köprüleyebilir; bu durum yayın (broadcast) protokolleri ve eski yerel ağ oyunları için önemlidir. WireGuard yalnızca Katman 3 (Layer 3) seviyesinde çalışır ve bu durum değişmeyecektir. OpenVPN ayrıca, hiçbir zaman WireGuard uygulaması almayacak donanım ve işletim sistemleri için istemcilere sahiptir. Bu nedenlerin her ikisi de giderek önemini yitirmektedir; ayrıca dev tap, DCO ile uyumsuzdur, bu nedenle köprüleme yöntemini seçtiğinizde yavaş olan yolu tercih etmiş olursunuz.

İki kurulumun size gerçekte maliyeti

Bir WireGuard kimliği tek bir komutla oluşturulur. Parantezler önemlidir; anahtar oluşturulmadan önce dosya modunu ayarlar:

(umask 077; wg genkey > private.key)
wg pubkey < private.key > public.key

OpenVPN karşılığı, VPN çalıştığı sürece yönetiminizde olacak bir sertifika yetkilisidir:

sudo apt install -y easy-rsa
make-cadir ~/openvpn-ca
cd ~/openvpn-ca
./easyrsa init-pki
./easyrsa build-ca
./easyrsa gen-req server nopass
./easyrsa sign-req server server

Her iki liste de gerçeği eksik yansıtmaz. CA, sona erme ve iptal özelliklerini sağlar. Bunun karşılığında yıllarca korumanız gereken bir özel anahtarınız, hatırlamanız gereken bir yenileme işleminiz ve anahtarı kaybederseniz yeniden oluşturmanız gereken bir yapı olur. Sağladığı özellikleri kullanmıyorsanız bunun için karşılıksız ödeme yaparsınız. Yönlendirme, NAT (network address translation) ve bir öğleden sonranızı harcatan el sıkışma hataları dahil olmak üzere WireGuard'ı VPS üzerinde kendi kendinize barındırma sürecinin tamamı VPS üzerinde WireGuard VPN'i kendi kendinize barındırma kılavuzunda açıklanmıştır.

Her birinin güvenlik duvarınızdan talepleri

WireGuard, ListenPort içindeki bağlantı noktası üzerinden UDP için tam olarak bir gelen bağlantı kuralına ihtiyaç duyar:

sudo ufw allow 51820/udp
sudo ufw status verbose

OpenVPN, varsayılan olarak UDP 1194'e veya bu yolu seçtiyseniz TCP 443'e ihtiyaç duyar. Ardından her ikisi için de IP yönlendirmesi etkinleştirilmeli ve bir kaynak NAT kuralı eklenmelidir; çünkü Linux, kendisine yöneltilmemiş paketleri düşürür. Her iki protokol için bu bölüm aynıdır ve "tünel bağlanıyor ancak internet yok" bildirimlerinin çoğunun kaynağı burasıdır. ufw sizin için yeniyse VPS üzerinde ufw güvenlik duvarının temelleri ile başlayın ve çoğu sağlayıcının kontrol panelinde ikinci bir ağ güvenlik duvarı çalıştırdığını unutmayın: sunucuya eklenen bir kural, paket sunucuya hiç ulaşmıyorsa hiçbir işe yaramaz. bağlantı noktasının ne olduğunu ve Linux'un bu bağlantı noktasında nasıl dinleme yaptığını anlamak, bu kontrollerin ikisini de hızlandırır.

Tek paragrafta nasıl seçim yapılır

WireGuard’ı, sizin için yapamadığı belirli bir şeyi söyleyebildiğiniz durumlar dışında kullanın. Kısıtlayıcı bir ağdan çıkmak için TCP 443 kullanmanız gerekiyorsa OpenVPN’i bu amaçla çalıştırın ve ikisini birlikte kullanmayı değerlendirin: farklı portlar kullanırlar ve tek bir sunucuda çakışmadan birlikte çalışırlar. Kullanıcı başına hesaplara veya ikinci bir faktöre ihtiyacınız varsa bu özellikler için WireGuard’ı zorlamayın. Bunun yerine üzerine bir kimlik katmanı ekleyin. Kendi barındırdığınız Headscale denetim sunucusu arka planda WireGuard kullanır ve düz WireGuard’ın size bıraktığı hesap modelini, anahtar dağıtımını ve cihaz onayını ekler.

OpenVPN'den kesinti olmadan geçiş

Dönüştürme işlemi yoktur. OpenVPN PKI'si WireGuard anahtarlarına dönüşmez; çünkü WireGuard'ın dönüştürülecek sertifikaları yoktur. Her istemci, sunucunun anahtar çiftiyle aynı yöntem kullanılarak yeni bir anahtar çifti alır.

Geçiş yapmak yerine iki sistemi paralel çalıştırın. UDP 51820 üzerinden WireGuard ve 1194 üzerinden OpenVPN aynı makinede aynı anda çalışabilir. Bu nedenle wg0 komutunu başlatın, kısa süre önce oluşturulmuş bir latest handshake girdisini sudo wg show ile listeleyerek doğrulayın, ardından istemcileri tek tek taşıyın. OpenVPN eş listesi değişmeyi bıraktığında, hizmeti sudo systemctl disable --now openvpn-server@server ile durdurun. Emin olana kadar CA dosyalarını saklayın; çünkü sildiğiniz bir CA üzerinde iptal edilmiş bir istemciyi yeniden oluşturmak mümkün değildir.

Gerçekten taşınmayan bir unsur vardır: kullanıcı adı ve parola hesaplarınız ile bunlarla ilişkili iptal kayıtları. Eski sunucuyu kapatmadan önce bunların nerede tutulacağına karar verin; kapattıktan sonra değil.

FAQ

WireGuard, OpenVPN'den daha mı hızlıdır?

Standart bir Ubuntu 24.04 sunucusunda evet, hem de büyük bir farkla; çünkü WireGuard şifrelemeyi kernel seviyesinde yaparken, OpenVPN 2.6 her paketi bir userspace süreci üzerinden geçirir. OpenVPN 2.7 ve Linux 6.16 ile gelen ovpn kernel modülü sayesinde veri yolu artık kernel içerisindedir ve her iki teknoloji de aynı sınıfa girer. Bir blog yazısındaki rakamlara güvenmek yerine, iperf3 kullanarak tünel üzerinden kendi ölçümünüzü yapın; çünkü bir VPS üzerinde darboğaz genellikle CPU veya bant genişliği limitinizdir.

WireGuard, TCP 443 portu üzerinden çalışabilir mi?

Kendi başına hayır. WireGuard tasarımı gereği yalnızca UDP kullanır ve herhangi bir TCP modu planlanmamaktadır. Yalnızca TCP 443 portuna izin veren bir ağdan geçmek için, her iki uçta da çalıştırılması ve yamalanması gereken bir süreç ekleyen wstunnel veya udp2raw gibi bir tünel kullanmanız gerekir. Eğer bu kısıtlama normal çalışma ortamınızsa, yalnızca port bazlı filtreleme yapan ağlarda proto tcp-server ve port 443 kullanan OpenVPN daha basit bir çözümdür; ancak HTTPS trafiğini inceleyen bir proxy, bu trafiği yine de tespit edip engelleyebilir.

OpenVPN artık güvensiz mi?

Hayır. AES-256-GCM gibi bir AEAD şifreleme algoritması ve tls-crypt etkinleştirilmiş güncel bir OpenVPN, güvenilir bir VPN'dir. WireGuard'ın tercih edilme sebebi başka bir noktaya dayanır: OpenVPN çok daha fazla kod ve çok daha fazla seçenek barındırır; bu da yorgun bir sistem yöneticisine onu yanlış yapılandırması için çok daha fazla yol sunar. Daha az seçenek, daha az hatalı yapılandırma demektir.

Bir VPS üzerinde kişisel VPN için hangisini seçmeliyim?

WireGuard. Cihaz başına bir anahtar çifti, yaklaşık on satırlık bir yapılandırma dosyası, açık tek bir UDP portu ve başladığını fark etmeden tamamlanan bir el sıkışma süreci. OpenVPN'i yalnızca UDP trafiğini engelleyen ağlardan düzenli olarak bağlanıyorsanız veya mevcut bir sertifika otoritesi ya da kullanıcı dizinine uyum sağlamanız gerekiyorsa tercih edin.