WireGuard, Tailscale ve Headscale Farkları Nelerdir?

WireGuard ve Tailscale: kısa cevap

WireGuard ve Tailscale arasında bir seçim yapmak, iki protokol arasında seçim yapmak değildir; çünkü Tailscale'in kendisi zaten WireGuard'dır. Tailscale, aynı şifreleme yöntemini ve aynı tüneli kullanır, üzerine ise bir kontrol düzlemi ekler: genel anahtarları değişen, IP adreslerini dağıtan, NAT (ağ adresi çevirisi) arkasındaki bağlantıları açan ve erişim politikalarını uygulayan bir koordinasyon sunucusu. Burada yaptığınız seçim, bu koordinasyonun ne kadarını kendinizin yönetmek istediğidir.

Bu sorunun üç dürüst cevabı vardır. Tek bir sunucunuz ve ona bağlanan az sayıda istemciniz varsa düz WireGuard kullanın. Her makinenin diğer tüm makinelere, herhangi bir yapılandırma dosyası yönetmenize gerek kalmadan erişmesini istiyorsanız Tailscale kullanın. Bu ağ yapısını (mesh) istiyor ancak düğüm listesinin üçüncü bir tarafça tutulmasını istemiyorsanız Headscale kullanın.

Kontrol düzlemi size gerçekte ne kazandırır

Standart WireGuard'da keşif özelliği yoktur. Her eş, elle yazdığınız bir metin bloğudur: bir public key, bir AllowedIPs satırı ve eğer o eşe erişilebiliyorsa bir Endpoint. On makinelik bir ağa tek bir makine eklemek, on yapılandırma dosyasını düzenlemek anlamına gelir; çünkü her iki tarafın da diğerinin anahtarına ihtiyacı vardır. Bu nedenle, neredeyse tüm self-hosted WireGuard kurulumları hub-and-spoke (yıldız) topolojisindedir: genel IP adresine sahip tek bir sunucu ve sadece onunla konuşan istemciler.

Bir kontrol düzlemi, bu düzenleme yükünü ortadan kaldırır. Her düğüm bir kez kayıt olur, 100.64.0.0/10 CGNAT (carrier grade NAT) aralığından bir adres alır ve kendisine erişmesine izin verilen düğümlerin public key'leri bildirilir. Tünel, iki eş arasında doğrudan WireGuard olarak kalmaya devam eder ve trafiğiniz asla koordinasyon sunucusu üzerinden geçmez. Sunucunun taşıdığı şey meta veridir: kimin var olduğu, anahtarının ne olduğu ve kimin kiminle konuşabileceği.

Bundan üç somut sonuç çıkar.

NAT geçişi. İki ev yönlendiricisi arkasındaki iki dizüstü bilgisayarın arasında genel bir IP adresi yoktur. Tailscale, her iki tarafın dış adresini ve portunu keşfetmek için STUN (session traversal utilities for NAT) kullanır; ardından her iki taraf aynı anda paket gönderir, böylece her yönlendirici önce giden bir akış görür ve yanıtı kabul eder. Bu başarısız olduğunda trafik, Tailscale tarafından işletilen şifreli bir aktarıcı olan DERP relay'e düşer. Verileriniz aktarıcı üzerinden uçtan uca şifreli kalır, çünkü aktarıcı anahtarları asla elinde tutmaz. tailscale status komutunu çalıştırdığınızda her eş satırı direct veya relay çıktısını verir. Hangi aktarıcının en yakın olduğunu ve ağınızın UDP'ye izin verip vermediğini görmek için tailscale netcheck komutunu çalıştırın.

Süresi dolan anahtar rotasyonu. WireGuard anahtarlarının süresi asla dolmaz. Üç yıl önce oluşturduğunuz bir anahtar, eş bloğunu elle silmediğiniz sürece sonsuza kadar çalışır. Tailscale ise bunun yerine düğüm anahtarlarının süresini dolmaya zorlar; Ekim 2026 itibarıyla yeni bir tailnet üzerindeki varsayılan süre dolma periyodu 180 gündür. Yeniden kimlik doğrulaması yapmayan bir makine bağlantıyı keser. Bir sunucu veya başında kimsenin oturup giriş yapamayacağı bir subnet router için cihaz bazında süre dolma özelliğini kapatabilirsiniz.

Yönlendirme yerine politika. Standart WireGuard'da AllowedIPs hem yönlendirme tablosu hem de erişim kontrol listesidir; bu nedenle "alice veritabanına erişebilir" kuralı bir IP aralığı olarak ifade edilmek zorundadır. Tailscale, kuralların kullanıcıları, grupları ve etiketleri isimlendirdiği ayrı bir politika dosyası tutar. Bir kural, tag:laptop'nin tag:db'e sadece 5432 portu üzerinden erişebileceğini ve başka hiçbir şeye erişemeyeceğini belirtebilir; bu kural, makine yeni bir adres aldığında bile geçerliliğini korur.

Kontrol düzleminin size maliyeti

Koordinasyon sunucusu ağınızı bilir. Her düğümün açık anahtarını, düğüm adlarını, dağıtılan adresleri ve politikaları tutar. Barındırılan Tailscale kullanıldığında, bu sizin kontrolünüz dışında bir şirkettir. WireGuard özel anahtarları makinelerinizde kaldığı için paketleriniz onlar tarafından okunamaz; ancak ağınızın yapısı onlar tarafından görülebilir ve bağlantı kurma yeteneğiniz, onların servisinin çalışır durumda olmasına ve hesabınızın iyi durumda olmasına bağlıdır. Bunun ne kadar önemsenmesi gerektiği, ele geçirilmiş bir koordinasyon sunucusunun veya çalınmış bir kimlik hesabının elindekilerle gerçekte neler yapabileceğine bağlıdır; Tailscale'in güven modelinin tamamının okunması gereken yer burasıdır.

Gözden kaçırılması kolay ikinci bir maliyet daha vardır. Tailscale her makinede çalışan bir daemon'dır, dolayısıyla her makinede güncel tutmanız gereken bir yazılımdır. Ubuntu 24.04 üzerindeki standart WireGuard ise dağıtımla birlikte gelen ve çekirdek ile güncellenen bir çekirdek modülüdür.

Üçüncü maliyet ise faturalandırmadır. Ekim 2026 itibarıyla Personal planı, 6 kullanıcıya kadar sınırsız kullanıcı cihazı ile ücretsizdir; Standard planı kullanıcı başına aylık 8 dolar, Premium planı ise kullanıcı başına aylık 18 dolardır. Bir hane halkı ücretsiz kalmaya devam eder. On kişilik bir ekip ise ücretsiz değildir. Bu sınırı aşıp aşmadığınız, cihazlardan ziyade kullanıcı koltukları ile ilgilidir; ancak bir istisna vardır: sunucular ve etiketli diğer cihazların kendi kotaları bulunur. Her plan 50 adet etiketli kaynak içerir ve Ekim 2026 itibarıyla fiyatlandırma sayfası, bu sayıyı aşan her bir kaynak için aylık 1 dolar ücret listelemektedir. Ücretsiz planın neleri kapsadığı, yedinci kullanıcıyı davet etmeden veya elli birinci sunucuyu etiketlemeden önce okunmalıdır.

Sade WireGuard ne zaman doğru tercihtir

Topoloji gerçekten hub-and-spoke (yıldız) yapısındaysa sade WireGuard tercih edilmelidir. Genel IP adresine sahip bir VPS ve ona bağlanan üç veya dört cihazınız varsa ve bu cihazların birbirine erişmesi gerekmiyorsa bu yöntem uygundur. Yapılandırma tek bir ekrana sığar, güncellenmesi gereken bir daemon yoktur, kaybedilecek bir hesap bulunmaz ve sunucunuz ile aranızda üçüncü taraf bir servis yer almaz.

Ayrıca, her şeyin üzerine inşa edildiği katmanı anlamak istediğinizde de doğru cevap budur. Bir VPS üzerinde WireGuard VPN self-hosting rehberi; anahtar üretimi, wg0.conf, IP yönlendirme, NAT ve el sıkışma (handshake) hatalarını adım adım açıklar. Anahtarlar ve el sıkışma süreci her tailnet'in altında çalışmaya devam eder; IP yönlendirme ise bir tailnet düğümü subnet router veya exit node olarak görev yaptığı anda tekrar devreye girer. Eğer hala eski seçeneği değerlendiriyorsanız, WireGuard ve OpenVPN karşılaştırması makalesi, OpenVPN'in avantajını koruduğu dört durumu ele alır.

Kurulum kısadır:

sudo apt update && sudo apt install -y wireguard
sudo modprobe wireguard && echo ok

Sade WireGuard'ın kullanımının zorlaştığı nokta, her cihazın diğer tüm cihazlara erişmesi gereken durumdur. N adet düğümden oluşan tam bir mesh (ağ) yapısı, N çarpı N eksi bir adet eş (peer) bloğu gerektirir. Altı cihazda bu, elle senkronize edilmesi gereken otuz blok anlamına gelir; ayrıca kopyalanmış bir AllowedIPs girdisi, hiçbir hata mesajı vermeden trafiği ilk tanımlanan eşten sessizce çalar.

Tailscale ne zaman doğru çözümdür

Makineler hareket halindeyken Tailscale tercih edilmelidir. Otel ağlarındaki dizüstü bilgisayarlar, mobil veri kullanan bir telefon veya kontrolünüzde olmayan bir yönlendiricinin arkasındaki ev sunucusu. Bunlar, standart WireGuard'ın kötü yönettiği durumlardır; çünkü taraflardan hiçbirinin Endpoint içine yazılabilecek sabit bir genel uç noktası yoktur.

İstemciyi kurmak, resmi yükleyiciden tek bir komutla gerçekleştirilir:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up
tailscale status

tailscale up bir URL çıktısı verir. Bu URL'yi açıp giriş yaptığınızda makine ağa katılır. Kopyalanacak bir anahtar veya açılacak bir gelen port yoktur; çünkü daemon, koordinasyon sunucusuna giden bir bağlantı başlatır ve bunu açık tutar. Bir Tailscale düğümünün, hiçbir güvenlik duvarını kontrol etmediğiniz bir ağda çalışmasının nedeni de budur.

Bundan sonra işin büyük kısmını iki ayar yapar. Bir subnet router, tüm bir yerel ağı (LAN) ağa duyurur; böylece her cihaza istemci kurmanız gerekmez:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-routes=192.0.2.0/24

Rota, siz yönetici konsolunda onaylayana kadar aktif olmaz; bu kasıtlı bir durumdur: bir düğüm kendi başına ağınıza rota enjekte edemez. Linux istemcileri ayrıca sudo tailscale set --accept-routes ayarına ihtiyaç duyar, çünkü Linux varsayılan olarak duyurulan rotaları kabul etmez. Bu nedenle, sunucu tarafında onaylanmış görünen bir rota, siz bu ayarı yapana kadar Linux dizüstü bilgisayarda hiçbir işe yaramaz. Eğer istediğiniz yapı buysa, VPS üzerinde subnet router çalıştırma rehberi, onay adımı ve yönlendirme ayarlarını, yarım çalışan bir rotadan kaçınacak sırayla anlatır.

Bir exit node, bir istemcinin olağan internet trafiğini —yani halihazırda başka bir tailnet cihazına veya onaylı bir subnet rotasına gitmeyen her şeyi— tek bir makine üzerinden gönderir. Bu, insanların genellikle "VPN" derken kastettiği tam tünel davranışıdır. Linux üzerinde, bunu duyurmadan önce yukarıda gösterilen IP yönlendirme ayarlarının yapılması gerekir:

sudo tailscale set --advertise-exit-node

Bu bayrak işin kolay kısmıdır; bir VPS'i exit node haline getirme rehberi, sonrasındaki adımları kapsar: yönetici konsolunda rotayı onaylamak, ardından trafiğin yanlış yoldan çıkmasına neden olan DNS ve IPv6 davranışlarını düzeltmek. Eğer ulaşmak istediğiniz şey tüm bir ağ değil de tek bir web servisi ise, serve ve funnel özellikleri, tek bir yerel portun önüne —sadece tailnet'e özel veya genel internete açık olacak şekilde— HTTPS koymanızı sağlar.

Headscale ne zaman doğru tercihtir

Headscale, koordinasyon sunucusunun açık kaynaklı bir uygulamasıdır ve sahip olduğunuz bir VPS üzerinde çalışır. Resmi Tailscale istemcileri, barındırılan hizmet yerine bu sunucuya yönlenir:

sudo tailscale up --login-server https://headscale.example.com

Veri yolu ile ilgili her şey aynı kalır. Ağın izin verdiği durumlarda eşler arası doğrudan bağlantı sağlayan WireGuard kullanılmaya devam edilir. Değişen şey; düğüm listesinin, anahtarların ve politikaların size ait bir diskteki SQLite dosyasında tutulmasıdır. Dışarıdan hiç kimse ağınızın yapısını göremez, hesabınızı devre dışı bırakamaz veya kullanıcı başına faturalandırma yapamaz.

Bunun karşılığında yapmanız gereken gerçek bir iş yükü vardır. Artık herkese açık bir HTTPS hizmeti çalıştırıyorsunuz; bu da bir DNS adı, bir sertifika ve WebSocket yükseltmelerini doğru şekilde ileten bir reverse proxy gerektirir. Çalışma süresinden siz sorumlusunuz; koordinasyon sunucusunun kapalı olması, yeni düğümlerin kaydedilememesi ve mevcut düğümlerin değişikliklerden haberdar olamaması anlamına gelir. Headscale henüz 1.0 sürümünün altındadır ve ara sürümleri köklü değişiklikler içerebilir; bu nedenle her yükseltme öncesinde değişiklik günlüğünü okuyun. Kendi Tailscale kontrol sunucunuz olarak Headscale çalıştırma rehberi; kurulumu, config.yaml, ön kimlik doğrulama anahtarlarını ve açılması gereken portları kapsar.

Bir uyarı, kullanıcıları genellikle geç aşamada yakalar. Headscale, Tailscale'in küresel aktarma (relay) ağıyla birlikte gelmez. İki eşin doğrudan bağlanamadığı durumlarda, ya kendi sunucunuzdaki gömülü aktarıcıyı etkinleştirmeniz ya da yapılandırmayı başka bir sunucuya yönlendirmeniz gerekir; bu aktarıcı dünya çapındaki bir filo yerine tek bir bölgedeki tek bir sunucudan ibarettir. Dünyanın diğer ucundaki eşler bu farkı hisseder. Bu parçayı kendiniz birleştirmek istemiyorsanız, kontrol düzlemini kendi bünyenizde tutmanın diğer yolu NetBird self-hosting yöntemidir; çünkü hızlı başlangıç aracı yönetim, sinyal ve aktarma hizmetlerini tek bir VPS üzerinde birlikte ayağa kaldırır. Ancak NetBird, Headscale gibi Tailscale sunucusunun doğrudan yerine geçen bir çözüm değildir; kendi istemcileri ve kendi politika modeliyle gelir. Bu nedenle, Headscale yerine onu seçmeden önce NetBird ve Tailscale'in erişim kuralları ve aktarıcılar konusundaki farkları konusunu okuyun.

Tek geçişte nasıl karar verilir

Kaç makinenin birbirine erişmesi gerektiğini sorun. Eğer cevap hepsinin sadece sunucuyla konuştuğu yönündeyse, saf WireGuard aynı sonuç için daha az yazılım yükü demektir.

Makinelerin sabit genel IP adreslerine sahip olup olmadığını sorun. Eğer çoğu kontrol edemediğiniz bir NAT arkasında yer alıyorsa, bir kontrol düzlemine (control plane) ihtiyacınız vardır; çünkü NAT delme (hole punching) işin zor kısmıdır ve yeniden inşa etmeye değmez.

Ağınızın yapısını kimin bilmesine izin verildiğini sorun. Eğer cevap dış şirketleri dışlıyorsa veya kullanıcı sayınız kişi başı ücretlendirmeyi maliyetli kılıyorsa, Headscale çalıştırın ve kontrol sunucusunu artık sizin yönettiğinizi kabul edin. Eğer sizi zorlayan şey faturalandırma ise, geçişe karar vermeden önce hesaplamanızı yapın; çünkü ekibinizin gerçekte ne kadar ödediği, çalıştırdığınız makine sayısından ziyade kaç kişinin hesabı olduğu üzerinden belirlenir. Tabii etiketli sunucularınız her planın dahil ettiği 50 sınırını aşmadığı sürece; bu iki sayı nadiren birbirine yakındır.

Fikrinizi düşük maliyetle değiştirebilirsiniz. Veri düzlemi (data plane) her üçünde de aynı protokolü kullandığından, saf WireGuard'dan koordineli bir ağ yapısına geçmek bir yeniden tasarım değil, bir istemci kurulumudur; Tailscale'den Headscale'e geçmek ise her düğümün farklı bir giriş sunucusuna yeniden kaydedilmesidir.

Üçünün de sağlamadığı özellikler

Bunların hiçbiri bir güvenlik duvarı (firewall) değildir. Bir tünel, hangi paketlerin taşınacağına karar verir; hangi servislerin dinleme yapacağına değil. Tünel üzerinden erişilebilen bir sunucu, açık bıraktığınız herhangi bir port üzerinden internete karşı hâlâ erişilebilirdir; bu nedenle VPS üzerindeki UFW güvenlik duvarı kurallarını görevlerini yapacak şekilde tutun. Tailscale politika dosyası, diğer düğümlerin nelere erişebileceğini kısıtlar ancak genel ağ arayüzü üzerinde hiçbir etkisi yoktur.

Bunların hiçbiri servis bazlı kimlik doğrulama sağlamaz ve hiçbiri, bir kullanıcı bağlandıktan sonra ne yaptığına dair bir denetim izi (audit trail) sunmaz. Üçünü de birer taşıma katmanı olarak değerlendirin ve giriş kontrollerini uygulamanın kendisine ekleyin.

FAQ

Tailscale sadece fazladan adımları olan bir WireGuard mı?

Tailscale, veri yolu için WireGuard protokolünü kullanır; dolayısıyla şifreleme ve tünel yapısı aynıdır. Tailscale'in eklediği özellikler koordinasyon katmanıdır: anahtar değişimi, adres ataması, STUN ve DERP röleleri ile NAT geçişi, anahtar geçerlilik süresi ve IP aralıkları yerine kullanıcı isimlerini temel alan bir politika dosyası. Bunlar, standart WireGuard'da kullanıcıya bırakılan ve cihazlar ağlar arasında hareket ettiğinde zorlaşan kısımlardır.

Trafiğim Tailscale sunucuları üzerinden mi geçiyor?

Normalde hayır. Koordinasyon sunucusu eşleri birbirine tanıttıktan sonra eşler doğrudan birbirine bağlanır ve tailscale status, bu eş hatlarında direct değerini gösterir. Doğrudan bir yol kurulamadığında trafik bir DERP rölesine düşer ve hat relay olarak görünür. Bu durumda bile röle, şifrelenmiş paketleri taşır ve WireGuard özel anahtarlarınızı tutmaz; dolayısıyla içeriği okuyamaz. Ağınızın doğrudan bağlantılar için gerekli olan UDP trafiğini engelleyip engellemediğini görmek için tailscale netcheck komutunu çalıştırın.

Headscale'i resmi Tailscale uygulamalarıyla kullanabilir miyim?

Evet. Headscale aynı kontrol protokolünü kullanır, bu nedenle resmi istemciler sudo tailscale up --login-server https://headscale.example.com ile sisteme dahil olur. Masaüstü ve mobil uygulamalar da özel bir giriş sunucusuna yönlendirilebilir; ancak bu ayar her platformda farklı bir yerdedir ve mobil uygulamalar belirli bir sürüm gereksinimine en çok ihtiyaç duyanlardır. Tüm ağı taşımadan önce bir telefon üzerinde test yapın.

Tailscale veya Headscale için hala port açmam gerekiyor mu?

Bir Tailscale istemcisi için gelen port açmaya gerek yoktur; çünkü istemci koordinasyon sunucusuna dışarıdan bağlanır ve bu bağlantıyı açık tutar. Kendi sunucunuzda barındırdığınız bir Headscale sunucusu için gelen portlar gereklidir: kontrol protokolü için 443, HTTP-01 sertifika doğrulaması kullanıyorsanız 80 ve yalnızca yerleşik röleyi etkinleştirdiğinizde 3478/udp portu. Standart WireGuard ise sunucuda ve servis sağlayıcınızın çalıştırdığı herhangi bir ağ güvenlik duvarında, genellikle 51820 olan UDP dinleme portunun açık olmasını gerektirir.

Üçü arasından hangisi en hızlısı?

Üçü de paketleri WireGuard ile taşıdığı için veri aktarım hızı aynıdır. Fark, bağlantı kurulumunda ve yol kalitesinde ortaya çıkar. Doğru yapılandırılmış bir Endpoint ile standart WireGuard her zaman doğrudan bağlanır. Tailscale ve Headscale çoğu zaman doğrudan bağlanır, ancak ağ delik açma (hole punching) işlemini engellediğinde röleye düşer ve röleli bir yol gecikmeyi artırır. Rotanın doğrudan mı yoksa röleli mi olduğunu bildiren tailscale ping <node> ile veya tünel üzerinden iperf3 ile kendi yolunuzu ölçün. Eğer bu değer doğrudan bir yolda hat hızınızın çok altında kalıyorsa, sorun üç seçenek arasındaki tercihinizden kaynaklanmıyor demektir; yaygın neden, kontrol düzlemi olsun veya olmasın aynı şekilde davranan bir yol MTU uyumsuzluğudur.