VPN ve Şifreli Tünelleme Nasıl Çalışır?

VPN (Virtual Private Network), genel bir ağ üzerinden şifrelenmiş bir tünel oluşturarak veri iletimini güvenli hâle getiren bir teknolojidir. Bu makale, protokol iç yapılarına, kriptografik temellere ve kurumsal mimari kararlara odaklanır.

IPsec: İki Fazlı Anlaşma Süreci

IPsec, IKE (Internet Key Exchange) protokolü üzerinden iki fazda çalışır:

• IKE Phase 1: Taraflar arasında güvenli bir kanal (ISAKMP SA) kurulur; Diffie-Hellman anahtar değişimi burada gerçekleşir. Main mode (6 mesaj) veya aggressive mode (3 mesaj, daha hızlı ama daha az güvenli) kullanılabilir.
• IKE Phase 2 (Quick Mode): Asıl veri trafiğini koruyacak IPsec SA'ları (Security Association) müzakere edilir; burada şifreleme algoritması (AES-256-GCM gibi), hash algoritması ve PFS (Perfect Forward Secrecy) ayarları belirlenir.

IPsec, iki modda çalışabilir: Transport mode (sadece payload şifrelenir, IP başlığı açık kalır — genelde host-to-host) ve Tunnel mode (tüm orijinal IP paketi şifrelenip yeni bir IP başlığıyla sarılır — site-to-site VPN'lerde standart).

WireGuard'ın Farkı: Kriptografik Çeviklik Yerine Sabit Seçim

IPsec ve OpenVPN'in aksine WireGuard, "kriptografik çeviklik" (birden fazla algoritma seçeneği sunma) yerine tek bir modern algoritma setini (ChaCha20 şifreleme, Poly1305 kimlik doğrulama, Curve25519 anahtar değişimi, BLAKE2s hash) sabit olarak kullanır. Bu tasarım kararı, saldırı yüzeyini azaltır (yanlış yapılandırılmış zayıf algoritma seçimi riski ortadan kalkar) ve kod tabanını (~4.000 satır, IPsec/OpenVPN'in on binlerce satırına kıyasla) küçültüp denetlenebilirliği artırır.

Perfect Forward Secrecy (PFS) Neden Önemli?

PFS olmadan, bir oturum anahtarı ele geçirilirse (veya uzun vadede sunucunun özel anahtarı çözülürse) geçmişte kaydedilmiş tüm şifreli trafik de çözülebilir hâle gelir. PFS, her oturum için geçici (ephemeral) anahtarlar üreterek bu riski ortadan kaldırır — bir oturumun anahtarının ele geçirilmesi, diğer oturumları etkilemez.

Pratik Senaryo

Bir finans şirketi, şube ofisleri arasında site-to-site IPsec VPN kullanıyor. Güvenlik denetimi sırasında, IKE Phase 1'in aggressive mode'da yapılandırıldığı ve PFS'in devre dışı bırakıldığı tespit ediliyor. Bu yapılandırmada, bir saldırgan aggressive mode'un ilk mesajını yakalayıp offline olarak brute-force saldırısı deneyebilir (pre-shared key'i kırmaya çalışabilir), PFS olmadığı için de geçmiş trafiği kaydetmiş bir saldırgan, uzun vadede anahtarı ele geçirirse tüm geçmiş iletişimi çözebilir. Denetim sonrası main mode'a geçilip PFS etkinleştiriliyor, bu iki değişiklik saldırı yüzeyini önemli ölçüde daraltıyor.

Kurumsal Mimari: Split Tunnel vs Full Tunnel

• Full tunnel: Kullanıcının tüm trafiği VPN üzerinden geçer, merkezi güvenlik kontrolü sağlanır ama bant genişliği ve gecikme maliyeti artar.
• Split tunnel: Sadece şirket kaynaklarına yönelik trafik VPN'den geçer, geri kalanı doğrudan internete çıkar — performans avantajı sağlar ama görünürlük ve kontrol azalır.

Bu makale, VPN teknolojilerinin orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.