Yat ağlarında pfSense veya MikroTik cihazları üzerinde WireGuard VPN tüneli kurulumu ve yönlendirme kuralları adım adım nasıl yapılandırılır?

Yat ağlarında pfSense veya MikroTik cihazları üzerinde WireGuard VPN tüneli kurulumu ve yönlendirme kuralları adım adım nasıl yapılandırılır?

Yat ağlarında WireGuard tüneli kurulumu, değişken IP adresleri (Starlink/5G roaming) ve yüksek uydu gecikmelerinde en kararlı ve hızlı tünelleme çözümünü sunar.

Aşağıda hem pfSense hem de marin sektöründe yaygın kullanılan MikroTik (RouterOS v7) üzerinde adım adım WireGuard tüneli kurulumu ve yönlendirme (routing/firewall) kuralları yer almaktadır.

YÖNTEM 1: pfSense Üzerinde WireGuard Kurulumu

Adım 1: WireGuard Paketinin Yüklenmesi ve Arayüz Tanımı

1. pfSense paneline girin, System > Package Manager > Available Packages sekmesinden WireGuard paketini aratıp yükleyin.

2. VPN > WireGuard menüsüne gidin. Tunnels sekmesinden + Add Tunnel butonuna tıklayın:

   • Listen Port: 51820 (varsayılan UDP portu).

   • Interface Keys: Generate Keys butonuna basarak Public ve Private anahtarlarınızı üretin (Public Key’i kaydedin).

   • Tunnel Address: Tünel içi IP adresini tanımlayın (Örn: Tekne tarafı için 10.0.100.2/24).

3. Save Tunnel diyerek tüneli kaydedin ve Enable WireGuard seçeneğini işaretleyin.

Adım 2: Peer (Karşı Merkez/Bulut Sunucu) Ekleme

1. Peers sekmesine geçin ve + Add Peer butonuna tıklayın:

   • Tunnel: Oluşturduğunuz WireGuard tünelini seçin.

   • Endpoint: Karşı merkezin (Merkez Ofis/FusionHub/VPS) Sabit Kamu IP’si ve Portu (Örn:198.51.100.5:51820).

   • Public Key: Karşı sunucunun ürettiği Public Key’i yapıştırın.

   • Allowed IPs: Tünel üzerinden hangi alt ağlara erişileceğini tanımlayın (Örn: Tünel IP’si 10.0.100.1/32ve Merkez Yerel Ağı 192.168.1.0/24).

   • Keep Alive: Deniz seviyesindeki bağlantı kopmalarını önlemek için 25 saniye girin.

Adım 3: Arayüz Atama ve Firewall Kuralları

1. Interfaces > Assignments menüsüne gidin, yeni oluşan tun_wg0 arayüzünü ekleyin ve etkinleştirin (Adını WG_YAT yapın).

2. Firewall > Rules > WireGuard sekmesine gidin.

3. Add butonuna tıklayarak tünel içi trafiğe izin veren kuralı tanımlayın:

   • Action: Pass | Interface: WireGuard | Address Family: IPv4

   • Source: Any (veya 10.0.100.0/24) | Destination: Any

4. Firewall > Rules > WAN sekmesine gidin, gelen UDP 51820 trafiğine (IKE/Handshake için) izin verin.

YÖNTEM 2: MikroTik (RouterOS v7) Üzerinde WireGuard Kurulumu

Not: WireGuard desteği MikroTik’e RouterOS v7 ile entegre gelmiştir. Cihazınızın v7 sürümünde olduğundan emin olun.

Adım 1: WireGuard Arayüzünün Oluşturulması

MikroTik terminaline (WinBox New Terminal) bağlanarak veya grafik arayüzden şu komutu çalıştırın:

# Wireguard arayüzünü oluşturun
/interface wireguard add listen-port=51820 name=wg-yat

# Arayüze tünel içi IP adresi atayın
/ip address add address=10.0.100.2/24 interface=wg-yat

Adım 2: Peer (Karşı Taraf) Tanımlaması

/interface wireguard peers
add interface=wg-yat \
    public-key="KARSI_SUNUCUNUN_PUBLIC_KEYI=" \
    endpoint-address=198.51.100.5 \
    endpoint-port=51820 \
    allowed-address=10.0.100.0/24,192.168.1.0/24 \
    persistent-keepalive=25s

Adım 3: Yönlendirme (Routing) ve Firewall Kuralları

1. Statik Rota (Merkez Ağa Erişim): Teknedeki cihazların merkez ağa (192.168.1.0/24) ulaşabilmesi için rota ekleyin:

/ip route add dst-address=192.168.1.0/24 gateway=wg-yat

2. Firewall İzinleri:

# WAN üzerinden gelen WireGuard UDP paketlerine izin verin
/ip firewall filter add chain=input protocol=udp dst-port=51820 action=accept comment="Allow WireGuard Inbound"

# WireGuard tüneli içerisindeki trafiğe izin verin
/ip firewall filter add chain=forward in-interface=wg-yat action=accept comment="Allow WireGuard Forward"