MikroTik RouterOS ile Güvenli WireGuard VPN Kurulumu ve Şubeler Arası Tünelleme Rehberi

Modern Kriptografinin Ağ Omurgasına Entegrasyonu: Neden WireGuard?

Şubeli işletmeler, fabrikalar ve uzaktan çalışan personelin kurumsal ağa erişiminde yıllardır kullanılan eski VPN protokolleri (PPTP, L2TP/IPsec, OpenVPN) ağır şifreleme algoritmaları ve hantal el sıkışma mekanizmaları sebebiyle yüksek CPU tüketimine ve bağlantı gecikmelerine yol açar. MikroTik RouterOS v7 ile birlikte doğrudan Linux çekirdeğine entegre edilen WireGuard VPN, son teknoloji asimetrik kriptografi (Noise Protocol Framework, Curve25519, ChaCha20-Poly1305) kullanarak IPsec’ten 3-4 kat daha hızlı ve hafif bir tünelleme sağlar. Durumsuz (stateless) çalışan yapısı sayesinde internet hattı anlık kopsa veya IP adresi değişse dahi tünel el sıkışmasını milisaniyeler içinde sessizce yeniler.

Geleneksel IPsec ile WireGuard Arasındaki Mimari Farklar

• Kod Tabanı Hafifliği: OpenVPN yüz binlerce satır kod içerirken, WireGuard yaklaşık 4.000 satır temiz koddan oluşur; bu durum saldırı yüzeyini küçültür ve güvenlik açıklarını neredeyse sıfıra indirir.
• Performans ve Gecikme (Latency): Donanımsal kripto çipi (AES-NI) zayıf olan giriş seviyesi MikroTik router modellerinde (hEX, hAP serisi) IPsec trafiği CPU’yu kilitlerken, WireGuard düşük donanımlarda bile 300-400 Mbps şifreli veri aktarımına rahatlıkla ulaşır.
• Basitleştirilmiş Anahtar Değişimi: Karmaşık sertifikalar ve Faz 1/Faz 2 parametreleri yerine SSH mantığına benzer Public/Private Key çiftleri kullanılır.

1. Adım: Merkez MikroTik Üzerinde WireGuard Arayüzü ve IP Tanımlama

Merkez router (Ofis A: Yerel Ağ 192.168.10.0/24) üzerinde Winbox terminali açılarak şu komutlar çalıştırılır:

# 1. WireGuard Arayüzünü Oluşturun (Port 13231)
/interface wireguard
add name="wg-merkez" listen-port=13231 comment="Merkez WireGuard Sunucusu"

# Arayüzün ürettiği Public Key'i not edin
/interface wireguard print

# 2. Tünel İçin Bağımsız Sanal IP Bloğu Atayın
/ip address
add address=10.250.0.1/24 interface=wg-merkez network=10.250.0.0

2. Adım: Şube Router (Peer) Tanımlaması ve Karşı Uç Eşleştirmesi

Şube router (Ofis B: Yerel Ağ 192.168.20.0/24, Tünel IP: 10.250.0.2/24) tarafında da bir WireGuard arayüzü açılır ve her iki cihaz birbirine ‘Peer’ olarak tanıtılır:

# Merkez Router Üzerinde Şubeyi Tanımlayın:
/interface wireguard peers
add interface=wg-merkez public-key="SUBE_ROUTER_PUBLIC_KEY==" 
    allowed-address=10.250.0.2/32,192.168.20.0/24 comment="Bismil Subesi"

# Şube Router Üzerinde Merkeze Bağlantı Kuralı:
/interface wireguard peers
add interface=wg-sube public-key="MERKEZ_ROUTER_PUBLIC_KEY==" 
    endpoint-address="merkez.statikip.com" endpoint-port=13231 
    allowed-address=10.250.0.1/32,192.168.10.0/24 persistent-keepalive=25

persistent-keepalive=25 parametresi NAT arkasında kalan ve statik IP’si olmayan şubelerin tünelini 25 saniyede bir kontrol paketi atarak sürekli açık tutar.

3. Adım: Statik Yönlendirme (Route) ve Güvenlik Duvarı İzinleri

Tünelin fiziksel olarak ayakta olması trafiğin akması için yetmez; yönlendirme tablosu işlenmelidir:

# Merkezde: Şube ağına giden paketleri WireGuard arayüzüne yönlendir
/ip route
add dst-address=192.168.20.0/24 gateway=wg-merkez comment="Subeye Giden Rota"

# Güvenlik Duvarında WireGuard UDP Portunu Dış Dünyaya Açın
/ip firewall filter
add chain=input action=accept protocol=udp dst-port=13231 in-interface-list=WAN 
    comment="WireGuard VPN Port Izni" place-before=1

Yapılandırma bittiğinde WireGuard > Peers sekmesinde ‘Last Handshake’ süresinin saniyeler bazında aktığı görülür. İki lokasyondaki bilgisayarlar yerel IP adresleri üzerinden sıfır gecikmeyle haberleşir.

Kurumsal MikroTik yönlendirici projeleri, WireGuard şube ağları ve güvenli uzaktan çalışma sistemlerinde BaykalSoft ağ mühendisliği ekibimizden destek alabilirsiniz.