WireGuard güvenmek için çok mu yeni?

WireGuard muhafazakâr bir kriptografik tasarım (modern primitiflerle NoiseIK) kullanır ve küçük kod tabanı sayesinde geniş ölçüde incelenmiştir. Ana gizlilik uyarısı sunucu tarafı anahtar/IP yönetimidir; ephemeral anahtarlar ve double-NAT tasarımları kullanan sağlayıcıları seçin.

Hangisi daha hızlı: OpenVPN UDP mi TCP mi?

OpenVPN’in UDP üzerinden çalışması genellikle daha hızlıdır ve kayıplara daha dayanıklıdır. TCP, kısıtlayıcı firewall’ları veya DPI’ı aşmak için faydalıdır; ancak TCP-over-TCP, kayıplı bağlantılarda ciddi performans cezası doğurabilir.

IKEv2 neden iOS'ta önerilir?

iOS, IKEv2 için mükemmel yerleşik desteğe sahiptir. MOBIKE, ağ değişikliklerinde tünellerin minimal pil etkisiyle ayakta kalmasını sağlar; bu da mobilde stabil ve verimli olmasına yardımcı olur.

Bir VPN protokolü tek başına sızıntıları engelleyebilir mi?

Hayır. Firewall tabanlı kill switch, tünel içi DNS, IPv6 yönetimi ve WebRTC korumaları da gerekir. Sağlayıcının uygulaması ve istemci ayarları protokol kadar önemlidir.

VPN bağlanıyor ama siteler yüklenmiyorsa ne yapmalıyım?

Parçalanmayı önlemek için MTU/MSS ayarlayın, UDP ile TCP arasında geçiş yapın, kısıtlayıcı ağlarda obfuscation ile TCP/443’ü tercih edin, DNS’in tünel içinde olduğundan emin olun ve yeniden bağlanmadan önce captive portal girişlerini temizleyin.

PPTP bugün kabul edilebilir mi?

Hayır. PPTP kırık kimlik doğrulama (MS-CHAPv2) ve zayıf şifreleme kullanır. Güvenlik hassas kullanım için önerilmez.

VPN Protokolleri – güvenlik ve hız karşılaştırması

Disclosure: Some links on this page are affiliate links. We may earn a commission if you make a purchase through them, at no additional cost to you.

Hızlı cevap: 2026 itibarıyla çoğu kişi için en iyi “genel amaçlı” VPN protokolü, hızlı el sıkışmaları, mükemmel aktarım hızı (throughput) ve modern kriptografi sayesinde WireGuard’dır (veya NordLynx ya da Lightway gibi iyi uygulanmış WireGuard tabanlı bir varyant). Kısıtlayıcı ağlar ve derin paket inceleme (DPI) için ise TCP 443 üzerinden OpenVPN obfuscation (gizleme/maskeleme) ile hâlâ daha güvenilir şekilde “geçer”. IKEv2/IPsec, MOBIKE ve hızlı yeniden bağlanma yetenekleri nedeniyle mobilde öne çıkar. L2TP/IPsec ve PPTP büyük ölçüde legacy’dir; güvenlikle ilgili herhangi bir şey için PPTP’den kaçının.

Contents show

VPN Protokolleri Nedir (ve neden önemsemelisiniz)?

Bir VPN protokolü, cihazınızın bir VPN ağ geçidine güvenli bir tünel oluşturmasını yöneten kural setidir: eşlerin (peers) nasıl kimlik doğruladığı, trafiği hangi şifrelerin koruduğu, paketlerin nasıl kapsüllendiği (UDP/TCP/ESP), oturumun ağ değişikliklerini nasıl atlattığı ve kayıp ile tıkanıklığa nasıl tepki verdiği. Farklı protokoller farklı hedefler için optimize edilir: hız, kararlılık, sansür dayanıklılığı, pil ömrü ve gizlilik duruşu. Doğru seçim, aktarım hızınızı iki katına çıkarabilir, gecikmenizi onlarca milisaniye düşürebilir ya da bir otel güvenlik duvarının arkasında çalışmakla engellenmek arasındaki fark olabilir.

Kısa bakış: protokol karşılaştırması

Protokol	Taşıma & Kripto	Güçlü yönler	Sınırlamalar	En iyi kullanım alanları
WireGuard	UDP; NoiseIK; ChaCha20-Poly1305; küçük kod tabanı (~4–5k LOC)	Çok hızlı el sıkışma ve throughput; mükemmel roaming; düşük CPU/pil; basit yapılandırma	Ham WG statik anahtarları IP’lere eşler (gizlilik dikkate alınmalı); yalnızca UDP kısıtlanabilir/engellenebilir; bazı captive portal’lar UDP’yi sevmez	Günlük kullanım, streaming, oyun, mobil VPN, yüksek bant genişliği bağlantıları
OpenVPN (UDP/TCP)	TLS 1.2/1.3 kapsülleme; AES-GCM/ChaCha20; UDP veya TCP üzerinde çalışır	Çok uyumlu; olgun; esnek; TCP/443 üzerinde çalışır; stunnel/obfsproxy ile kolay obfuscation	WG’den daha ağır; TCP-over-TCP meltdown riski; daha fazla CPU yükü	Sansür/DPI aşma, kurumsal uyumluluk, zor Wi-Fi/otel ağları
IKEv2/IPsec	UDP 500/4500; IKEv2 + ESP; AES-GCM/ChaCha20; PFS; MOBIKE	Hızlı re-key; mobilde stabil; iOS/macOS/Windows’ta yerleşik istemciler; split tunneling için uygun	Bazı NAT/firewall’lar ESP/NAT-T’yi engeller; yapılandırma karmaşıklığı; daha az obfuscation seçeneği	Kurumsal/mobil dağıtımlar, mobil veri↔Wi-Fi geçişleri
L2TP/IPsec	UDP 1701 + IPsec ESP/NAT-T	Yaygın; eski cihazlarda basit destek	Çift kapsülleme overhead’i; daha yavaş; NAT/DPI ile zorlanır; büyük ölçüde legacy	Eski sistemlerde başka seçenek yoksa
SSTP	TCP/443 üzerinde TLS (Microsoft)	Çoğu firewall’dan geçer (443); Windows’ta iyi performans; MS ekosisteminde dağıtımı kolay	Kapalı protokol; platformlar arası destek parçalı; tüketici VPN’lerinde niş	443’ün tek açık yol olduğu Windows odaklı ağlar
PPTP (legacy)	GRE + MPPE; MS-CHAPv2 auth (kırık)	Çok hızlı; çok eski cihazlarda yaygın	Güvensiz (kırık kimlik doğrulama/şifreleme); her yerde kullanımdan kalkmış	Güvenlik için kaçının; sadece lab/test

Derinlemesine: başlıca protokoller nasıl davranır?

WireGuard

WireGuard, NoiseIK el sıkışması ve Curve25519 ECDH ile ChaCha20-Poly1305 AEAD kullanan yalın, modern bir protokoldür. Kernel’de (Linux) veya yüksek kaliteli bir userspace portu olarak çalışır ve sadeliğe odaklanır: küçük kod tabanı, az ayar ve stateless roaming (peer’ler genel anahtarlarla tanımlanır). Sonuç: neredeyse anında el sıkışma, tutarlı yüksek throughput ve düşük CPU kullanımı—iOS/Android’de pil için harika, multi-Gbps linklerde ise çok hızlı.

Roaming & NAT: persistent keepalive ve endpoint keşfi kullanır; IP değişikliklerini (Wi-Fi→LTE) sorunsuz atlatır.
Gizlilik duruşu: Ham WG, statik bir genel anahtarı dahili/statik tünel IP’sine eşler; naif sunucu kurulumları kısa süreli ilişkilendirme verisi bırakabilir. Saygın sağlayıcılar hesapları dahili IP’lerden ayırmak için ephemeral anahtarlar ve double-NAT uygular (ör. NordLynx).
Sansüre dayanıklılık: UDP kısıtlanabilir/engellenebilir; obfuscation için eklentiler gerekir (ör. UDP’yi DTLS/TLS içine almak, Shadowsocks veya üretici “Stealth” katmanları).
Ne zaman kullanmalı: Ağlar aktif biçimde düşmanca değilse varsayılan tercih; streaming, oyun, günlük gizlilik.

OpenVPN (UDP ve TCP)

OpenVPN savaşta test edilmiş, çok yapılandırılabilir ve açık kaynaklıdır. Trafiği TLS içine kapsüller; genelde AES-GCM veya ChaCha20-Poly1305 ve PFS için ECDHE kullanır. UDP üzerinde (hız için tercih edilir) veya TCP üzerinde (kısıtlayıcı proxy’ler ve DPI arkasında faydalı) çalışır.

Obfuscation: stunnel, obfs4 veya XTLS/Reality benzeri fronting ile normal HTTPS gibi gizlemek kolaydır; TCP/443 izinli trafiğe karışır.
Performans notları: OpenVPN-UDP sağlamdır ama WireGuard’dan daha fazla overhead taşır. OpenVPN-TCP, kayıplı bağlantılarda TCP-over-TCP meltdown riski taşır (iki katman da yeniden iletim/yoğunluk kontrolü yapar).
Ne zaman kullanmalı: DPI, otoriter filtreler, kurumsal proxy’ler veya UDP’nin engellendiği ağlar.

IKEv2/IPsec

IKEv2, IPsec ESP için güvenlik ilişkilendirmelerini ve anahtarları müzakere eder. MOBIKE ile dayanıklı mobilite sunar; bu da ağlar arasında sık geçiş yapan telefonlarda çok iyi olmasını sağlar. Kripto moderndir (AES-GCM veya ChaCha20; PFS için ECDHE). Genellikle UDP 500/4500 (NAT-T) üzerinden çalışır.

Artılar: Çok hızlı re-key, stabil uzun ömürlü tüneller, iOS/macOS/Windows’ta yerleşik istemci, split tunneling için iyi.
Eksiler: UDP 500/4500 veya ESP’yi engelleyen firewall’lar bağlantıyı kırar; OpenVPN kadar esnek obfuscation seçenekleri yoktur.
Ne zaman kullanmalı: Kurumsal dağıtımlar; obfuscation’dan çok stabilite isteyen mobil kullanıcılar.

L2TP/IPsec (legacy)

L2TP tüneli sağlar; IPsec şifrelemeyi sağlar. İki kez kapsülleme yaptığınız için overhead yüksektir ve performans daha kötüdür. Eski donanımlarda yaygındır ancak NAT ile kırılgan ve DPI’a karşı zayıftır. Modern seçenekler yoksa kullanın.

SSTP (Microsoft)

SSTP, TLS’i TCP/443 üzerinde taşır; bu sayede çoğu firewall’ı aşabilir. Windows Server/Client ile iyi entegredir ancak kapalı bir protokoldür ve diğer platformlarda destek parçalıdır. OpenVPN mümkün değilse Windows-only ortamlar için makuldür.

PPTP (güvenlik için kullanmayın)

PPTP hızlıdır çünkü crypto/auth yapısı kırıktır (MS-CHAPv2 kırılabilir). Modern işletim sistemleri varsayılan olarak uyarır veya engeller. Fiilen kullanım dışıdır; üretim ortamından uzak tutun.

Sağlayıcıya özel / proprietery protokoller

NordLynx (NordVPN): Statik anahtarların kullanıcı kimliği veya sabit dahili IP ile eşlenmesini önlemek için double NAT kullanan WireGuard tabanlı bir protokol. Genellikle en hızlılar arasında; “ham” WireGuard’ın bağlantılama (linkage) kaygılarını gideren gizlilik odaklı tasarım.
Lightway (ExpressVPN): wolfSSL kullanan hafif, mobil-öncelikli protokol; AES-GCM ve ChaCha20-Poly1305 destekler. Hızlı devam (resume) ve dengesiz Wi-Fi/4G’de bile iyi performans; uygulama güvencesi için denetlenmiştir.
Hydra (Hotspot Shield/Catapult Hydra): Proprietery taşıma/obfuscation ile throughput ve sansür dayanıklılığına odaklanır. OpenVPN/WireGuard’a kıyasla daha sınırlı bağımsız inceleme.
Stealth (çeşitli üreticiler, ör. Proton VPN): WireGuard/OpenVPN’i standart TLS/HTTPS gibi göstererek DPI ve ulusal firewall’ları aşmayı hedefleyen obfuscation katmanları; ekstra sarmalama nedeniyle hız kaybı bekleyin.

Performans: hız nereden gelir?

Handshake gecikmesi: WireGuard’ın NoiseIK’i minimal state ile 1-RTT → neredeyse anında bağlantı. OpenVPN + TLS daha fazla mesaj ister; IKEv2 re-key’de hızlıdır.
Şifre verimliliği: ChaCha20-Poly1305 mobil/ARM’da çok iyidir; AES-GCM masaüstü/sunucularda AES-NI’dan yararlanır.
Taşıma: UDP, TCP’nin head-of-line (HOL) blocking sorununu yaşamaz ve kayıplı linklerde üstündür. TCP enterprise’ta daha iyi saklanır ama TCP-over-TCP tünellerinde meltdown riski taşır.
Kapsülleme overhead’i & MTU: Tüneller başlık ekler. MTU çok yüksekse parçalanma/black hole yaşanabilir. OpenVPN/WireGuard için güvenli bir başlangıç olarak MSS clamp değerini ~1360–1380 bayt aralığına alın; test edip ayarlayın.

Sansür dayanıklılığı & DPI kaçınma

Düşmanca ağlar protokolleri paket boyutları, zamanlama ve TLS imzalarıyla “parmak izler”. Bugün işe yarayan stratejiler:

OpenVPN-TCP 443 + stunnel (TLS içinde TLS) veya obfs4 ile HTTPS’e benzetme. Güçlü ama daha yavaş.
TLS üzerinden WireGuard (“WG-over-TLS”/“Stealth WG”): UDP’yi TLS’e benzeyen bir akış içinde taşır; overhead bekleyin.
Domain fronting / gelişmiş pluggable’lar (yasal olduğu yerde): yüksek itibarlı CDN’ler üzerinden yönlendirme; devletler bunu giderek daha fazla tespit ediyor/engelliyor.
SSTP/443 OpenVPN’in izinli olmadığı Windows ortamlarında.

Mobil davranış: yeniden bağlanma, pil ve stabilite

WireGuard: Minimal keepalive, verimli kripto; çok iyi pil ömrü. Ağlar arasında roaming pürüzsüz.
IKEv2/IPsec: MOBIKE tünelin IP değişikliklerinde ayakta kalmasına yardım eder; iOS’ta yerleşik istemciyle çoğu zaman en stabil olanıdır.
OpenVPN: Userspace keepalive daha fazla uyanmaya neden olur; modern cihazlarda sorun değil ama WireGuard/Lightway kadar pil dostu değildir.

Güvenlik duruşu & denetimler

Açık kaynak & denetimler: WireGuard ve OpenVPN güçlü topluluk incelemesine sahiptir. Sağlayıcının uygulamasını da değerlendirin: RAM-only sunucular, anahtar rotasyonu, log minimizasyonu ve dış denetimler.
Anahtar yönetimi: Ephemeral oturum anahtarları, otomatik re-key ve kalıcı anahtar↔IP bağını önleyen tasarımlar (ör. NordLynx double-NAT) tercih edin.
Sızıntı koruması: Protokol seçimi tek başına yetmez—kill switch, tünel içi DNS, IPv6 yönetimi (tünelle veya kapat) ve WebRTC sızıntılarına karşı önlem alın.

Hangi protokolü seçmelisiniz? (Karar kılavuzu)

Normal ağlarda günlük kullanım: WireGuard (veya NordLynx/Lightway). Dengesizse OpenVPN-UDP deneyin.
Sıkı firewall’lı oteller/kampüsler/havalimanları: Obfuscation ile OpenVPN-TCP 443. Windows-only ise SSTP/443 işe yarayabilir.
Mobil (Wi-Fi/LTE sık değişiyorsa): IKEv2/IPsec veya Lightway. Ağ UDP’yi engellemiyorsa WireGuard da harikadır.
Eski router/embedded cihazlar: OpenVPN geniş destekli; zorunlu olmadıkça L2TP’den kaçının; güvenlik için asla PPTP kullanmayın.
Devlet düzeyi DPI/sansür: OpenVPN-TCP 443 + stunnel/obfs veya sağlayıcının Stealth modu; daha yavaş hız bekleyin.

Uygulama ipuçları (hands-on)

MTU/MSS: Takılma veya garip yavaşlamalar görürseniz TCP MSS clamp uygulayın: OpenVPN için mssfix 1360 ve tun-mtu 1500 (ayarlayın), veya WireGuard trafiği için OS seviyesinde MSS kuralları belirleyin.
DNS: DNS sorgularını tünel içinde zorunlu kılın (sağlayıcı DNS’i veya tünel içi şifreli DNS). Kamu DoH/DoT ile geo-unblocking’i karıştırmak uyumsuzluk yaratabilir.
Kill switch: Uygulama anahtarı yerine firewall tabanlı kill switch kullanın (tünel dışındaki tüm çıkışı engeller).
Protokol fallback: WireGuard → OpenVPN-UDP → OpenVPN-TCP 443 + obfuscation. Mümkünse otomatik failover yapın.
Denetimler & loglama: Üçüncü taraf denetimi, RAM-disk sunucuları ve şeffaf/minimum log politikasını tercih edin.

Daha az yaygın (ama faydalı) seçenekler

OpenConnect/AnyConnect (SSL-VPN): Cisco tarzı SSL VPN’ler; kurumsal uyumluluğu iyi. Bazı tüketici servisleri uyumluluk için OpenConnect destekler.
SoftEther: Çok protokollü, TLS tabanlı VPN yığını; esnek ama dağıtımı daha ağır; HTTPS’i iyi taklit edebilir.

SSS

WireGuard “çok mu yeni” ve güvenilmez mi?

WireGuard’ın kriptografik tasarımı (NoiseIK + modern primitifler) temkinli ve geniş ölçüde incelenmiştir; küçük kod tabanı saldırı yüzeyini azaltır. Ana uyarı sunucu tarafı gizlilik uygulamalarıdır—ephemeral anahtarlar kullanan ve ilişkilendirilebilir metaveri saklamayan sağlayıcıları seçin.

OpenVPN UDP mi TCP mi—hangisi daha hızlı?

Neredeyse her zaman UDP. TCP daha çok kısıtlayıcı ağlar ve DPI aşma içindir. Mümkünse TCP’yi TCP içinde tünellemeyin; kayıp ve gecikme büyür.

IKEv2 neden iOS’ta sık önerilir?

Mükemmel yerleşik destek, hızlı yeniden kurulum ve MOBIKE sayesinde radyo değişimlerinde (hücresel↔Wi-Fi) oturumlar minimal pil etkisiyle ayakta kalır.

Tek başına bir VPN protokolü sızıntıları tamamen engeller mi?

Hayır. Tünel içi DNS, IPv6 yönetimi, firewall tabanlı kill switch ve tarayıcı/WebRTC korumaları gerekir. Protokol seçimi daha büyük bir gizlilik yığınının bir parçasıdır.

VPN “bağlanıyor” ama hiçbir şey yüklenmiyorsa ne denemeliyim?

MTU/MSS’i düşürün, UDP↔TCP değiştirin, kısıtlayıcı ağlarda obfuscation ile TCP/443 deneyin, DNS’in tünel içinde olduğundan emin olun ve captive portal’ları kontrol edin (bağlantıyı kes, bir HTTP site açıp giriş yap, sonra yeniden bağlan).

PPTP hiç kabul edilebilir mi?

Güvenlik için değil. Kimlik doğrulaması kırık olduğu için kullanımdan kalkmıştır. Sadece şifrelemenin önemsiz olduğu laboratuvar senaryolarında kullanın.

Sonuç

“Doğru” VPN protokolü, tehdit modelinize ve ağ koşullarınıza bağlıdır. WireGuard (ve NordLynx, Lightway gibi iyi mühendislik ürünü varyantlar) günlük gizlilik için hız, stabilite ve modern kripto arasında en iyi dengeyi sunar. OpenVPN, özellikle obfuscation ile TCP 443 üzerinde, DPI ve tuhaf ağları aşan İsviçre çakısı olmaya devam eder. IKEv2/IPsec mobilin işçisidir. L2TP/IPsec ve PPTP’yi legacy olarak görün. 2026 için tutarlı sonuç almak adına WireGuard ile başlayın, OpenVPN-UDP’ye geri dönün, ağ düşmanca olduğunda obfuscation ile OpenVPN-TCP 443’e geçin.

VPN protokolleri – farklar, güvenlik ve performans karşılaştırması