Linux Üzerinde StrongSwan ile IPsec IKEv2 VPN Sunucusu Kurulumu

IPsec/IKEv2, Windows, macOS, iOS ve Android’in yerleşik VPN istemcilerinin doğrudan desteklediği standart bir VPN protokolü. Linux tarafında bu standardın en yaygın uygulaması strongSwan. Ek uygulama kurdurmadan şirket dizüstülerine ve telefonlara VPN tanımlamak istiyorsanız doğru adres burası. Kurulum için root erişimli bir Linux sunucu yeterli; henüz yoksa bir VDS kiralayıp rehbere hemen başlayabilirsiniz.

Bu rehberde strongSwan’ı güncel swanctl yöntemiyle kuruyoruz. Kendi CA’mızı ve sunucu sertifikamızı pki aracıyla üretiyor, swanctl.conf içinde IKEv2 bağlantısını, IP havuzunu ve EAP-MSCHAPv2 kullanıcılarını tanımlıyor, firewall ile NAT’ı ayarlıyor ve Windows, Android, iOS ile Linux istemcilerini bağlıyoruz. Son bölümde IKE SA, kimlik doğrulama, sertifika, proposal ve NAT hatalarını tek tek ele alıyoruz.

Örnek Topoloji ve Kullanılan Değerler

203.0.113.0/24 ve 198.51.100.0/24 blokları RFC 5737 ile belgeler için ayrılmış örnek adreslerdir; komutlarda bunları kendi sunucu ve istemci IP’nizle değiştirin. Örnek sunucu: Ubuntu Server 24.04 LTS, 2 vCPU, 2–4 GB RAM, 30 GB+ NVMe/SSD disk, public IPv4 ve root SSH erişimi. Debian 12/13’te farklılaşan noktaları ilgili adımlarda belirttik.

Terminal çıktıları hakkında: Çıktılar, Ubuntu 24.04’te bu komutların tipik görünümünü gösteren örneklerdir. Paket sürümü, tarih, PID, anahtar ve trafik değerleri sizin sunucunuzda farklı olur. Önemli olan, kontrol komutlarında anlatılan durumu görmenizdir. Her terminalin sağ üstündeki düğmeyle o adımın komutlarını kopyalayabilirsiniz.

strongSwan ve IKEv2 Nedir?

strongSwan, Linux için açık kaynak bir IPsec uygulamasıdır. IKEv2 protokolüyle anahtar değişimini yapar, trafiği ise Linux çekirdeğinin IPsec (XFRM) katmanı şifreler. IKEv2 bir IETF standardı olduğu için Windows, macOS, iOS ve Android’in yerleşik VPN istemcileri ek uygulama kurmadan bağlanabilir. Bu özellik kurumsal cihaz yönetiminde büyük kolaylıktır.

IKEv2 bağlantısı iki aşamada kurulur. Önce UDP 500 üzerinden bir IKE SA (yönetim kanalı) kurulur ve taraflar birbirini doğrular. Ardından veriyi taşıyan CHILD SA (ESP) oluşur. Arada NAT varsa trafik UDP 4500’e taşınır. MOBIKE desteği sayesinde telefon Wi-Fi’dan mobil veriye geçtiğinde tünel yeniden kurulmadan devam eder.

Hangi yapılandırma yöntemi? Eski ipsec.conf/ipsec komutu (stroke arayüzü) hâlâ çalışsa da strongSwan projesi yeni kurulumlarda swanctl ve swanctl.conf kullanılmasını öneriyor. Debian ve Ubuntu’da bunun karşılığı charon-systemd + strongswan-swanctl paketleridir. Biz de bu yöntemi kullanıyoruz. strongswan meta paketini kurmuyoruz, çünkü o eski strongswan-starter paketini de getirir.

strongSwan IKEv2 Kimler İçin Uygun?

• Kurumsal mobil cihazlar: Ek uygulama kurdurmadan iPhone, Mac ve Windows dizüstülere VPN tanımlamak için.
• Site-to-site bağlantılar: Firewall cihazları ve bulut ağ geçitleriyle standart IPsec tüneli kurmak için.
• MDM kullanan şirketler: VPN profilini cihaz yönetim sistemiyle dağıtmak için.
• Standart uyumu gereken projeler: IPsec/IKEv2 zorunluluğu olan tedarikçi veya müşteri bağlantıları için.

strongSwan Kurulum Öncesi Gereksinimler

VDS Neden IKEv2 VPN Sunucusu İçin Kullanılır?

Kendi bilgisayarınızda ya da ev internetinizde VPN sunucusu çalıştırmak mümkün olsa da sabit IP, açık port ve kesintisiz çalışma gerektirdiği için pratikte zorlanırsınız. VDS (sanal adanmış sunucu) bu ihtiyaçları tek pakette karşılar:

• Public IP: İstemciler her zaman aynı adrese bağlanır; dinamik IP veya CGNAT sorunu yaşanmaz.
• Root erişimi: Paket kurmak, çekirdek parametresi değiştirmek ve servis yönetmek için tam yetki gerekir.
• Sabit, 7/24 çalışan sunucu: Veri merkezindeki sunucu elektrik ve bağlantı kesintilerinden etkilenmez.
• Firewall ve port yönetimi: Hangi portun kime açık olacağını UFW veya nftables ile kendiniz belirlersiniz.
• Trafik ve kaynak kontrolü: CPU, RAM ve bant genişliğini başka müşterilerle paylaşmadan kullanırsınız.
• VPN yazılımı kurabilme: WireGuard çekirdek modülü ve /dev/net/tun aygıtı için KVM gibi tam sanallaştırma gerekir; bazı konteyner tabanlı sanal sunucularda bu modüller yüklenemez.
• Dağıtım seçimi: Ubuntu, Debian veya AlmaLinux gibi alıştığınız Linux dağıtımıyla başlarsınız.
• Kaynak yükseltme: Kullanıcı sayısı arttığında sunucuyu taşımadan daha güçlü bir pakete geçebilirsiniz.

IKEv2 sunucusu için sabit bir public IP şarttır, çünkü sunucu sertifikası bu adrese göre üretilir. Sabit IP’li ve root erişimli VDS paketleri ile bu rehberi kendi sunucunuzda uygulayabilirsiniz.

Sunucuyu Hazırlama: Bağlantı, Güncelleme ve Güvenlik Duvarı

strongSwan kurulumuna geçmeden önce sunucuyu hazırlıyoruz: güncel bir sistem, internete çıkan arayüzün adı, açılmış IP yönlendirmesi ve devrede bir güvenlik duvarı.

NAT neden gerekli? VPN istemcilerinin adresleri özel adreslerdir ve internette yönlendirilemez. Sunucu, istemciden gelen paketin kaynak adresini kendi public IP’siyle değiştirir (MASQUERADE) ve dönen cevabı tekrar istemciye iletir. UFW kullanan sistemlerde bu kuralı kalıcı tutmanın en temiz yolu, /etc/ufw/before.rules dosyasının en başına bir *nat bloğu eklemektir. Bunu kurulum adımlarında yapacağız.

strongSwan IKEv2 Kurulumu: Terminalde Adım Adım

Sertifika tabanlı sunucu kimliği ve kullanıcı adı/parola (EAP-MSCHAPv2) ile istemci doğrulaması kullanan, tüm büyük işletim sistemlerinin yerleşik istemcileriyle uyumlu bir IKEv2 sunucusu kuruyoruz. İstemcilere tek tek sertifika dağıtmak isterseniz remote bölümünde auth = pubkey kullanıp her cihaza CA ile imzalanmış bir istemci sertifikası verebilirsiniz.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
COMMIT

IKEv2 İstemci Bağlantısı: Windows, Android, iOS ve Linux

IKEv2’nin büyük avantajı, istemci tarafında çoğu zaman ek uygulama gerektirmemesidir. Her platformda ortak ilk adım aynı: /root/ikev2-pki/ca.cert.pem dosyasını cihaza aktarıp güvenilen kök sertifika olarak yüklemek.

• Windows 10/11: CA sertifikasını Yerel Bilgisayar → Güvenilen Kök Sertifika Yetkilileri deposuna yükleyin (aşağıdaki PowerShell komutları). Windows’un varsayılan IKEv2 önerileri eski DH gruplarını kullandığı için şifreleme ayarını Set-VpnConnectionIPsecConfiguration ile sunucudaki ilk öneriye eşitliyoruz.
• Android: Play Store’daki resmi strongSwan VPN Client uygulamasında tür olarak “IKEv2 EAP (Username/Password)” seçin; sunucu 203.0.113.10, CA sertifikası olarak ca.cert.pem. Android 11 ve sonrasında ayarlardaki yerleşik “IKEv2/IPSec MSCHAPv2” türü de kullanılabilir.
• iOS / iPadOS / macOS: ca.cert.pem dosyasını cihaza gönderip profil olarak yükleyin; iOS’ta ayrıca Genel → Hakkında → Sertifika Güven Ayarları bölümünden tam güveni açın. VPN ekleme ekranında Tür: IKEv2, Sunucu: 203.0.113.10, Uzak Kimlik: 203.0.113.10, Kullanıcı Kimlik Doğrulama: Kullanıcı Adı.
• Linux: NetworkManager için network-manager-strongswan eklentisini kurup “IPsec/IKEv2 (strongswan)” bağlantısı ekleyin: EAP kimlik doğrulama, sertifika olarak ca.cert.pem. Komut satırında charon-cmd paketiyle sudo charon-cmd --cert ca.cert.pem --host 203.0.113.10 --identity laptop çalıştırmak da mümkündür.

Windows’ta yönetici olarak açılmış PowerShell’de CA’yı içe aktarıyor, bağlantıyı oluşturuyor, şifreleme ayarını eşitliyor ve rasdial ile bağlanıyoruz:

Sunucu tarafında aktif tüneli swanctl --list-sas ile görüyoruz. ESTABLISHED IKE SA’nın, INSTALLED ise veri taşıyan CHILD SA’nın kurulduğunu gösterir. İstemciye havuzdan 10.10.10.1 adresi atanmış, in/out sayaçları da trafiğin iki yönde aktığını kanıtlıyor:

Yeni kullanıcı eklemek için secrets bölümüne yeni bir eap-… bloğu ekleyip swanctl --load-creds çalıştırmanız yeterli. Kullanıcıyı silip aynı komutu çalıştırdığınızda yeni girişleri engellenir; açık oturumu hemen kapatmak için swanctl --terminate --ike-id <numara> kullanın.

strongSwan Sorun Giderme

Kurulum sonrası sorun yaşarsanız önce journalctl -u strongswan -f ile logu açık tutup istemciden bağlanmayı deneyin; ardından aşağıdaki kartlarda belirtiye en yakın olanı bulun.

journalctl -u strongswan -f
tcpdump -ni eth0 udp port 500 or udp port 4500

tcpdump -ni eth0 udp port 500 -c 4

swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager | grep -i eap

swanctl --load-creds

pki --print --in /etc/swanctl/x509/server.cert.pem

swanctl --load-all

journalctl -u strongswan -n 50 --no-pager | grep -i proposal

swanctl --load-conns

swanctl --list-conns

swanctl --list-pools

ufw status verbose
journalctl -k -n 20 --no-pager | grep -i ufw

ufw status | grep -E "500|4500|10.10.10"

iptables -t nat -S POSTROUTING | grep 10.10
sysctl net.ipv4.ip_forward

curl -4 ifconfig.me   # istemcide

ping -M do -s 1372 -c 2 1.1.1.1   # istemcide

ufw reload

strongSwan IKEv2 ve Diğer VPN Teknolojileri

Bu seride dört VPN teknolojisini ayrı ayrı kuruyoruz. Her birinin güçlü olduğu alan farklı; tek bir “en iyi VPN” yok. Doğru seçim kullanım senaryonuza bağlı:

• Hızlı, sade ve modern bir tünel istiyorsanız WireGuard: kurulum rehberi.
• Sertifika tabanlı, merkezi olarak iptal edilebilir erişim ya da TCP 443 üzerinden bağlantı gerekiyorsa OpenVPN: kurulum rehberi.
• Aynı sunucuda farklı protokolleri ve grafik yönetimi bir arada istiyorsanız SoftEther: kurulum rehberi.
• Cihazlara uygulama kurdurmadan yerleşik istemcilerle bağlanmak istiyorsanız strongSwan IKEv2: bu yazı.

Ryzen VDS IKEv2 İçin Neden Tercih Edilebilir?

strongSwan anahtar değişimini charon sürecinde, veri şifrelemesini ise çekirdeğin IPsec katmanında yapar. AES-NI destekli modern işlemcilerde AES-GCM şifreleme çok verimli çalışır. Ancak çok sayıda tünel ve yüksek trafik olduğunda işlemci yine belirleyicidir: yüksek frekanslı bir Ryzen işlemci, el sıkışmaları ve paket şifrelemeyi daha düşük gecikmeyle tamamlar.

Bununla birlikte VPN performansı yalnızca işlemciye bağlı değildir. Sunucunun ağ kapasitesi ve port hızı, şifreleme yükü, eşzamanlı istemci sayısı, MTU ayarı, yönlendirme ve firewall kurallarının yükü, hatta istemcinin kendi internet bağlantısı sonucu birlikte belirler. Yanlış MTU ayarlı bir tünel, en güçlü işlemcide bile yavaş hissettirir.

Küçük bir ekip ya da kişisel kullanım için standart bir Linux VDS fazlasıyla yeterlidir. Çok sayıda kullanıcı, yüksek bant genişliği ya da VPN’in yanında web sunucusu ve izleme gibi başka servisler çalıştıracaksanız Ryzen 9 işlemcili, NVMe diskli ve 1 Gbit hatlı Ryzen VDS paketleri daha geniş bir performans payı bırakır.

IKEv2 VPN Sunucusunu Güvenli Hale Getirme

• SSH anahtarı kullanın: Kendi bilgisayarınızda ssh-keygen -t ed25519 ile anahtar üretip ssh-copy-id [email protected] ile sunucuya ekleyin. Anahtarla giriş yapabildiğinizi doğruladıktan sonra /etc/ssh/sshd_config.d/10-sertlestirme.conf dosyasına PasswordAuthentication no yazıp systemctl reload ssh çalıştırın.
• Root giriş politikası: Günlük yönetim için sudo yetkili ayrı bir kullanıcı açın ve PermitRootLogin no (ya da en azından prohibit-password) kullanın.
• Yalnızca gerekli portlar: Yukarıdaki tablo dışındaki portları kapalı tutun; kullanmadığınız servisleri durdurun.
• Düzenli güncelleme: Ubuntu’da kurulu gelen unattended-upgrades güvenlik güncellemelerini otomatik uygular; dpkg-reconfigure -plow unattended-upgrades ile açık olduğundan emin olun.
• CA anahtarını sunucudan ayırın: /root/ikev2-pki/ca.key.pem strongSwan’ın yüklediği klasörlerde değildir; mümkünse bu dosyayı çevrimdışı bir ortama taşıyın. /etc/swanctl/private/ ve /etc/swanctl/conf.d/ dosyaları yalnızca root tarafından okunabilir olmalı.
• Güçlü EAP parolaları: Her kullanıcıya en az 16 karakterli, tekrar kullanılmayan bir parola verin; daha yüksek güvenlik için istemci sertifikası (auth = pubkey) kullanmayı düşünün.
• Log takibi: journalctl -u strongswan ile IKE kayıtlarını, swanctl --list-sas ile aktif tünelleri izleyin. Parolalı SSH açıksa fail2ban’ı SSH için kullanın.
• Yedekleme: /etc/swanctl ve /root/ikev2-pki klasörlerini şifreli olarak sunucu dışında yedekleyin. Önem Bilişim’de sepette seçilebilen ücretli Sunucu Yedekleme hizmeti, sunucunun günlük otomatik yedeğini alır.
• VPN kullanıcılarının yönetimi: Her cihaza ayrı anahtar, sertifika veya kullanıcı verin. Kimin hangi erişime sahip olduğunu bir listede tutun; ayrılan kişilerin erişimini aynı gün kaldırın.
• Sistem izleme: CPU, RAM, bant genişliği ve servis durumunu izleyin. vnstat trafik geçmişi için, harici bir çalışma süresi kontrolü de sunucunun erişilebilirliği için iyi bir başlangıçtır.

Sonuç

strongSwan, IPsec/IKEv2 standardı sayesinde yerleşik istemcilerle ve kurumsal ağ cihazlarıyla doğal uyum sağlıyor. swanctl ile tek dosyada toplanan yapılandırma, sertifika tabanlı sunucu kimliği ve EAP ile kullanıcı doğrulaması, kurumsal cihaz filoları için düzenli ve yönetilebilir bir VPN sunar.

Rehberi uygulamak için VDS kiralayarak sabit IP’li bir Linux sunucuyla başlayabilirsiniz. Çok sayıda tünel ve yüksek trafik için Ryzen VDS kiralayarak daha güçlü bir işlemciyle ilerleyebilirsiniz.

İlginizi çekebilir: WireGuard VPN kurulumu ve istemci yapılandırması

Sıkça Sorulan Sorular

strongSwan ne işe yarar?

strongSwan, Linux’ta IPsec/IKEv2 VPN sunucusu ve istemcisi çalıştırmaya yarar. En büyük avantajı Windows, macOS, iOS ve Android’in yerleşik VPN istemcileriyle ek uygulama gerektirmeden bağlanabilmesidir.

IKEv2 hangi portları kullanır?

IKE için UDP 500, NAT arkasındaki istemciler için UDP 4500 kullanılır. İkisinin de firewall’da açık olması gerekir.

swanctl mi ipsec.conf mu?

Yeni kurulumlarda strongSwan projesi swanctl ve swanctl.conf kullanılmasını önerir. Eski ipsec.conf yöntemi hâlâ çalışsa da artık eski (legacy) kabul edilir.

Windows’ta 13801 hatası neden olur?

“IKE authentication credentials are unacceptable” hatası genellikle CA’nın Yerel Bilgisayar deposuna yüklenmemesinden ya da sunucu sertifikasının SAN alanında bağlanılan adresin bulunmamasından kaynaklanır.

iPhone’a uygulama kurmadan IKEv2 VPN bağlanabilir mi?

Evet. CA sertifikasını profil olarak yükleyip güven ayarını açtıktan sonra Ayarlar → VPN bölümünden IKEv2 türünde bağlantı ekleyebilirsiniz.

IKEv2 sunucusu için kaç GB RAM gerekir?

strongSwan hafiftir; 512 MB–1 GB RAM çoğu küçük ve orta ekibe yeter. Şifreleme çekirdekte yapıldığı için asıl yük işlemcidedir.

Ryzen VDS VPN için uygun mudur?

Evet. Ryzen işlemciler AES-NI desteklidir ve yüksek frekansları sayesinde çok sayıda IPsec tünelinde şifreleme yükünü rahat taşır. Ağ kapasitesi ve MTU ayarı da sonucu belirler.