AmneziaWG

Keywords

Self-Host an AmneziaWG VPN Server — Complete Guide

AmneziaWG is a protocol designed to solve a specific problem: how do you get WireGuard’s speed when the networks you’re connecting through actively try to block it? It’s a fork of WireGuard built by the Amnezia VPN team, and it does one thing that the original doesn’t — it randomizes the transport layer so Deep Packet Inspection systems can’t fingerprint it. The encryption underneath stays exactly the same. What changes is how the packets look on the wire.

The broader landscape of VPN obfuscation has been an arms race for years. Tools like Shadowsocks, VLESS+Reality, and OpenVPN with obfs4 all attempt to disguise traffic in different ways — some as proxies, some as full tunnels, some with heavy performance costs. AmneziaWG sits in a specific niche: it’s a full VPN tunnel with WireGuard-level performance and built-in DPI resistance, all in one package. And since it’s open-source, you can self-host it on your own server.

But here’s the problem that makes this necessary. You set up WireGuard. It works perfectly — fast, clean, reliable. Then one day it stops. No error message, no timeout, no connection refused. The packets just vanish. That’s what DPI blocking looks like in practice: your tunnel is still running, your config is still correct, and nothing gets through. This is the reality in Russia (where WireGuard has roughly a 12% success rate), Iran (98% packet loss), and a growing list of countries including China, Egypt, UAE, Turkey, Belarus, Uzbekistan, Kazakhstan, Myanmar, and Pakistan.

Traditional alternatives don’t fully solve this. Shadowsocks is a proxy, not a full VPN tunnel — your DNS and non-TCP traffic still leak. OpenVPN with obfs4 works but carries roughly 25% performance overhead. VLESS+Reality offers strong obfuscation but is proxy-based and complex to configure. AmneziaWG fills the gap: a complete VPN tunnel with WireGuard’s speed and DPI resistance baked in.

This guide walks you through deploying a fully functional AmneziaWG 2.0 server on any KVM VPS in under 15 minutes using a single community installer script. By the end, you’ll have a working VPN tunnel you can connect to from any device. The steps are provider-agnostic — they work on any VPS with root SSH access, whether that’s from AlexHost, AvaHost, or elsewhere. This is written for intermediate tech users who are comfortable with SSH and basic Linux commands.

One clarification before we start: AmneziaWG is the protocol. AmneziaVPN is the client app that connects to it. They’re related but distinct — like TLS is to your browser. You’ll need the app to connect, but the protocol is what runs on your server.

But before we deploy anything, you need to understand what makes AmneziaWG different from WireGuard — and why that difference matters when DPI is watching.

What Is AmneziaWG? (The Mental Model)

WireGuard is elegant by design. It has a small codebase, uses modern cryptography, and runs in the Linux kernel for near-native performance. But that elegance comes with a visibility problem: every WireGuard packet carries the same fixed header structure, the same fixed packet sizes, and the same handshake pattern. To a Deep Packet Inspection system, a WireGuard tunnel has a signature as clear as a barcode. Once a DPI box learns that signature, it can drop every packet without blocking the port or closing the connection.

Think of it this way. WireGuard is like a courier who always wears the same uniform — fast, reliable, and efficient. But anyone watching the road learns to recognize that uniform and can stop the courier at any checkpoint. AmneziaWG is the same courier carrying the same packages, but they change uniforms at every checkpoint. Same person, same cargo, completely different appearance.

The version history matters here. AmneziaWG 1.x introduced custom headers that differed from WireGuard’s fixed values — it helped for a while, but DPI systems adapted. AmneziaWG 2.0, released in late 2025, randomizes everything: headers change per packet, padding varies per message, and decoy packets mimic other protocols before the real handshake begins. There is no universal signature to detect because every AmneziaWG 2.0 server generates its own unique parameter set. Each server speaks its own dialect.

When all obfuscation parameters are set to zero, AmneziaWG behaves identically to WireGuard — it’s fully backward compatible at the protocol level. But with parameters active (which is the default), it becomes something WireGuard cannot be: a fast VPN tunnel that DPI systems struggle to identify.

So how exactly does AmneziaWG scramble its traffic? Let’s look at the four obfuscation layers that make DPI blind — and why they add almost no speed cost.

How AmneziaWG Hides From DPI (Without Losing Speed)

AmneziaWG 2.0 uses four layered obfuscation techniques that work together. Each one targets a different way DPI systems identify VPN traffic. Together, they make every server’s traffic look unique.

Dynamic Headers (H1–H4)

WireGuard uses fixed 32-bit message type identifiers:

• 1 — for initiation
• 2 — for response
• 3 — for cookie reply
• 4 — for data

A DPI box scanning traffic just looks for these values. AmneziaWG 2.0 replaces each fixed value with a random number drawn from a configured range. The initiation header (H1) might be any value between 234567 and 345678. The response header (H2) might be between 3456789 and 4567890. These ranges never overlap — the protocol still needs to distinguish packet types internally — but to an outside observer, there’s no single header value to latch onto. Every packet looks different from the last.

Random Padding (S1–S4)

WireGuard’s initiation packet is always exactly 148 bytes. Its response is always exactly 92 bytes. These fixed sizes are another fingerprint. AmneziaWG adds random padding to each packet type: the initiation becomes 148+S1 bytes, the response becomes 92+S2 bytes, the cookie reply becomes 64+S3 bytes, and every data packet gets S4 bytes of padding. S3 and S4 are new in version 2.0 — and S4 is the most significant addition because it touches every single data packet, making session-wide traffic analysis much harder.

There’s one critical constraint: S1+56 must not equal S2. Since the original size difference between initiation and response is 56 bytes (148−92), if the padding values happened to compensate for exactly that difference, the two padded packets would end up the same size — recreating the fingerprint AmneziaWG is trying to eliminate. The installer’s parameter generator enforces this constraint automatically.

Custom Protocol Signature (I1–I5)

Before the real WireGuard handshake begins, the AmneziaWG client sends up to five decoy packets that mimic other protocols — QUIC, DNS, SIP, or custom byte patterns. The server ignores these packets entirely. It just waits for the real handshake.

• A simple configuration: Sends 128 random bytes <r 128>.
• A sophisticated configuration: Sends bytes that look like a QUIC connection initiation (<b 0xc000000001><r 64><t>), complete with a Unix timestamp.

To a DPI system watching the session start, the first packets look like normal web traffic.

Junk Packets (Jc, Jmin, Jmax)

After the decoy packets, the client fires a configurable number of junk packets — pure noise with random sizes between Jmin and Jmax. These blur the timing and size profile of the session start, making it harder for DPI systems to identify where the real handshake begins.

The Speed Question

There’s a number that’s been circulating online: AmneziaWG has 65% overhead. That figure is real, but it refers to the userspace Go implementation — not the kernel module. The community installer used in this guide builds a DKMS kernel module, and the kernel module adds less than 12% overhead total — closer to 3% in real-world benchmarks. On an uncensored network, you’d see roughly 95 Mbps through WireGuard and 92 Mbps through AmneziaWG 2.0. In a censored network, the comparison is 92 Mbps versus zero.

The following table summarizes the parameters the installer generates automatically:

Jc

6

Jmin

55

Jmax

380

S1

72

S2

56

S3

32

S4

16

H1

234567-345678

H2

3456789-4567890

H3

56789012-67890123

H4

456789012-567890123

I1

<r N>

<r 128>

You don’t need to set any of these manually. The installer generates cryptographically random, constraint-valid values every time.

Now that you know how the obfuscation works, let’s see how AmneziaWG stacks up against the alternatives you might be considering.

AmneziaWG vs Alternatives — Quick Decision Guide

The decision rules are straightforward:

• No DPI in your country? Use plain WireGuard. It’s simpler and has a larger ecosystem.
• Need maximum DPI resistance and OK with a proxy? VLESS+Reality is the strongest option for obfuscation, but it’s not a full tunnel.
• Want both speed and a full tunnel with obfuscation? AmneziaWG 2.0 is the only option that delivers WireGuard-grade performance with real DPI resistance in a complete VPN tunnel.
• Already using OpenVPN+obfs4 and it still works? No urgent need to switch, but AmneziaWG will be noticeably faster.

This article focuses on AmneziaWG because it’s the only protocol that gives you a full tunnel, kernel-level performance, and built-in obfuscation — all configured by a single script.

If AmneziaWG is the right choice for your situation, here’s exactly what you need before we start deploying.

What You’ll Need Before Starting

Before running the installer, make sure your environment meets these requirements:

curl pre-installed.

⚠️ Warning: LXC containers are not supported. If your VPS uses LXC virtualization, the DKMS kernel module build will fail. You must use KVM or bare-metal. Check with your provider if you’re unsure.

⚠️ Warning: If your SSH runs on a non-standard port (anything other than 22), you must open it in UFW before running the installer:

sudo ufw allow YOUR_PORT/tcp

Replace

YOUR_PORT

with your actual SSH port. The installer enables UFW with a default-deny policy — if your SSH port isn’t allowed, you’ll be locked out immediately.

💡 Tip: Wait 5–10 minutes after creating your VPS before running the installer. Cloud-init and background initialization processes can conflict with the

apt-get

calls the installer makes.

With your VPS ready and prerequisites confirmed, let’s deploy AmneziaWG 2.0 using the community installer script — the fastest and most transparent method.

Anahtar Kelimeler

AmneziaWG VPN Sunucusunu Kendi Kendinize Barındırma — Tam Kılavuz

AmneziaWG, belirli bir sorunu çözmek için tasarlanmış bir protokoldür: Bağlandığınız ağlar WireGuard’ın hızını engellemeye aktif olarak çalıştığında nasıl WireGuard’ın hızını elde edersiniz? Amnezia VPN ekibi tarafından oluşturulmuş bir WireGuard çatalıdır ve orijinalinin yapmadığı bir şeyi yapar — taşıma katmanını rastgeleleştirir, böylece Derin Paket İncelemesi sistemleri onu parmak izi çıkaramaz. Altındaki şifreleme tam olarak aynı kalır. Değişen, paketlerin kabloda nasıl göründüğüdür.

VPN obfuscation’ın daha geniş manzarası yıllardır bir silahlanma yarışı olmuştur. Shadowsocks, VLESS+Reality ve obfs4 ile OpenVPN gibi araçlar, trafiği farklı şekillerde gizlemeye çalışır — bazıları proxy olarak, bazıları tam tünel olarak, bazıları ise ağır performans maliyetleri ile. AmneziaWG belirli bir nişte yer alır: WireGuard seviyesinde performansa ve yerleşik DPI direncine sahip tam bir VPN tüneli, hepsi bir pakette. Ve açık kaynak olduğu için, kendi sunucunuzda kendiniz barındırabilirsiniz.

Ama bu durumu gerekli kılan sorun burada. WireGuard’ı kuruyorsunuz. Mükemmel çalışıyor — hızlı, temiz, güvenilir. Sonra bir gün duruyor. Hiçbir hata mesajı yok, zaman aşımı yok, bağlantı reddedilmedi. Paketler sadece kayboluyor. DPI engellemesinin pratikte nasıl göründüğüdür: tüneliniz hala çalışıyor, yapılandırmanız hala doğru ve hiçbir şey geçmiyor. Bu, Rusya’da (WireGuard’ın yaklaşık %12 başarı oranı), İran’da (%98 paket kaybı) ve Çin, Mısır, BAE, Türkiye, Belarus, Özbekistan, Kazakistan, Myanmar ve Pakistan gibi artan bir ülkeler listesinde gerçektir.

Geleneksel alternatifler bunu tam olarak çözmüyor. Shadowsocks bir proxy’dir, tam bir VPN tüneli değildir — DNS ve TCP dışı trafiğiniz hala sızar. Obfs4 ile OpenVPN çalışır ama yaklaşık %25 performans fazlası taşır. VLESS+Reality güçlü obfuscation sunar ama proxy tabanlıdır ve yapılandırması karmaşıktır. AmneziaWG bu boşluğu doldurur: WireGuard’ın hızı ve yerleşik DPI direnci ile tam bir VPN tüneli.

Bu kılavuz, herhangi bir KVM VPS üzerinde 15 dakikadan daha kısa sürede tamamen işlevsel bir AmneziaWG 2.0 sunucusu dağıtmanızı sağlar. Sonunda, herhangi bir cihazdan bağlanabileceğiniz çalışan bir VPN tüneliniz olacak. Adımlar sağlayıcıdan bağımsızdır — kök SSH erişimi olan herhangi bir VPS’de çalışır, ister AlexHost, AvaHost veya başka bir yerden olsun. Bu, SSH ve temel Linux komutları ile rahat olan ara düzey teknik kullanıcılar için yazılmıştır.

Başlamadan önce bir açıklama: AmneziaWG protokoldür. AmneziaVPN, ona bağlanan istemci uygulamasıdır. İkisi ilişkili ama farklıdır — TLS’nin tarayıcınıza olduğu gibi. Bağlanmak için uygulamaya ihtiyacınız olacak, ancak sunucunuzda çalışan protokol budur.

Ama herhangi bir şeyi dağıtmadan önce, AmneziaWG’nin WireGuard’dan neyin farklı olduğunu ve DPI’nin izlediği zaman bu farkın neden önemli olduğunu anlamanız gerekiyor.

AmneziaWG Nedir? (Zihinsel Model)

WireGuard tasarım itibarıyla zarif bir yapıya sahiptir. Küçük bir kod tabanına sahiptir, modern kriptografi kullanır ve neredeyse yerel performans için Linux çekirdeğinde çalışır. Ancak bu zarafet, bir görünürlük sorunu ile gelir: her WireGuard paketi aynı sabit başlık yapısını, aynı sabit paket boyutlarını ve aynı el sıkışma desenini taşır. Bir Derin Paket İncelemesi sistemi için, bir WireGuard tünelinin imzası bir barkod kadar nettir. Bir DPI cihazı bu imzayı öğrendiğinde, bağlantıyı kapatmadan veya portu kapatmadan her paketi düşürebilir.

Bunu şöyle düşünün. WireGuard, her zaman aynı üniformayı giyen bir kuryeye benzer — hızlı, güvenilir ve verimli. Ama yolda birini izleyen herkes o üniformayı tanımayı öğrenir ve kuryeyi her kontrol noktasında durdurabilir. AmneziaWG, aynı paketleri taşıyan aynı kurye ama her kontrol noktasında üniformasını değiştirir. Aynı kişi, aynı yük, tamamen farklı bir görünüm.

Sürüm geçmişi burada önemlidir. AmneziaWG 1.x, WireGuard’ın sabit değerlerinden farklı özel başlıklar tanıttı — bir süre yardımcı oldu, ama DPI sistemleri uyum sağladı. AmneziaWG 2.0, 2025’in sonlarında piyasaya sürüldü, her şeyi rastgeleleştirir: başlıklar her pakette değişir, dolgu her mesajda değişir ve sahte paketler gerçek el sıkışma başlamadan önce diğer protokolleri taklit eder. Tespit edilecek evrensel bir imza yoktur çünkü her AmneziaWG 2.0 sunucusu kendi benzersiz parametre setini üretir. Her sunucu kendi lehçesinde konuşur.

Tüm obfuscation parametreleri sıfıra ayarlandığında, AmneziaWG WireGuard ile aynı şekilde davranır — protokol düzeyinde tamamen geriye dönük uyumludur. Ancak parametreler aktif olduğunda (bu varsayılandır), WireGuard’ın olamayacağı bir şey haline gelir: DPI sistemlerinin tanımlamakta zorlandığı hızlı bir VPN tüneli.

Peki AmneziaWG trafiğini tam olarak nasıl karıştırıyor? DPI’yi kör eden dört obfuscation katmanına bakalım — ve neden neredeyse hiç hız maliyeti eklemezler.

AmneziaWG DPI’den Nasıl Gizlenir (Hız Kaybetmeden)

AmneziaWG 2.0, birlikte çalışan dört katmanlı obfuscation tekniği kullanır. Her biri, DPI sistemlerinin VPN trafiğini tanımlamanın farklı bir yolunu hedef alır. Birlikte, her sunucunun trafiğini benzersiz hale getirir.

Dinamik Başlıklar (H1–H4)

WireGuard, sabit 32-bit mesaj türü tanımlayıcıları kullanır:

• 1 — başlatma için
• 2 — yanıt için
• 3 — çerez yanıtı için
• 4 — veri için

Bir DPI cihazı trafiği tararken sadece bu değerleri arar. AmneziaWG 2.0, her sabit değeri yapılandırılmış bir aralıktan rastgele bir sayı ile değiştirir. Başlatma başlığı (H1) 234567 ile 345678 arasında herhangi bir değer olabilir. Yanıt başlığı (H2) 3456789 ile 4567890 arasında olabilir. Bu aralıklar asla örtüşmez — protokol hala paket türlerini dahili olarak ayırt etmesi gerekir — ama dışarıdan bir gözlemci için, tutunacak tek bir başlık değeri yoktur. Her paket, sonuncusundan farklı görünür.

Rastgele Dolgu (S1–S4)

WireGuard’ın başlatma paketi her zaman tam olarak 148 bayttır. Yanıtı her zaman tam olarak 92 bayttır. Bu sabit boyutlar başka bir parmak izi oluşturur. AmneziaWG, her paket türüne rastgele dolgu ekler: başlatma 148+S1 bayt olur, yanıt 92+S2 bayt olur, çerez yanıtı 64+S3 bayt olur ve her veri paketi S4 bayt dolgu alır. S3 ve S4, 2.0 sürümünde yenidir — ve S4, her veri paketini etkilediği için en önemli eklemedir, oturum genelinde trafik analizini çok daha zor hale getirir.

Bir kritik kısıtlama vardır: S1+56, S2’ye eşit olmamalıdır. Başlatma ve yanıt arasındaki orijinal boyut farkı 56 bayt (148−92) olduğundan, dolgu değerleri tam olarak bu farkı telafi ederse, iki dolgu paketi aynı boyutta olur — AmneziaWG’nin ortadan kaldırmaya çalıştığı parmak izini yeniden oluşturur. Yükleyicinin parametre üreticisi bu kısıtlamayı otomatik olarak uygular.

Özel Protokol İmzası (I1–I5)

Gerçek WireGuard el sıkışması başlamadan önce, AmneziaWG istemcisi, diğer protokolleri taklit eden beş sahte paket gönderebilir — QUIC, DNS, SIP veya özel bayt desenleri. Sunucu bu paketleri tamamen görmezden gelir. Gerçek el sıkışmayı bekler.

• basit bir yapılandırma: 128 rastgele bayt gönderir <r 128>.
• gelişmiş bir yapılandırma: Bir QUIC bağlantı başlatma gibi görünen baytlar gönderir (<b 0xc000000001><r 64><t>), bir Unix zaman damgası ile birlikte.

DPI sistemi oturumu izlerken, ilk paketler normal web trafiği gibi görünür.

Gereksiz Paketler (Jc, Jmin, Jmax)

Sahte paketlerden sonra, istemci yapılandırılabilir sayıda gereksiz paket gönderir — Jmin ile Jmax arasında rastgele boyutlarda saf gürültü. Bunlar, oturum başlangıcının zamanlama ve boyut profilini bulanıklaştırır, DPI sistemlerinin gerçek el sıkışmanın nerede başladığını tanımlamasını zorlaştırır.

Hız Sorusu

Çevrimiçi dolaşan bir sayı var: AmneziaWG’nin %65 fazlası var. Bu rakam gerçektir, ancak kullanıcı alanı Go uygulamasına atıfta bulunur — çekirdek modülüne değil. Bu kılavuzda kullanılan topluluk yükleyicisi, bir DKMS çekirdek modülü oluşturur ve çekirdek modülü toplamda %12’den daha az fazlalık ekler — gerçek dünya benchmarklarında %3’e daha yakındır. Sansürsüz bir ağda, WireGuard üzerinden yaklaşık 95 Mbps ve AmneziaWG 2.0 üzerinden yaklaşık 92 Mbps görürsünüz. Sansürlü bir ağda, karşılaştırma 92 Mbps’e karşı sıfırdır.

Aşağıdaki tablo, yükleyicinin otomatik olarak ürettiği parametreleri özetlemektedir:

Jc

6

Jmin

55

Jmax

380

S1

72

S2

56

S3

32

S4

16

H1

234567-345678

H2

3456789-4567890

H3

56789012-67890123

H4

456789012-567890123

I1

<r N>

<r 128>

Bu değerlerden hiçbirini manuel olarak ayarlamanıza gerek yoktur. Yükleyici, her seferinde kriptografik olarak rastgele, kısıtlama geçerli değerler üretir.

Artık obfuscation’ın nasıl çalıştığını bildiğinize göre, AmneziaWG’nin düşündüğünüz alternatiflerle nasıl karşılaştırıldığını görelim.

AmneziaWG ve Alternatifler — Hızlı Karar Kılavuzu

Karar kuralları açıktır:

• Ülkenizde DPI yok mu? Basit WireGuard kullanın. Daha basit ve daha büyük bir ekosisteme sahiptir.
• Maksimum DPI direncine ihtiyacınız var ve bir proxy ile sorun yok mu? VLESS+Reality, obfuscation için en güçlü seçenektir, ancak tam bir tünel değildir.
• Hem hız hem de obfuscation ile tam bir tünel mi istiyorsunuz? AmneziaWG 2.0, WireGuard seviyesinde performans sunan ve gerçek DPI direncine sahip tek seçenektir.
• OpenVPN+obfs4 kullanıyorsanız ve hala çalışıyorsa? Geçiş yapmak için acil bir ihtiyaç yok, ancak AmneziaWG belirgin şekilde daha hızlı olacaktır.

Bu makale, tam bir tünel, çekirdek düzeyinde performans ve yerleşik obfuscation sunan tek protokol olduğu için AmneziaWG’ye odaklanmaktadır — hepsi tek bir script ile yapılandırılmıştır.

Eğer AmneziaWG, durumunuz için doğru seçimse, dağıtıma başlamadan önce tam olarak neye ihtiyacınız olduğunu burada bulabilirsiniz.

Başlamadan Önce İhtiyacınız Olanlar

Yükleyiciyi çalıştırmadan önce, ortamınızın bu gereksinimleri karşıladığından emin olun:

curl pre-installed.

⚠️ Uyarı: LXC konteynerleri desteklenmiyor. Eğer VPS’niz LXC sanallaştırması kullanıyorsa, DKMS çekirdek modülü derlemesi başarısız olacaktır. KVM veya bare-metal kullanmalısınız. Emin değilseniz sağlayıcınızla kontrol edin.

⚠️ Uyarı: Eğer SSH’niz standart olmayan bir portta (22 dışında herhangi bir şey) çalışıyorsa, yükleyiciyi çalıştırmadan önce UFW’de açmalısınız:

sudo ufw allow YOUR_PORT/tcp

YOUR_PORT

ile gerçek SSH portunuzu değiştirin. Yükleyici, varsayılan olarak reddetme politikası ile UFW’yi etkinleştirir — eğer SSH portunuz izin verilmezse, hemen kilitlenirsiniz.

💡 İpucu: VPS’nizi oluşturduktan sonra yükleyiciyi çalıştırmadan önce 5–10 dakika bekleyin. Cloud-init ve arka planda başlatma süreçleri, yükleyicinin yaptığı çağrılarla çakışabilir.

VPS’niz hazır ve ön koşullar onaylandıktan sonra, topluluk yükleyici scriptini kullanarak AmneziaWG 2.0’ı dağıtalım — en hızlı ve en şeffaf yöntem.

Anahtar Kelimeler

🔄 Güncelleme (Temmuz 2026): Bu kılavuz orijinal açıklamasını olduğu gibi tutar, ancak aşağıda gösterilen sabitlenmiş yükleyici etiketi v5.8.1 artık güncel değildir. amneziawg-installer‘ın en son sürümü v5.18.4‘tür ve Debian 12 ve 13 desteği, hazır ARM64 ve Raspberry Pi çekirdek modülleri, Ubuntu 25.10 ve 26.04, cascade modu ve daha fazla güvenlik iyileştirmesi ekler.

Bu kılavuzu bugün takip ederseniz, eski sabitlenmiş komutu wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.18.4/install_amneziawg_en.sh ile değiştirin veya dağıtmadan önce en son sürüm sayfasında mevcut etiketi doğrulayın.

Kendi Kendine Dağıtılan AmneziaWG VPN Sunucusu — Tam Rehber

AmneziaWG, belirli bir sorunu çözmek için tasarlanmış bir protokoldür: ağlar sizi aktif olarak engellemek için çalışırken WireGuard hızlarına nasıl ulaşılır? Amnezia VPN ekibi tarafından oluşturulan bir WireGuard çatalı olup, orijinalinin yapmadığını yapar — taşıma katmanını rastgele hale getirir, böylece derin paket inceleme sistemleri bunu tanımlayamaz. Şifreleme tamamen aynı kalır. Yalnızca ağdaki paketlerin görünümü değişir.

VPN gizleme ortamının geniş manzarası yıllar boyunca bir silahlanma yarışı olmuştur. Shadowsocks, VLESS+Reality ve obfs4 ile OpenVPN gibi araçlar trafiği çeşitli şekillerde gizlemeye çalışır — bazıları proxy olarak, bazıları tam tünel olarak, bazıları yüksek performans maliyeti ile. AmneziaWG belirli bir niş işgal eder: WireGuard seviyesi performansa ve yerleşik DPI korumasına sahip tam bir VPN tüneli, hepsi bir pakette. Ve açık kaynak olduğu için kendi sunucunuzda dağıtabilirsiniz.

Ancak bunu gerekli kılan sorun burada. WireGuard’ı ayarlarsınız. Mükemmel çalışır — hızlı, temiz, güvenilir. Sonra bir gün, durur. Hata mesajı yok, zaman aşımı yok, bağlantı reddi yok. Paketler sadece kaybolur. DPI engellemenin pratikte nasıl göründüğü budur: tüneliniz hala çalışıyor, yapılandırmanız hala doğru ve hiçbir şey geçmiyor. Bu zaten bazı ülkelerde gerçektir.

Geleneksel alternatifler bu sorunu tam olarak çözmez. Shadowsocks bir proxy’dir, tam bir VPN tüneli değildir — DNS’iniz ve TCP olmayan trafiğiniz yine de sızacaktır. obfs4 ile OpenVPN çalışır ancak yaklaşık %25 performans yükü vardır. VLESS+Reality güçlü gizleme sunar ancak proxy tabanlıdır ve kurulumu karmaşıktır. AmneziaWG boşluğu doldurur: WireGuard seviyesi performansa ve yerleşik DPI korumasına sahip tam bir VPN tüneli.

Bu rehber, herhangi bir KVM VPS’de tek bir topluluk yükleyici betiği kullanarak 15 dakikadan kısa sürede tam işlevli bir AmneziaWG 2.0 sunucusu dağıtmanız konusunda size rehberlik edecektir. Sonunda, herhangi bir cihazdan bağlanabileceğiniz çalışan bir VPN tüneline sahip olacaksınız. Adımlar sağlayıcıdan bağımsızdır — AvaHost’tan veya başka bir yerden olsun, SSH erişimi ve root ayrıcalıklarına sahip herhangi bir VPS’de çalışırlar. Bu, SSH ve temel Linux komutları ile çalışmaktan rahat olan ara seviye teknik beceriye sahip kullanıcılar için yazılmıştır.

Başlamadan önce bir açıklama: AmneziaWG bir protokoldür. AmneziaVPN, ona bağlanan bir istemci uygulamasıdır. İlişkili ancak farklıdırlar — tarayıcınız için TLS gibi. Bağlanmak için bir uygulamaya ihtiyacınız olacak, ancak protokol sunucunuzda çalışan şeydir.

Ancak herhangi bir şey dağıtmadan önce, AmneziaWG’yi WireGuard’dan farklı kılan şeyi anlamanız gerekir — ve DPI sizi izlerken bu fark neden önemlidir.

AmneziaWG Nedir? (Zihinsel Model)

WireGuard tasarımında zariftir. Küçük bir kod tabanına sahiptir, modern kriptografi kullanır ve neredeyse yerel performans için Linux çekirdeğinde çalışır. Ancak bu zarafet bir görünürlük sorununa sahiptir: her WireGuard paketi aynı sabit başlık yapısını, aynı sabit paket boyutlarını ve aynı el sıkışma desenini taşır. Derin paket incelemesi (DPI) sistemi için WireGuard tüneli bir barkod kadar net bir imzaya sahiptir. DPI cihazı bu imzayı öğrendikten sonra, portu engellemeden veya bağlantıyı kapatmadan her paketi bırakabilir.

AmneziaWG, Amnezia VPN ekibi tarafından oluşturulan WireGuard-Go’nun bir çatalıdır. WireGuard’ın mimari basitliğini miras aldı — aynı Curve25519 anahtar değişimi, aynı ChaCha20-Poly1305 şifrelemesi, aynı Noise IK el sıkışması. Tüm kriptografi değişmeden kalır ve ayrıca doğrulanmıştır. AmneziaWG’nin değiştirdiği şey taşıma katmanıdır: paket başlıkları, paket boyutları ve zamanlama desenleri.

Bunu şu şekilde düşünün. WireGuard, her zaman aynı üniformayı giyen bir kurye gibidir — hızlı, güvenilir ve verimli. Ancak yolu izleyen herkes o üniformayı tanımayı öğrenir ve kuriyeyi herhangi bir kontrol noktasında durdurabilir. AmneziaWG, aynı paketleri taşıyan aynı kurye, ancak her kontrol noktasında üniformasını değiştirir. Aynı kişi, aynı kargo, tamamen farklı bir görünüm.

Sürüm geçmişi önemlidir. AmneziaWG 1.x, WireGuard’ın sabit değerlerinden farklı olan özel başlıklar sundu — bu bir süre yardımcı oldu, ancak DPI sistemleri uyum sağladı. Aralık 2025’te yayınlanan AmneziaWG 2.0, her şeyi rastgeleştirir: başlıklar paketten pakete değişir, dolgu mesajdan mesaja değişir ve yedek paketler gerçek el sıkışmadan önce diğer protokolleri taklit eder. DPI sistemleri her AmneziaWG 2.0 sunucusu kendi benzersiz parametre setini oluşturduğu için tespit için evrensel bir imza yoktur. Her sunucu kendi lehçesini konuşur.

Tüm gizleme parametreleri sıfıra ayarlandığında, AmneziaWG WireGuard’la aynı şekilde davranır — protokol düzeyinde tamamen geriye dönük uyumludur. Ancak etkin parametrelerle (varsayılan ayar olan), WireGuard’ın olamayacağı şey olur: DPI sistemlerinin tanımlamakta zorlandığı hızlı bir VPN tüneli.

Peki AmneziaWG trafiğini tam olarak nasıl şifreler? DPI’yı kör yapan dört gizleme seviyesine ve neden neredeyse hiç hız maliyeti eklemediklerine bakalım.

AmneziaWG DPI’den Nasıl Gizlenir (Hız Kaybı Olmadan)

AmneziaWG 2.0, birlikte çalışan dört obfuskasyon seviyesi kullanır. Her biri DPI sistemlerinin VPN trafiğini tanımlamasının farklı bir yolunu hedefler. Birlikte, her sunucunun trafiğini benzersiz kılarlar.

Dinamik Başlıklar (H1–H4)

WireGuard sabit 32-bit mesaj türü tanımlayıcıları kullanır:

• 1 — başlatma için
• 2 — yanıt için
• 3 — çerez ile yanıt için
• 4 — veri için

Trafiği taraması yapan bir DPI cihazı basitçe bu değerleri arar. AmneziaWG 2.0, her sabit değeri belirtilen bir aralıktan seçilen rastgele bir sayı ile değiştirir. Başlatma başlığı (H1) 234567 ile 345678 arasında herhangi bir değer olabilir. Yanıt başlığı (H2) 3456789 ile 4567890 arasında olabilir. Bu aralıklar hiçbir zaman örtüşmez — protokol hala paket türlerini dahili olarak ayırt etmesi gerekir — ancak dış bir gözlemci için, tutunacak tek bir başlık değeri yoktur. Her paket bir öncekinden farklı görünür.

Rastgele Doldurma (S1–S4)

WireGuard’ın başlatma paketi her zaman tam olarak 148 bayttır. Yanıtı her zaman tam olarak 92 bayttır. Bu sabit boyutlar başka bir parmak izidir. AmneziaWG her paket türüne rastgele doldurma ekler: başlatma 148+S1 bayt haline gelir, yanıt 92+S2 bayt haline gelir, çerez ile yanıt 64+S3 bayt haline gelir ve her veri paketi S4 bayt doldurma alır. S3 ve S4 sürüm 2.0’da yenidir — ve S4 en önemli eklentidir, çünkü her tek veri paketini etkiler ve oturum düzeyinde trafik analizini çok daha zor hale getirir.

Bir kritik kısıtlama vardır: S1+56, S2’ye eşit olmamalıdır. Başlatma ve yanıt arasındaki orijinal boyut farkı 56 bayt (148−92) olduğundan, doldurma değerleri tam olarak bu farkı telafi ederse, iki dolgulu paket aynı boyutta sona erecek — AmneziaWG’nin ortadan kaldırmaya çalıştığı parmak izini yeniden oluşturacaktır. Yükleyicinin parametre oluşturucusu bu kısıtlamayı otomatik olarak sağlar.

Özel Protokol İmzası (I1–I5)

Gerçek el sıkışma başlamadan önce, AmneziaWG istemcisi diğer protokolleri taklit eden — QUIC, DNS, SIP veya özel bayt desenleri — beş adede kadar yedek paket gönderir. Sunucu bu paketleri tamamen yok sayar. Basitçe gerçek el sıkışmayı bekler.

• Basit yapılandırma: 128 rastgele bayt gönderir <r 128>.
• Karmaşık yapılandırma: QUIC bağlantısı başlatmaya benzeyen baytlar gönderir (<b 0xc000000001><r 64><t>), Unix zaman damgası ile.

Oturum başlangıcını gözlemleyen bir DPI sistemi için, ilk paketler normal web trafiği gibi görünür.

Çöp Paketler (Jc, Jmin, Jmax)

Yedek paketlerden sonra, istemci özelleştirilebilir sayıda çöp paketi gönderir — Jmin ile Jmax arasında rastgele boyutlara sahip saf gürültü. Bu paketler oturum başlangıcının zamanlama ve boyut profilini bulanıklaştırır, DPI sistemlerinin gerçek el sıkışmanın nerede başladığını tanımlamasını zorlaştırır.

Hız Sorusu

İnternette dolaşan bir sayı vardır: AmneziaWG’nin %65 ek yükü vardır. Bu rakam gerçektir, ancak kullanıcı alanı Go uygulamasına atıfta bulunur — çekirdek modülüne değil. Bu kılavuzda kullanılan topluluk yükleyicisi bir DKMS çekirdek modülü oluşturur ve çekirdek modülü genel olarak %12’den daha az ek yük ekler — gerçek testlerde %3’e daha yakındır. Sansürsüz bir ağda, WireGuard üzerinden yaklaşık 95 Mbps ve AmneziaWG 2.0 üzerinden 92 Mbps göreceksiniz. Sansürlü bir ağda, karşılaştırma 92 Mbps ile sıfır arasındadır.

Aşağıdaki tablo, yükleyicinin otomatik olarak oluşturduğu parametreleri özetlemektedir:

Bu parametrelerin hiçbirini el ile ayarlamanız gerekmez. Yükleyici, her seferinde kısıtlamaları karşılayan şifreli olarak rastgele değerler oluşturur.

Artık obfuskasyonun nasıl çalıştığını bildiğinize göre, AmneziaWG’nin düşünebileceğiniz alternatiflerle nasıl karşılaştırıldığını görelim.

AmneziaWG vs Alternatifler — Hızlı Karar Verme Rehberi

Karar verme kuralları basittir:

• Ülkenizde DPI yok mu? Normal WireGuard kullanın. Daha kolay ve daha geniş bir ekosisteme sahiptir.
• Maksimum DPI koruması gerekiyor ve proxy’leri göze alıyor musunuz? VLESS+Reality, gizleme için en güçlü seçenektir, ancak tam bir tünel değildir.
• Hız ve gizlemeli tam bir tünel istiyorsunuz? AmneziaWG 2.0, WireGuard düzeyinde performansı tam bir VPN tünelinde gerçek DPI koruması ile sunan tek seçenektir.
• Zaten OpenVPN+obfs4 kullanıyor ve hala çalışıyor mu? Acil geçiş ihtiyacı yok, ancak AmneziaWG belirgin şekilde daha hızlı olacaktır.

Bu makale AmneziaWG’ye odaklanmaktadır çünkü tam bir

Başlamadan Önce Gerekli Olanlar

Yükleyiciyi çalıştırmadan önce, ortamınızın bu gereksinimleri karşıladığından emin olun:

⚠️ Uyarı: LXC konteynerları desteklenmez. VPS’iniz LXC sanallaştırması kullanıyorsa, DKMS çekirdek modülü derlemesi başarısız olacaktır. KVM veya bare-metal kullanmalısınız. Emin değilseniz sağlayıcınıza danışın.

⚠️ Uyarı: SSH’niz standart olmayan bir portta çalışıyorsa (22 dışında herhangi bir port), yükleyiciyi çalıştırmadan önce UFW’de açmalısınız:
sudo ufw allow YOUR_PORT/tcp
YOUR_PORT yerine gerçek SSH portunuzu yazın. Yükleyici varsayılan bir ilke ile UFW içerir — SSH portunuz izin verilmiyorsa, hemen engelleneceksiniz.

💡 İpucu: VPS’inizi oluşturduktan sonra yükleyiciyi çalıştırmadan önce 5–10 dakika bekleyin. Cloud-init ve arka plan başlatma işlemleri yükleyicinin yaptığı apt-get çağrılarıyla çakışabilir.

VPS’iniz hazır ve ön koşullar do

Yöntem 1 — CLI Yükleyici ile Dağıtım (Önerilen)

Bu, birincil kurulum yöntemidir. Sürüm sabitlenen bir yükleyici betiğini indirecek, root olarak çalıştıracak, sekiz otomatik adımdan geçecek (iki beklenen yeniden başlatma ile) ve tamamen yapılandırılmış bir AmneziaWG 2.0 sunucusu elde edeceksiniz. Yükleyici her şeyi yönetir: paket kurulumu, çekirdek modülü derlenmesi, güvenlik duvarı yapılandırması, parametre oluşturma ve hizmet başlatma.

6.1 — SSH Üzerinden VPS’inize Bağlanın

Terminalinizi açın ve sunucunuza bağlanın:

ssh root@<SERVER_IP>

<SERVER_IP> yerine VPS’inizin gerçek genel IP adresini yazın. Sağlayıcınız size root olmayan bir kullanıcı verdiyse, o kullanıcı ile giriş yapın ve ardından yetkileri yükseltin:

ssh <username>@<SERVER_IP>
sudo -i

Ubuntu 24.04 hoş geldiniz başlığını ve ardından root komut istemini görmelisiniz:

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.8.0-xx-generic x86_64)
...
root@vps:~#

6.2 — Yükleyiciyi İndirin ve Çalıştırın

Yükleyici betiğini indirin, çalıştırılabilir yapın ve çalıştırın:

wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.8.1/install_amneziawg_en.sh

chmod +x install_amneziawg_en.sh

sudo bash ./install_amneziawg_en.sh

URL, v5.8.1 sürümüne sabitleniştir — Nisan 2026 itibariyle en son sürüm. Bu, tedarik zinciri güvenliğidir: depo güncellenmiş olsa bile, indirilen betiğin test edilen sürümle eşleşmesini sağlar.

Yükleyici sisteminizi kontrol ederek başlar:

============================================
AmneziaWG 2.0 Installer v5.8.1
============================================
Checking system requirements...
OS: Ubuntu 24.04 LTS — OK
Virtualization: KVM — OK
RAM: 1024 MB — OK
Disk: 25 GB free — OK

Herhangi bir kontrol başarısız olursa, yükleyici durur ve nedenini söyler. Sorunu çözün ve komutu yeniden çalıştırın.

6.3 — Yükleyici İstemlerinde Adım Adım Gidin

Yükleyici, yeniden başlatmadan sonra devam etme desteğine sahip sekiz adımlı bir durum makinesidir. İlerlemeyi /root/awg/awgsetup_cfg.init dosyasına kaydeder, bu nedenle sunucu yeniden başlatılırsa, aynı komutu çalıştırmanız yeterlidir ve kaldığı yerden devam eder.

Adım 0: Başlatma — Yükleyici işletim sisteminizi, sanallaştırma türünü, RAM’i ve disk alanını kontrol eder. /root/awg/ çalışma dizinini oluşturur ve paralel çalıştırmaları önlemek için bir kilit dosyası ayarlar.

Adım 1: Sistem Güncellemesi ve Paket Kurulumu — Yükleyici apt-get update && apt-get upgrade -y komutunu çalıştırır. Ardından AmneziaWG, DKMS, Linux başlıkları, UFW, Fail2Ban, QR kod oluşturma araçları ve diğer bağımlılıkları kurar.

📝 Not: Yükleyici ayrıca minimal VPS örneklerinde kaynakları tüketen birkaç arka plan hizmetini kaldırır: snapd, modemmanager, networkd-dispatcher, unattended-upgrades, packagekit, lxd-agent-loader ve udisks2. Bu, minimal VPN düğümleri için kasıtlı ve güvenlidir, ancak genel amaçlı ortamları bozabilir.

Adım 1 tamamlandığında, yükleyici yeniden başlatma ister:

Reboot required. Reboot now? [y/n]:

y yazın ve Enter tuşuna basın. Sunucu geri geldiğinde, SSH ile yeniden bağlanın ve aynı komutu çalıştırın:

sudo bash ./install_amneziawg_en.sh

Betik kaydedilmiş durumunu okur ve hiçbir istem yeniden sormadan Adım 2’ye devam eder.

Adım 2: DKMS Çekirdek Modülü Derlemesi — Yükleyici, AmneziaWG çekirdek modülünü mevcut çekirdeğinize karşı derler ve gelecekteki çekirdek güncellemelerinde otomatik yeniden derleme için DKMS’ye kaydeder:

Step 2: Building AmneziaWG kernel module via DKMS...
Creating symlink /var/lib/dkms/amneziawg/2.0/source -> /usr/src/amneziawg-2.0
DKMS: add completed.
Kernel preparation completed.
Building module:
make -C /lib/modules/6.8.0-xx-generic/build M=/var/lib/dkms/amneziawg/2.0/build modules
DKMS: build completed.
DKMS: install completed.

İkinci bir yeniden başlatma istenir. y yazın ve Enter tuşuna basın.

📝 Not: Kurulum sırasında iki yeniden başlatma normaldir ve beklenir. İlki yeni çekirdek başlıklarını yükler, ikincisi yeni derlenmiş çekirdek modülünü etkinleştirir. Betik yeniden başlatmalar arasında durumu kaydeder — hiçbir şey kaybolmaz.

İkinci yeniden başlatmadan sonra, SSH ile geri bağlanın ve yükleyiciyi bir kez daha çalıştırın:

sudo bash ./install_amneziawg_en.sh

Adım 3: Yeniden Başlatma Sonrası Modül Doğrulaması — Betik, çekirdek modülünün yüklendiğini doğrular (lsmod | grep amneziawg). DKMS derlemesi herhangi bir nedenle başarısız olursa, daha yüksek ek yükle ilgili bir uyarı ile userspace Go uygulamasına geri döner.

Adım 4: Güvenlik Duvarı Kurulumu — UFW, varsayılan olarak gelen trafiği reddetme ilkesiyle etkinleştirilir. Yükleyici, port 22’de SSH hız sınırlaması kuralı ekler, VPN portunuzu UDP trafiği için açar ve awg0 arayüzü için yönlendirme kurallarını yapılandırır.

Adım 5: Yönetim Betiklerini İndirin — İstemci yönetim betikleri (manage_amneziawg.sh ve awg_common.sh) /root/awg/ dizinine yalnızca sahip izinleriyle (700) indirilir. Bunlar da v5.8.1 sürümüne sabitleniştir.

Adım 6: Etkileşimli Yapılandırma — Yükleyici şimdi dört soru sorar:

• UDP portu (varsayılan: 39743, aralık 1024–65535). Varsayılan, rastgele bir yüksek porttur — ISP’niz yüksek UDP portlarını engellediği bilinmedikçe tutun.
• Tünel alt ağı (varsayılan: 10.9.9.1/24). Bu, iç VPN ağınızdır. Sunucu .1 alır, istemciler .2 ile .254 arasında alır ve 253 istemciye kadar destekler.
• IPv6’yı Devre Dışı Bırak (varsayılan: Y). Önerilen — IPv6’yı devre dışı bırakmak, trafiğin IPv6 rotaları üzerinden tünel dışında sızmasını önler.
• Yönlendirme moduTüm trafik için 1, Amnezia Listesi + DNS için 2 (önerilen) veya özel ağlar için 3 seçin. Mod 2, yalnızca engellenen genel IP aralıklarını ve DNS’yi VPN üzerinden yönlendirir, yerel ağ erişiminizi hızlı ve doğrudan tutar.

💡 İpucu: MTU varsayılan olarak 1280 olarak ayarlanır. Bu, minimum IPv6 MTU’sudur ve mobil ve hücresel ağlar için kritiktir. iOS, Path MTU Discovery konusunda katıdır ve hücresel ağlar genellikle WireGuard’ın varsayılan 1420’sinin altında etkili MTU’ya sahiptir. Bunu 1280’de bırakın.

Adım 7: Hizmet Başlatma — Yükleyici, sunucu yapılandırmasını /etc/amnezia/amneziawg/awg0.conf dosyasında oluşturur, iki varsayılan istemci yapılandırması (my_phone ve my_laptop) /root/awg/ dizininde oluşturur, QR kodları oluşturur ve awg-quick@awg0 systemd hizmetini başlatır.

Adım 8: Tamamlama — Başarı mesajını göreceksiniz:

Yükleyici tüm AmneziaWG 2.0 obfuskasyon parametrelerini otomatik olarak oluşturur. Bunlara dokunmanız gerekmez. Her sunucu benzersiz bir değer seti alır — DPI sistemlerinin algılaması için evrensel bir parmak izi yoktur.

6.4 — Kurulumdan Sonra İstemcileri Yönetin

/root/awg/manage_amneziawg.sh dosyasındaki yönetim betiği tüm istemci yaşam döngüsü işlemlerini yönetir. İşte temel komutlar:

Yeni istemci ekleyin:

sudo bash /root/awg/manage_amneziawg.sh add my_desktop

Bu, yeni istemci için bir .conf dosyası, QR kodu ve .vpnuri dosyası oluşturur. Sunucu yapılandırması sıcak yeniden yüklenir — hizmet yeniden başlatması gerekmez.

Otomatik olarak süresi dolan geçici istemci ekleyin:

sudo bash /root/awg/manage_amneziawg.sh add guest --expires=7d

Bir cron işi her beş dakikada bir kontrol eder ve istemcinin süresi dolduğunda otomatik olarak kaldırır. Yapılandırma, anahtarlar ve sunucu girişi tamamen temizlenir.

Tüm istemcileri listeleyin:

sudo bash /root/awg/manage_amneziawg.sh list

Clients:
  my_phone     (10.9.9.2/32)
  my_laptop    (10.9.9.3/32)
  my_desktop   (10.9.9.4/32)
  guest        (10.9.9.5/32) [expires in 6d 23h]

Genel anahtarlar ve oluşturma tarihleri dahil olmak üzere ek ayrıntılar için -v bayrağını ekleyin.

İstemciyi kaldırın:

sudo bash /root/awg/manage_amneziawg.sh remove guest

Tam sunucu durumunu kontrol edin:

sudo bash /root/awg/manage_amneziawg.sh check

Bu, hizmet durumunu, açık portu, tüm AWG 2.0 parametrelerini, çekirdek modülü durumunu, UFW durumunu ve Fail2Ban durumunu tek bir görünümde gösterir.

İstemci başına trafik istatistiklerini görüntüleyin:

sudo bash /root/awg/manage_amneziawg.sh stats

Client          Received        Sent            Latest handshake
───────────────────────────────────────────────────────────────────
my_phone        1.24 GiB        356.7 MiB       2 minutes ago
my_laptop       892.3 MiB       128.4 MiB       15 seconds ago
my_desktop      0 B             0 B             (none)

Yedek oluşturun:

sudo bash /root/awg/manage_amneziawg.sh backup

Bu, sunucu yapılandırması, istemci yapılandırmaları, anahtarlar ve sona erme verilerini içeren /root/awg/backups/ dizininde sıkıştırılmış bir arşiv oluşturur.

📝 Not: add ve remove komutları sıcak yeniden yükleme için awg syncconf kullanır. Sunucu yapılandırması hizmet yeniden başlatılmadan anında güncellenir. Yalnızca port veya MTU gibi sunucu tarafı parametrelerini değiştirirken restart kullanın.

6.5 — Sunucunun Çalıştığını Doğrulayın

Her şeyin operasyonel olduğunu doğrulamak için bu kontrolleri yapın:

Systemd hizmetini kontrol edin:

sudo systemctl status awg-quick@awg0

● awg-quick@awg0.service - AmneziaWG Quick via awg-quick(8) for awg0
     Loaded: loaded (/lib/systemd/system/awg-quick@.service; enabled)
     Active: active (exited) since Thu 2026-04-09 14:32:01 UTC

AmneziaWG durumunu ve parametrelerini doğrulayın:

sudo awg show awg0

Güvenlik duvarını doğrulayın:

sudo ufw status verbose

Status: active
Default: deny (incoming), allow (outgoing)
22/tcp                     LIMIT IN    Anywhere
39743/udp                  ALLOW IN    Anywhere

Fail2Ban’ı doğrulayın:

sudo fail2ban-client status sshd

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  `- Total failed: 0
`- Actions
   |- Currently banned: 0
   `- Banned IP list:

DKMS çekirdek modülünü doğrulayın:

dkms status

amneziawg/1.0.0, 6.8.0-110-generic, x86_64: installed

Beş kontrol da geçerse, AmneziaWG 2.0 sunucunuz çalışıyor ve bağlantıları kabul etmeye hazırdır.

Sunucunuz çalışıyor ve doğrulanmıştır. Terminal yerine GUI odaklı bir yaklaşımı tercih ederseniz, işte AmneziaVPN uygulamasını kullanarak alternatif yöntem.

Yöntem 2 — AmneziaVPN Uygulaması ile Dağıtım (Alternatif)

AmneziaVPN masaüstü uygulaması, SSH üzerinden sunucunuza AmneziaWG’yi otomatik olarak kurabilir. CLI yöntemiyle aynı temel yükleyici betiğini kullanır, ancak her şeyi rehberli bir arayüzde sunar. Uygulamayı elle kurmadan kurulum yapmak istiyorsanız bu ideal bir seçenektir.

1. AmneziaVPN’i indirin amnezia.org/en/downloads adresinden. Windows, macOS, Linux, Android ve iOS için mevcuttur.
2. Uygulamayı açın ve ➕ (artı simgesi) veya Başlayın düğmesine tıklayın.
3. “Kendi Barındırılan VPN”i seçin sunulan seçeneklerden.
4. Sunucu kimlik bilgilerinizi girin:
   • Sunucu IP adresi (SSH 22 numaralı bağlantı noktasında değilse bağlantı noktası, örn. 203.0.113.10:2221)
   • SSH kullanıcı adı (örn. root)
   • Parola veya SSH özel anahtarı
5. Kurulum türünü seçin:
   • Otomatik — yalnızca AmneziaWG’yi kurar (önerilen)
   • Manuel — listeden belirli bir protokol seçin
6. “Kur” düğmesine tıklayın — uygulama sunucunuza SSH üzerinden bağlanır ve kurulumu otomatik olarak çalıştırır. İlerleme göstergesi görürsünüz.
7. Kurulumdan sonra, uygulama kullanıma hazır bir VPN bağlantı profili oluşturur.

Kurulum sonrası notlar:

• Uygulama varsayılan olarak AmneziaWG’yi rastgele bir bağlantı noktasıyla kurar. Bazı İSS’ler yüksek bağlantı noktalarında UDP’yi engeller. Uygulama, bağlantı noktasını 9999’un altında (örneğin 585 veya 1234) değiştirmenizi önerir. Değiştirmek için: bağlantının yanındaki dişli simgesine tıklayın → Yönetim sekmesi → bağlantı noktası numarasını değiştirin.
• Sunucunuzda zaten Amnezia yazılımı yüklüyse, bağlantı oluşturma sırasında “Kurulumu atla”ya tıklayın, ardından Yönetim sekmesinde “Sunucuyu daha önce yüklenen Amnezia hizmetleri için kontrol et” seçeneğini kullanın.

İki yöntemin karşılaştırması:

CLI veya uygulamayı kullanmış olun, sunucunuz hazır. Şimdi ilk cihazınızı bağlayalım.

İlk İstemcinizi Bağlama

Kurulumdan sonra, istemci yapılandırmasını Amnezia VPN uygulamasına aktarmak için üç yönteminiz vardır. Cihazınıza uygun olanı seçin.

Yöntem A: QR Kodu (Mobil)

Yükleyici /root/awg/my_phone.png konumunda bir QR kodu oluşturmuştur. Bunu bilgisayarınıza indirin:

scp root@<SERVER_IP>:/root/awg/my_phone.png .

PNG dosyasını ekranınızda açın. Telefonunuzda Amnezia VPN uygulamasını açın, “VPN Ekle” → “QR kodunu tara” seçeneğine dokunun ve kameranızı ekrandaki QR koduna yönlendirin. Bağlantı otomatik olarak aktarılır.

Yöntem B: vpn:// URI (Amnezia İstemcisi)

Sunucunuzda sıkıştırılmış URI’yi görüntüleyin:

cat /root/awg/my_phone.vpnuri

Tüm vpn://… dizesini kopyalayın ve kendinize gönderin — Telegram, e-posta veya bir notlar uygulaması aracılığıyla. Telefonunuzda Amnezia VPN uygulamasını açın, “VPN Ekle” → “Panodan yapıştır” seçeneğine dokunun. Yapılandırma tek adımda aktarılır.

URI, tam yapılandırma dosyasının zlib ile sıkıştırılmış, Base64 ile kodlanmış bir sürümüdür. Kompakt ve hızlı paylaşım için tasarlanmıştır.

Yöntem C: .conf Dosyası (Masaüstü/Windows)

Yapılandırma dosyasını indirin:

scp root@<SERVER_IP>:/root/awg/my_phone.conf .

AmneziaWG for Windows istemcisini veya AmneziaVPN masaüstü uygulamasını açın, “Dosyadan tünel(ler) içe aktar” seçeneğine tıklayın ve .conf dosyasını seçin.

Bağlantıyı Doğrulama

Bağlandıktan sonra, tünelin trafiğinizi sunucu üzerinden yönlendirdiğini doğrulayın:
curl ifconfig.me
Çıktı, yerel IP adresiniz değil, sunucunuzun genel IP adresini göstermelidir: 203.0.113.1

Daha fazla ayrıntı için, sunucunun coğrafi konumu da dahil olmak üzere:

curl -s https://ipinfo.io/json

{
  "ip": "203.0.113.1",
  "city": "Amsterdam",
  "region": "North Holland",
  "country": "NL",
  ...
}

⚠️ Uyarı: Standart WireGuard istemcisi AmneziaWG 2.0 yapılandırmaları ile çalışmaz. Amnezia VPN uygulamasını (sürüm 4.8.12.7 veya sonrası) veya yerel AmneziaWG istemcisini (Windows/Android/iOS üzerinde sürüm 2.0.0 veya sonrası) kullanmalısınız.

⚠️ Uyarı: Windows’ta “Invalid key: s3” hatası görürseniz, AmneziaWG Windows istemciniz eski sürümdedir (2.0.0 altı sürüm). Sürüm 2.0.0+ sürümüne güncelleyin veya Amnezia VPN uygulamasına geçin.

💡 İpucu:Sonraki Adımlar — Kurulumunuzu Genişletme

Artık kendi sunucunuzda çalışan, kontrolünüzde olan, WireGuard hızında DPI’ye dirençli bir VPN tüneline sahipsiniz. WireGuard bağlantınızı öldüren sessiz paket kaybı artık sorun değil — trafiğiniz DPI sisteminin güvenilir bir şekilde tanımlayamayacağı bir şey gibi görünüyor.

Sonra yapabileceğiniz en faydalı şeyler şunlardır:

1. Aileniz veya ekibiniz için istemciler ekleyin — erişime ihtiyaç duyan her cihaz için yapılandırmaları oluşturmak üzere yönetim komut dosyasını kullanın.
2. Bölünmüş tünelleme yapılandırın tam tünel yönlendirmesine ihtiyacınız yoksa — yerel trafiği hızlı tutar ve VPS’nizdeki bant genişliğini azaltır.
3. Yapılandırmalarınızı yedekleyin — yedekleme komutunu çalıştırın ve arşivi güvenli bir yere saklayın. Sunucunuzun yeniden oluşturulması gerekirse, bu sizi baştan başlamaktan kurtarır.

Bölünmüş tünelleme yapılandırın tüm trafiği VPN üzerinden yönlendirmenize gerek yoksa. Bu, kısmi sansürü olan ülkelerde özellikle yararlıdır — yalnızca engellenen siteleri tünel üzerinden yönlendirin ve yerel trafiği doğrudan tutun:

sudo bash /root/awg/manage_amneziawg.sh modify my_phone AllowedIPs "192.168.1.0/24,10.0.0.0/8"

İstemci DNS’inizi değiştirin farklı çözümleyicileri tercih ederseniz:

sudo bash /root/awg/manage_amneziawg.sh modify my_phone DNS "8.8.8.8,1.0.0.1"

PersistentKeepalive’ı ayarlayın agresif bir NAT kurulumundaysanız. 33 saniyenin varsayılan değeri UDP oturumunu NAT üzerinden korur — bunu 25’e düşürmek UDP oturumlarını hızlı bir şekilde bırakan ağlarda yardımcı olabilir:

sudo bash /root/awg/manage_amneziawg.sh modify my_phone PersistentKeepalive 25

Yönlendiriciye yükleyin ağ genelinde kapsama için. AmneziaWG, AWG Manager aracılığıyla Keenetic yönlendiricilerde ve Merlin için AmneziaWG aracılığıyla Asuswrt-Merlin çalıştıran ASUS yönlendiricilerde desteklenir.

Yapılandırmanızı şimdi yedekleyin, herhangi bir şey değişmeden önce:

sudo bash /root/awg/manage_amneziawg.sh backup

Yeni bir sunucuya geçirmeniz gerekirse, taze bir yükleme çalıştırın ve ardından:

sudo bash /root/awg/manage_amneziawg.sh restore
sudo bash /root/awg/manage_amneziawg.sh regen

restore komutu yapılandırmalarınızı ve anahtarlarınızı geri getirir ve regen istemci yapılandırmalar

Sonuç

Tam kurulum sürecinden geçtikten sonra, AmneziaWG 2.0’ın öne çıkan özelliği sadece çalışması değil—başkalarının başarısız olduğu yerlerde neden güvenilir bir şekilde çalıştığıdır. WireGuard’ın kanıtlanmış kriptografik çekirdeğini korurken ağ üzerinde trafiğin nasıl göründüğünü temelden değiştirerek, Derin Paket İncelemesi’nin (Deep Packet Inspection) istismar ettiği zayıflıkları ortadan kaldırır. Sonuç olarak, pratikte WireGuard kadar hızlı ve basit hissettiren, ancak düşmanca ortamlarda çok daha dayanıklı bir kurulum elde edersiniz. Dağıtıldıktan sonra değer açık hale gelir: sadece bir VPN çalıştırmıyorsunuz—gerçek dünya engellemelerine dayanacak şekilde inşa edilmiş bir VPN çalıştırıyorsunuz.

AmneziaWG sunucunuzu barındıracak güvenilir bir VPS arıyorsanız — veya ekip üyeleri için ek uç noktalarla ölçeklendirmeniz gerekiyorsa — AvaHost bu kurulumun gerektirdiği tam root erişimi, NVMe depolama ve Ubuntu 24.04 desteğine sahip KVM sanallaştırması sağlar. Bunların altyapısı, bu kılavuzun kapsadığı kendi kendine barındırılan dağıtımlar için özel olarak tasarlanmıştır.

[cta_