VPN Nedir? Ne İşe Yarar?
VPN, cihaz ile bir sunucu arasında şifreli bir tünel kurar ve trafik o sunucunun adresinden çıkar. Görünürlüğü ortadan kaldırmaz; yalnızca kimin gördüğünü değiştirir.
Kısa cevap
VPN (sanal özel ağ), cihaz ile bir VPN sunucusu arasında şifreli bir tünel kuran teknolojidir. Trafik tünelden çıkıp sunucunun adresinden devam ettiği için uzak sitelere kaynak olarak sunucu görünür. Yerel ağ ve internet sağlayıcısı trafiğin hedefini göremez; ancak bu görünürlük VPN işletmecisine geçer.
Öne çıkan bilgiler
- VPN, cihaz ile ağ geçidi arasında şifreli bir tünel kurar; trafik o ağ geçidinin adresinden çıkar.
- IPsec mimarisi RFC 4301, anahtar değişimi IKEv2 ise RFC 7296 ile tanımlanır.
- NIST, IPsec kılavuzunda IKEv2'yi güncel sürüm olarak gösterir ve AH yöntemini artık önermez.
- WireGuard 2017'de tanıtıldı; Curve25519, ChaCha20Poly1305 ve BLAKE2s kullanır, çekirdek kodu 4.000 satırın altındadır.
- WireGuard makalesindeki ölçümde verim 1.011 Mbit/s; IPsec 881 Mbit/s, OpenVPN 258 Mbit/s çıkmıştır.
- Kurumsal uzak erişim VPN'i ile ticari tüketici VPN hizmeti farklı şeylerdir: biri işverenin ağına, diğeri ticari bir işletmecinin sunucusuna bağlanır.
- Bir araştırmada 283 ücretsiz Android VPN uygulamasının %38'inde en az bir kötü amaçlı yazılım bulgusu, %18'inde şifrelemesiz tünelleme saptanmıştır.
VPN, reklamlarda neredeyse bir güvenlik kalkanı gibi anlatılıyor. Teknik olarak yaptığı iş çok daha sınırlı ve net: trafiği cihazdan bir sunucuya kadar şifreli bir tünelde taşıyor. Bunun neyi çözdüğünü, neyi çözmediğini bilmek, doğru yerde kullanmayı sağlıyor.
VPN nedir, nasıl çalışır?
VPN, cihaz ile bir VPN ağ geçidi arasında şifreli bir tünel kurar. Ağ geçidi trafiği iletir ve uzak sunuculara kaynak olarak kendi adresi görünür.[1] Pratik sonuç şudur: bağlandığınız Wi-Fi ağı ve internet sağlayıcınız hangi siteye gittiğinizi göremez, ama VPN işletmecisi görebilir. Yani VPN görünürlüğü yok etmez, yer değiştirir.
NIST'in kılavuzu iki ana kullanım biçimini ayırır: iki güvenli ağı birbirine bağlayan ağ geçidinden ağ geçidine VPN'ler (kullanıcıya görünmez) ve güvensiz ağlardaki cihazları kurum kaynaklarına bağlayan uzak erişim VPN'leri.[1]
Protokoller
- IPsec / IKEv2: IPsec mimarisi RFC 4301 (Aralık 2005) ile, anahtar değişimi IKEv2 ise RFC 7296 (Ekim 2014) ile tanımlanır; IKEv2 bir internet standardıdır.[2][3] NIST, IKEv2'yi güncel sürüm olarak gösterir ve şifrelenmemiş veri taşıyan AH yöntemini artık önermediğini belirtir.[1]
- OpenVPN: Uzun süre fiilî standart olmuş, TLS tabanlı açık kaynaklı çözüm. Ölçümlerde en yavaş seçenek olarak görünür.[4]
- WireGuard: 2017'de bir güvenlik konferansında tanıtıldı; el sıkışması Noise çerçevesinin bir türevidir ve tek gidiş-dönüşte tamamlanır.[5][4] Curve25519 ile anahtar değişimi (32 baytlık açık anahtarlar), ChaCha20Poly1305 ile şifreleme ve BLAKE2s ile özetleme kullanır; isteğe bağlı 256 bitlik önceden paylaşılmış anahtar destekler.[4] Çekirdek kodu, şifreleme ilkelleri dışında 4.000 satırın altındadır.[4]
| Çözüm | Verim |
|---|---|
| WireGuard | 1.011 Mbit/s |
| IPsec (AES-GCM) | 881 Mbit/s |
| IPsec (ChaCha20Poly1305) | 825 Mbit/s |
| OpenVPN (AES, UDP) | 258 Mbit/s |
Kurumsal tarafta temkinli bir değerlendirme de var: İngiltere'nin ulusal siber güvenlik kurumu kurumsal erişim için IPsec'i önerir, TLS tabanlı VPN'leri güvenlik açısından kabaca denk görür ve cihaz güvenliği kılavuzunda WireGuard'ı "kurumsal bağlamlarda henüz kanıtlanmamış" olarak tanımlar.[6]
VPN neyi korur, neyi korumaz?
Korur: Bağlı olduğunuz yerel ağ ve internet sağlayıcınızın trafiğin hedefini görmesini engeller; kurum kaynaklarına güvensiz bir ağdan erişim sağlar.[1]
Korumaz:
- Anonimlik sağlamaz. Görünürlük VPN işletmecisine geçer. Bir ölçüm çalışması, sektör birliğinin kendi ilkelerine rağmen "anonimlik" reklamı yapan bir üye sağlayıcı saptamıştır.[7]
- Zararlı yazılıma karşı korumaz. IPsec, IKEv2 ve WireGuard içeriği incelemez.[3][1][4] Dahası, uygulamanın kendisi risk olabilir: 283 ücretsiz Android VPN uygulaması üzerinde yapılan bir araştırmada %38'inde en az bir kötü amaçlı yazılım bulgusu, %18'inde şifrelemesiz tünelleme, %66'sında DNS'in tünelden geçirilmemesi ve %84'ünde IPv6 trafiğinin tünellenmemesi saptanmıştır.[8]
- Tüm trafiği her zaman korumaz. Ayrık tünellemede (split tunnelling) yalnızca kurum trafiği tünelden geçer; NIST bazı kurumların bundan kaçındığını, ayrı internet bağlantısının VPN bağlantısına saldırı için kullanılabileceğini belirtir.[1] Ölçümlerde ise 80 sağlayıcıdan 26'sında tünel koptuğunda sızıntı görülmüş (18'inde tüm trafik, 8'inde yalnızca DNS); "güvenli" yapılandırmadaki 39 sağlayıcıdan 10'u hâlâ sızdırmış, bunların 6'sında kill switch açıkken sızıntı olmuştur. Aynı çalışma kill switch'in çoğu kez varsayılan olarak kapalı olduğunu belirtir ve 29 sağlayıcının DNS sorgularını herkese açık çözümleyicilere gönderdiğini bulmuştur.[7]
Kurumsal tarafta yaklaşım da değişiyor: aynı kurum, "sıfır güven" ağ modelini tümüyle benimsemiş bir kurumda VPN kullanmanın az fayda sağlayacağını belirtir; sıfır güven mimarisi NIST SP 800-207 belgesiyle tanımlanmıştır.[6][10]
Türkiye'de hukuki durum
Bu başlıkta belgelenmiş olan ile belirsiz olanı ayırmak gerekir.
Belgelenmiş olanlar:
- İnternet alanını düzenleyen temel yasa 5651 sayılı Kanun'dur; 4 Mayıs 2007'de kabul edilmiş ve 23 Mayıs 2007 tarihli 26530 sayılı Resmî Gazete'de yayımlanmıştır.[11][12]
- Kanunun resmî birleştirilmiş metninde "VPN" ya da "sanal özel ağ" ifadeleri geçmez; yani VPN kullanımını adıyla suç sayan bir hüküm bulunmamaktadır.[11]
- Kanuna 27 Mart 2015 tarihli 6639 sayılı Kanun'la eklenen 8/A maddesi; millî güvenlik, kamu düzeni, suç işlenmesinin önlenmesi ve genel sağlık gibi gerekçelerle erişim engellemesine izin verir. Karar bildirimden itibaren dört saat içinde uygulanır, 24 saat içinde sulh ceza hâkimliğine sunulur ve hâkimlik 48 saat içinde karar vermezse tedbir kendiliğinden kalkar.[11][13]
- 24 Temmuz 2026 tarihli 7590 sayılı Kanun, 5651 sayılı Kanun'daki tanımlarda BTK ibaresini değiştirerek bu yetkileri Siber Güvenlik Başkanlığı'na devretmiştir.[11]
- VPN hizmetlerine yönelik kısıtlamalar iki dönemde belgelenmiştir. Bir insan hakları kuruluşunun raporuna göre Kasım 2016'da düzenleyici kurum servis sağlayıcılarına ondan fazla VPN hizmetini engelleme talimatı vermiş, Aralık 2016'da ise VPN kısıtlamalarının durumuna ilişkin haftalık rapor istemiştir.[14] 18 Aralık 2023'te 16 VPN sağlayıcısına erişim engeli uygulandığı basında yer almıştır.[15][16]
Belirsiz olanlar: Bireysel VPN kullanımının hukuka uygun olduğunu ya da olmadığını açıkça belirten resmî bir açıklama bulunamamıştır; kişisel kullanımın hukukiliği, yasaklayıcı bir hükmün bulunmamasına dayanır, olumlu bir beyana değil. 2023 kararının kanunun hangi maddesine dayandığı basında aktarılmış olup karar metninden doğrulanmamıştır.[15] Ayrıca bir sivil toplum kuruluşu, Nisan 2026'da 5809 sayılı Kanun'da VPN sağlayıcılarının yetkilendirilmesini öngören bir taslak değişiklikten söz etmiştir; kuruluş bunu planlanan bir düzenleme olarak aktarır ve yasalaştığına dair Resmî Gazete kaydı bulunamamıştır.[17]
İnternette yaygın olan "VPN kullanmak suçtur" iddiasının kanun metninde ya da bir kurul kararında karşılığı bulunamamıştır. Bu yazı hukuki danışmanlık niteliği taşımaz; somut bir durumda avukata başvurulmalıdır. Erişimi engellenmiş içeriklere ulaşma yöntemleri bu yazının konusu değildir.
Özet: VPN ne zaman mantıklı?
- Kurumsal uzak erişim: Yerinde bir kullanım. Kurum kaynaklarına güvensiz ağdan erişim için tasarlanmıştır.[1]
- Yerel ağa güvenmediğiniz durumlar: Üst verinin gizlenmesi için anlamlı; içerik zaten HTTPS ile şifreli.[9]
- Anonimlik beklentisi: Yerinde değil. Görünürlük işletmeciye geçer.[7][6]
- Ücretsiz uygulamalar: Ölçülmüş risk yüksek; araştırmalar kötü amaçlı yazılım bulgusu ve şifrelemesiz tünelleme saptamıştır.[8]
İlgili içerikler
Sık sorulan sorular
VPN nedir ve nasıl çalışır?
VPN gerçekten anonim olmamı sağlar mı?
WireGuard mı OpenVPN mu daha hızlı?
Halka açık Wi-Fi'da VPN kullanmak zorunlu mu?
Ücretsiz VPN uygulamaları güvenli mi?
Türkiye'de VPN kullanmak yasal mı?
Kaynaklar
- NIST SP 800-77 Rev. 1, Guide to IPsec VPNs (erişim: 1 Kasım 2026)
- RFC 4301: Security Architecture for the Internet Protocol — IETF (erişim: 1 Kasım 2026)
- RFC 7296: Internet Key Exchange Protocol Version 2 (IKEv2) — IETF (erişim: 1 Kasım 2026)
- WireGuard: Next Generation Kernel Network Tunnel (makale) — J. A. Donenfeld / WireGuard (erişim: 1 Kasım 2026)
- WireGuard: Next Generation Kernel Network Tunnel (program kaydı) — NDSS Symposium 2017 (erişim: 1 Kasım 2026)
- Device security guidance: Virtual Private Networks — UK National Cyber Security Centre (erişim: 1 Kasım 2026)
- Ramesh, Evdokimov, Xue, Ensafi, "VPNalyzer: Systematic Investigation of the VPN Ecosystem" (NDSS 2022) — NDSS Symposium (erişim: 1 Kasım 2026)
- Ikram vd., "An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps" (ACM IMC 2016) — CSIRO / ACM (erişim: 1 Kasım 2026)
- Kablosuz ağ saldırısı değerlendirmesi (KRACK rehberi) — UK National Cyber Security Centre (erişim: 1 Kasım 2026)
- NIST SP 800-207, Zero Trust Architecture (erişim: 1 Kasım 2026)
- 5651 sayılı Kanun (resmî birleştirilmiş metin) — T.C. Mevzuat Bilgi Sistemi (erişim: 1 Kasım 2026)
- Law No. 5651 kaydı — WIPO Lex (erişim: 1 Kasım 2026)
- The Authority to Block Access in Türkiye (EngelliWeb 2025) — İfade Özgürlüğü Derneği (İFÖD) (erişim: 1 Kasım 2026)
- Turkey: Freedom on the Net 2017 Country Report — Freedom House (erişim: 1 Kasım 2026)
- Turkey bans access to 16 VPN providers — Global Voices Advox (erişim: 1 Kasım 2026)
- Turkey tightens internet censorship, bans access to 16 VPN providers — Turkish Minute (erişim: 1 Kasım 2026)
- VPN sağlayıcılarına para cezası, bant daraltma ve erişim engeli — İfade Özgürlüğü Derneği (İFÖD) (erişim: 1 Kasım 2026)
Bu yazı yapay zekâ desteğiyle taslak olarak hazırlanmış; kaynakları ve bilgileri editörümüz tarafından kontrol edilmiştir. Yapay zekâ kullanım politikamız