İçeriğe atla
Bilgi Merkezi/Makale
Makale

VPN Nedir, Nasıl Çalışır? Kurumsal VPN ve ZTNA

VPN'in tünel, şifreleme ve kimlik doğrulamayla nasıl çalıştığını, protokol farklarını, split tunneling'i, gateway güvenliğini ve ZTNA'yı anlattık.

Oğuzhan Gerçek··8 dk okuma
VPN Nedir, Nasıl Çalışır? Kurumsal VPN ve ZTNA

Kısa cevap: VPN (virtual private network, sanal özel ağ), internet gibi herkese açık bir ağın üzerinde iki nokta arasında şifreli bir tünel kuran ve trafiği bu tünelden taşıyan teknolojidir. Kurumlarda uzaktan erişim VPN'i çalışanın cihazını kurum ağına, siteler arası (site-to-site) VPN ise şube ile merkez gibi iki ağı birbirine bağlar. Yaygın protokoller IPsec/IKEv2, TLS tabanlı VPN'ler, OpenVPN ve WireGuard. İnternete açık VPN gateway'i saldırganların da hedefinde; hızlı yama, MFA ve kayıt bu yüzden şart. ZTNA ise kullanıcıyı ağa değil, yalnızca izin verilen uygulamaya bağlar.

VPN nedir?

NIST'in sözlüğünde CNSSI 4009-2022'den alınan tanıma göre VPN, tünelleme, güvenlik kontrolleri ve endpoint adres çevirisiyle özel bir hat izlenimi veren korumalı bir bağlantıdır. RFC 4949'dan uyarlanan tanımda ise VPN, fiziksel bir ağın kaynaklarıyla kurulan ve bağlantılarını şifreleme ya da tünelleme ile gerçek ağın üstünden geçiren, kullanımı kısıtlı mantıksal bir ağdır.

VPN ağ güvenliğinin bir katmanı; öteki katmanları ağ güvenliği yazımızda anlattık. Terimin kısa tanımı sözlüğümüzde var.

VPN nasıl çalışır?

Bir IPsec bağlantısında üç iş birlikte yürür:

  • Tünel (kapsülleme): Asıl IP paketi, gateway adreslerini taşıyan yeni bir paketin içine konur. IPsec mimarisini tanımlayan RFC 4301 (Aralık 2005) buna tunnel mode diyor; bağlantının uçlarından biri gateway olduğunda, iki istisna dışında, tunnel mode zorunlu.
  • Şifreleme: RFC 4301'e göre ESP kullanıldığında koruma dış başlığı değil, tünele alınan paketi kapsar. Yoldaki gözlemci paketin iki gateway arasında gittiğini görür, iç paketi okuyamaz.
  • Kimlik doğrulama ve anahtar değişimi: RFC 7296 (Ekim 2014), IKEv2'yi iki taraf arasında karşılıklı kimlik doğrulama yapan ve güvenlik ilişkilerini (security association, SA) kurup sürdüren protokol olarak tanımlıyor.

Uzaktan erişimde IKEv2'nin configuration payload mekanizması, dolaşan bir dizüstü bilgisayarın gateway'den tünel içinde kullanacağı bir IP adresi istemesine imkân verir.

VPN protokolleri: IPsec, TLS, OpenVPN ve WireGuard

  • IPsec/IKEv2: Ağ katmanında çalışan IETF standardı; IKEv2 2014'te İnternet Standardı oldu.
  • TLS tabanlı VPN (SSL VPN): NIST'in SP 800-113 rehberine (Temmuz 2008) göre kullanıcı VPN cihazına web tarayıcısıyla bağlanır. Adındaki SSL'in 3.0 sürümü RFC 7568 (Haziran 2015) ile yasaklandı; RFC yerine TLS'i gösteriyor.
  • OpenVPN: Proje belgelerine göre SSL/TLS ile OSI'nin 2. ya da 3. katmanında çalışan bir SSL VPN; istemciyi sertifika, akıllı kart ya da parolayla doğrulayabiliyor.
  • WireGuard: Resmî sitesine göre IP paketlerini UDP üzerinden kapsülleyen bir VPN. Algoritmaları sabit: Curve25519, ChaCha20/Poly1305 ve BLAKE2s (protokol sayfası). Tasarım makalesine göre algoritma pazarlığı yok; birinde açık bulunursa bütün uçlar güncellenmeli. Kimliği doğrulanmamış paketlere cevap vermediği için ağ tarama araçlarına görünmez.

İki resmî rehber de IPsec'i öneriyor, ama TLS VPN'e bakışları farklı. NSA ve CISA'nın Eylül 2021 tarihli ortak rehberi, SSL/TLS VPN olarak bilinen standart dışı ürünlerden kaçınılmasını istiyor: TLS parametreleri güvenli olsa bile özel özellikler ek risk yaratıyor. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (NCSC) ise VPN rehberinde iki türün risk farkını çok küçük buluyor.

Uzaktan erişim ve siteler arası (site-to-site) VPN

NIST SP 800-77 Rev. 1 (Haziran 2020) üç VPN mimarisi tarif ediyor:

  • Siteler arası (gateway-to-gateway): Tünel iki ağın gateway'leri arasında kurulur. NIST'e göre en çok şubeyi merkeze bağlamak gibi iki güvenli ağı birleştirmek için kullanılır; kullanıcı tüneli fark etmez, cihazına istemci kurulmaz.
  • Uzaktan erişim (host-to-gateway): Güvenli olmayan ağlardaki cihazları, örneğin seyahatteki çalışanların bilgisayarlarını, kurumun gateway'i üzerinden güvenli ağdaki kaynaklara bağlar.
  • Host-to-host: İki cihaz arasında kurulur; az sayıda güvenilir kullanıcının ya da yöneticinin bir sisteme uzaktan erişimi için.

CIS Controls v8.1 (12.7), kullanıcının kurum kaynaklarına erişmeden önce kurumun yönettiği VPN ve kimlik doğrulama hizmetlerinde kimliğini doğrulamasını istiyor. Çok şubeli kurumlarda SD-WAN, tünellerin üstüne merkezi politika ve uygulamaya göre yol seçimi ekler (SD-WAN yazımız). Şube bağlantılarını ağ ve trafik mühendisliği hizmetimizde ele alıyoruz.

Bireysel VPN hizmeti ile kurumsal VPN farkı

İkisi aynı teknolojiyi kullanır; fark, tünelin öbür ucunda kimin durduğu. ABD Federal Ticaret Komisyonu'nun (FTC) tüketicilere yönelik yazısına göre bir VPN uygulaması, trafiği sitelere VPN sağlayıcısının sunucusundan geliyormuş gibi gösterir. FTC'nin ifadesiyle kullanıcı, trafiğinin potansiyel olarak tamamı konusunda VPN'e güvenmiş olur: güven, internet servis sağlayıcısından ya da halka açık Wi-Fi ağından VPN sağlayıcısına geçer. Yazıya göre böyle bir uygulama kullanıcıyı genellikle tamamen anonim yapmaz.

Kurumsal VPN'de tünelin ucunda kurumun kendi gateway'i durur; amaç kurum ağındaki kaynaklara ulaşmaktır. Proxy ise yalnızca kendisine yönlendirilen uygulamanın trafiğini taşır; farkı proxy yazımızda ele aldık.

Split tunneling: hangi trafik tünelden geçmeli?

NIST SP 800-77 Rev. 1'e göre split-tunnel VPN'de yalnızca kuruma giden trafik tünele girer, internet trafiği cihazın kendi bağlantısından çıkar. Bütün trafik tünelden geçtiğinde internete giden trafik de gateway'e gelir ve kurumun firewall'unda denetlenir.

NCSC, cihazın bütün trafiğini taşıyan bir VPN kullanılmasını ve split tunneling'den kaçınılmasını öneriyor: hassas verinin korumasız ağa çıkma riski artıyor, saldırgan da cihaz üzerinden iç kaynaklara sıçrayabiliyor (pivoting). Microsoft'a göre ise Optimize kategorisindeki küçük bir hizmet adresi (endpoint) grubu, Microsoft 365 trafiğinin yaklaşık %70-80'ini oluşturuyor. Microsoft'un önerisi, bu adresleri tünel dışına alıp güvenliği başka katmanlarda sağlamak. Asıl soru, tünel dışındaki trafiğin nerede denetlendiği.

VPN gateway'leri neden saldırganların hedefinde?

Verizon'un Kasım 2024-Ekim 2025 olaylarını kapsayan 2026 DBIR raporunda, sisteme izinsiz giriş (System Intrusion) ihlallerindeki saldırı vektörleri arasında VPN'in payı geçen yılki gibi yaklaşık %16. CISA'nın istismar edildiği bilinen açıklar kataloğunda (KEV) VPN bileşenlerindeki açıklar da var: Fortinet FortiOS SSL-VPN'deki açık (CVE-2023-27997) 13 Haziran 2023'te, Cisco ASA'nın VPN web sunucusundaki açık (CVE-2025-20333) 25 Eylül 2025'te kataloğa girdi. İkincisi için CISA aynı gün acil durum direktifi yayımladı (firewall yazımız). NSA ve CISA'nın başlıca önerileri şunlar:

  • Yama: Bilinen açıklar bazen 24 saatten kısa sürede istismar ediliyor; yamalar hemen uygulanmalı (yama yönetimi yazımız).
  • Güçlü kimlik doğrulama: Mümkünse istemci sertifikası, değilse çalınmış parolayla girişi önleyecek başka bir MFA yöntemi (MFA yazımız).
  • Küçük saldırı yüzeyi: VPN dışı işlevler kapatılır; IKE/IPsec'te dışarıdan yalnızca UDP 500, UDP 4500 ve ESP'ye izin verilir (port yazımız). Yönetim arayüzüne yalnızca ayrı bir iç yönetim ağından girilir.
  • Kayıt: VPN kullanıcı etkinliği yerel ve uzak loglarda tutulup sürekli analiz edilir; SOC tarafını SIEM ve SOC yazımızda anlattık.

VPN ile ZTNA arasındaki fark

VPN, ağ güvenliği yazımızda anlattığımız çevre (perimeter) güvenliğinin aracıdır; kullanıcıyı kurum ağının içine alır. NIST SP 800-207 (Ağustos 2020) bu modelin zayıflığını yazıyor: iç ağa giren kullanıcılara geniş bir kaynak kümesine erişim verilir, çevre bir kez aşıldığında da saldırganın yanal hareketi (lateral movement) engelsiz kalır.

Cloudflare'in tanımıyla ZTNA (Zero Trust Network Access), uygulamalara tanımlı erişim politikalarına göre güvenli uzaktan erişim sağlar ve ağdaki IP adreslerini açığa çıkarmaz. SP 800-207'ye göre uzaktaki kullanıcı, bulutta barındırılan e-posta gibi bir hizmete ulaşmak için önce VPN ile kurum ağına bağlanmak zorunda kalmamalı. Belge, çoğu kurumun bir süre zero trust ile çevre tabanlı modeli birlikte işleteceğini de belirtiyor.

Zero trust'ın kısa tanımı sözlüğümüzde, erişim kararının dayandığı kimlik altyapısı IAM yazımızda var. Kimlik tarafını kimlik yönetimi, VPN katmanını ağ güvenliği hizmetimizde ele alıyoruz.

Sık sorulan sorular

VPN ne demek? Virtual private network, yani sanal özel ağ demek: herkese açık bir ağın üzerinde iki nokta arasında şifreli bir tünel kuran teknoloji.

VPN ne işe yarar? Uzaktaki çalışanın kurum ağındaki kaynaklara güvenli biçimde ulaşmasını ve şubelerin merkeze bağlanmasını sağlar.

VPN ile proxy arasındaki fark nedir? VPN cihazın ağ trafiğini şifreli bir tünelle taşır. Proxy ise yalnızca kendisine yönlendirilen uygulamanın trafiğine aracılık eder.

Split tunneling nedir? Yalnızca kuruma giden trafiğin VPN tünelinden geçmesi, internet trafiğinin cihazın kendi bağlantısından çıkmasıdır. Performansı artırır, ama tünel dışındaki trafik kurumun denetimine girmez.

Site-to-site VPN nedir? İki ağı, örneğin bir şubeyi merkeze, iki VPN gateway'i arasındaki bir tünelle bağlayan VPN türüdür. Kullanıcıların cihazına istemci kurulmaz.

VPN ile ZTNA arasındaki fark nedir? VPN kullanıcıyı kurum ağına bağlar. ZTNA ise yalnızca izin verilen uygulamaya erişim verir; iki model bir süre birlikte kullanılabilir.

Kaynaklar