RawLink: Rust ile Yazılmış Açık Kaynaklı Şifreli TCP Tüneli SSH Trafik Taklidini Destekliyor

Sıfırdan inşa edilmiş şifreli bir tünel

20 Ekim 2026'da Hacker News'in ana sayfasına ulaşan RawLink adlı yeni açık kaynak proje, baştan sona Rust ile yazılmış şifreli bir TCP tüneli sunuyor. Projenin GitHub deposuna göre, zolagonano adıyla yayın yapan geliştirici, projeyi yerleşik SSH kamuflajı olan şifreli bir aktarım katmanı olarak tanıtıyor — VPN yazılımlarının genellikle sağladığı türden güvenli tünellemenin sıfırdan gerçekleştirilmiş bir yorumu.

RawLink, bir makinenin tüm trafiğini yakalayan geleneksel bir cihaz düzeyinde VPN gibi davranmıyor. Bunun yerine istemci yerel bir SOCKS5 proxy çalıştırıyor. Uygulamalar bu proxy'ye bağlanıyor, RawLink trafiği şifreleyip uzak bir sunucuya giden bir tünelden geçiriyor ve sunucu şifreyi çözerek her isteği gerçek varış noktasına iletiyor. Birden fazla bağlantı tek bir tüneli paylaşabiliyor, yazılım aynı anda birden fazla tüneli yönetebiliyor ve bir tünel koptuğunda otomatik olarak yeniden bağlanıyor.

Hat protokolü

Veriler AES-256-GCM ile şifreleniyor ve depoda gelecekte başka şifreleme düzenlerinin de desteklenebileceği belirtiliyor. Her paket bir oturum tanımlayıcısı ve bir paket numarası taşıyor ve TCP üzerinde her paketin önüne uzunluğu ekleniyor; böylece alan taraf paket sınırlarını bulabiliyor.

Paket tasarımı, projeyi ilginç kılan yer. 17 baytlık bir başlık — bir sürüm alanı, bir anahtar göstergesi, bazı ayrılmış bitler, oturum kimliği ve paket numarası — AES-GCM hesaplaması için ek kimlik doğrulamalı veri olarak hizmet ederken, gövde şifreleniyor ve 16 baytlık bir kimlik doğrulama etiketi taşıyor. Başlığın kendisi şifrelenemiyor, çünkü alıcı, hangi anahtarla şifre çözeceğini bilmeden önce oturum kimliğini okumak zorunda. Bu metaverinin hattaki sızmalarını önlemek için her başlık, iletimden önce XChaCha20 anahtar akışı ile XOR maskeleniyor. Depoya göre sonuç şu: önceden paylaşılan anahtara sahip olmayan biri için bir paketin tamamı düzgün rastgele baytlar gibi görünmeli. Bağlantılar bu anahtarla doğrulanıyor ve her iki uca 64 onaltılık karakter olarak sağlanıyor.

Gizleme seçenekleri

Çekirdek protokolün üzerinde ayrı ve isteğe bağlı bir gizleme katmanı bulunuyor ve iki mod sunuyor. İlk mod olan rand, trafiği rastgele gürültüye benzetiyor: başlıkları kamuflajlıyor, rastgele dolgu ekliyor ve bağlantı boştayken dolgu trafiği gönderebiliyor. İkinci mod olan ssh daha da ileri giderek bağlantıyı sıradan bir SSH oturumu gibi gösteriyor; sahte bir ilk el sıkışma ve yapılandırılabilir bir banner dizisi (örneğin bir OpenSSH sürümü) dahil, ardından şifreli tünele geçiyor. Bir tünelin kurulabilmesi için istemci ve sunucunun aynı modla yapılandırılması gerekiyor.

Çalıştırmak bilinçli olarak basit tutulmuş. Sunucu bir dinleme adresi ve önceden paylaşılan anahtarla başlatılıyor; istemci o sunucuyu hedefliyor ve yerel bir SOCKS5 portu açıyor; uygulamalar da (örneğin curl'ü localhost'taki bir socks5h proxy'sine yönlendirerek) bu port üzerinden yönlendiriliyor.

Hassas bir şeyi yönlendirmeden önce uyarılar

Geliştirici, projenin olgunluğu konusunda alışılmadık derecede açık sözlü. README, uygulamanın yapay zekâ yardımıyla üretilip ardından gözden geçirildiğini, ancak hâlâ titiz bir güvenlik denetiminden geçmediğini belirtiyor; kullanıcıların uygun önlemleri alması ve hassas işlerde kendi riskleriyle ilerlemesi konusunda uyarıyor. Proje geliştirme aşamasında, ağ sansürüne karşı direnci doğrulanmamış durumda ve protokol şartnamesi ile belgeler hâlâ taslak niteliğinde. Geliştiricinin yazdığı bir blog yazısı tasarımı açıklıyor, kod MIT ve Apache-2.0 altında çift lisanslı ve issue ile pull request'ler davet ediliyor.

Neden önemli

Çoğu kullanıcı WireGuard, OpenVPN ya da ticari bir servise yöneliyor ve bu araçlar, yepyeni bir protokolün olmadığı şekilde sınanmış durumda. Ama küçük ve okunabilir protokol uygulamaları farklı bir amaca hizmet ediyor: tek bir kişi bunları denetleyebiliyor, tasarım ödünleşimlerini açıkça belgeliyorlar ve büyük projelerin yavaşça benimsediği sansür karşıtı teknikler için bir deneme alanı oluşturuyorlar. RawLink'ın seçimleri — rastgeleliğe maskelenen kimlik doğrulamalı başlıklar, isteğe bağlı SSH taklidi ve boşta kalma sırasında örtü trafiği — yalnızca bir bağlantının biçiminin tek başına engellenmesine yol açabildiği ortamları hedefliyor; bu da projeyi, kimsenin günlük aracı halen gelmese bile, sansür araştırmaları için güncel tutuyor. Eksik denetimle ilgili açık uyarılar doğru bir karar ve bunu ciddi kullanım için değerlendiren herkes, üretim altyapısı yerine ilginç bir deney olarak görmeli.