VPN-protocollen uitgelegd: WireGuard, OpenVPN, IKEv2 en meer

Een VPN-protocol is de set afspraken die bepaalt hoe je apparaat en de VPN-server een versleutelde verbinding opzetten en gegevens uitwisselen. De bekendste protocollen zijn WireGuard, OpenVPN en IKEv2/IPsec. Voor de meeste mensen is WireGuard of OpenVPN de beste keuze: ze zijn veilig, worden actief onderhouden en zitten in de apps van vrijwel alle grote VPN-diensten. Oudere protocollen zoals PPTP gelden als onveilig en gebruik je beter niet meer (Wikipedia).

In dit artikel lees je hoe VPN-protocollen werken, wat de verschillen zijn in veiligheid, snelheid en stabiliteit, en welk protocol je het beste kiest voor jouw situatie.

Wat doet een VPN-protocol?

Een VPN maakt een versleutelde tunnel tussen je apparaat en een server. Het protocol regelt hoe dat gebeurt. Het bepaalt onder meer:

• Hoe beide kanten elkaar herkennen (authenticatie), zodat je zeker weet dat je met de echte server praat.
• Welke versleuteling wordt gebruikt om je gegevens onleesbaar te maken voor anderen.
• Hoe de sleutels worden uitgewisseld en hoe vaak ze worden vervangen.
• Hoe de gegevens worden verpakt en verstuurd, bijvoorbeeld via UDP of TCP.

Elk protocol maakt daarin andere keuzes. Dat heeft invloed op hoe veilig, hoe snel en hoe stabiel je verbinding is. Wil je eerst weten hoe een VPN in het algemeen werkt, lees dan wat is een VPN.

WireGuard

WireGuard is een relatief nieuw protocol. Het is ontworpen om eenvoudig, snel en veilig te zijn. De code is veel kleiner dan die van oudere protocollen, wat het makkelijker maakt om te controleren op fouten (WireGuard). Sinds 2020 zit WireGuard in de Linux-kernel (Wikipedia).

Voordelen
– Snel, ook op telefoons, omdat het weinig rekenkracht vraagt.
– Maakt snel opnieuw verbinding als je wisselt tussen wifi en mobiel internet.
– Moderne, vaste versleuteling, zonder verouderde opties.

Nadelen
– In de basisversie bewaart de server een vast IP-adres per gebruiker. VPN-diensten lossen dat zelf op, bijvoorbeeld met dynamische adressen. Sommige diensten hebben er een eigen variant van gemaakt, zoals NordLynx bij NordVPN.
– Werkt alleen via UDP, wat op sommige netwerken geblokkeerd wordt.

OpenVPN

OpenVPN bestaat sinds 2001 en is open source. Het is lange tijd de standaard geweest bij VPN-diensten (Wikipedia). Het gebruikt de OpenSSL-bibliotheek voor versleuteling en is zeer flexibel in te stellen.

Voordelen
– Bewezen veilig en uitgebreid onderzocht.
– Werkt via UDP en TCP. Via TCP op poort 443 lijkt het verkeer op gewoon websiteverkeer, wat helpt op netwerken die VPN’s blokkeren.
– Wordt ondersteund door vrijwel alle VPN-diensten en veel routers.

Nadelen
– Meestal trager dan WireGuard, vooral op zwakkere apparaten.
– Grotere en complexere code.

IKEv2/IPsec

IKEv2 is een protocol voor het uitwisselen van sleutels en wordt bijna altijd samen met IPsec gebruikt. Het is ontwikkeld door Microsoft en Cisco (Wikipedia). Veel besturingssystemen, zoals iOS, macOS en Windows, ondersteunen het standaard.

Voordelen
– Stabiel bij wisselende verbindingen, dankzij de MOBIKE-functie. Daarom populair op telefoons.
– Snel en zuinig met de batterij.

Nadelen
– Gebruikt vaste poorten, waardoor het makkelijker te blokkeren is.
– Niet alle versies zijn open source.

L2TP/IPsec

L2TP is een ouder tunnelprotocol dat zelf geen versleuteling heeft. Daarom wordt het gecombineerd met IPsec (Wikipedia). Het is breed ondersteund, maar trager dan moderne protocollen omdat de gegevens twee keer worden ingepakt. Het wordt ook vaak geblokkeerd door firewalls. Gebruik het alleen als er geen beter alternatief is.

PPTP

PPTP is een van de oudste VPN-protocollen, uit de jaren negentig. Er zijn veel bekende zwakke plekken in de beveiliging gevonden, waardoor het als onveilig geldt (Wikipedia). Microsoft raadt het zelf ook af. Gebruik PPTP dus niet als je privacy belangrijk vindt.

SSTP

SSTP is een protocol van Microsoft dat via TLS op poort 443 werkt, net als websiteverkeer. Daardoor komt het vaak door firewalls heen. Het is vooral te vinden op Windows en minder op andere systemen. Omdat het geen open source is, is het minder goed te controleren.

Eigen protocollen van VPN-diensten

Een aantal VPN-diensten heeft een eigen protocol ontwikkeld of een bestaand protocol aangepast. Voorbeelden zijn NordLynx van NordVPN, gebaseerd op WireGuard, en Lightway van ExpressVPN. Ook zijn er protocollen of modi die speciaal bedoeld zijn om VPN-verkeer te verbergen, vaak obfuscation of stealth genoemd. Die zijn handig in landen of op netwerken waar VPN’s worden geblokkeerd, zoals in China.

Vergelijking in het kort

Protocol	Veiligheid	Snelheid	Geschikt voor
WireGuard	Hoog	Zeer hoog	Dagelijks gebruik, streamen, mobiel
OpenVPN	Hoog	Gemiddeld tot hoog	Routers, netwerken met blokkades (TCP 443)
IKEv2/IPsec	Hoog	Hoog	Telefoons, wisselende verbindingen
L2TP/IPsec	Redelijk	Gemiddeld	Alleen als alternatief
SSTP	Redelijk	Gemiddeld	Windows, firewalls
PPTP	Laag	Hoog	Niet aan te raden

UDP of TCP?

Bij OpenVPN kun je vaak kiezen tussen UDP en TCP. UDP is sneller, omdat het niet controleert of elk pakketje aankomt. Dat is prima voor streamen, bellen en gamen. TCP controleert dat wel en is daardoor betrouwbaarder op slechte of beperkte netwerken, maar ook trager. Begin met UDP en kies TCP als de verbinding steeds wegvalt of als het netwerk VPN-verkeer blokkeert.

Wat merk je van het protocol?

Als gebruiker merk je vooral iets van het protocol bij de snelheid en de stabiliteit. Met een snel protocol laden websites vlot en haperen video’s minder. Met een stabiel protocol valt je verbinding niet weg als je in de trein door een tunnel rijdt of als je telefoon overschakelt van wifi naar 4G of 5G. Ook de batterij van je telefoon gaat vaak langer mee met een licht protocol.

Welk protocol kies je?

• Voor dagelijks gebruik: WireGuard of de eigen variant van je VPN-dienst. Snel en veilig.
• Op je telefoon: WireGuard of IKEv2, omdat ze goed omgaan met wisselen tussen wifi en mobiel. Meer tips in VPN op je telefoon.
• Op een netwerk dat VPN’s blokkeert: OpenVPN via TCP 443 of een stealth-modus.
• Op een router: OpenVPN of WireGuard, afhankelijk van wat je router ondersteunt.
• Nooit: PPTP.

In de meeste apps kun je het protocol op automatisch laten staan. De app kiest dan zelf het beste protocol voor je netwerk. Hoe wij de snelheid en veiligheid van VPN’s testen, lees je in hoe we testen. Twijfel je welke dienst bij je past, gebruik dan de VPN-kiezer of bekijk de beste VPN’s.

Protocol wijzigen in je VPN-app

In de meeste VPN-apps vind je het protocol in de instellingen, vaak onder een kopje als verbinding, VPN-protocol of geavanceerd. Daar kies je uit de protocollen die de dienst aanbiedt. Merk je dat je verbinding traag is of steeds wegvalt, probeer dan een ander protocol. Vaak lost dat het probleem al op.

Versleuteling: wat betekenen AES en ChaCha20?

Bij VPN’s kom je vaak termen tegen als AES-256 en ChaCha20. Dit zijn versleutelingsmethoden, de wiskundige manier waarop je gegevens onleesbaar worden gemaakt. AES wordt wereldwijd gebruikt, ook door overheden, en is op de meeste computers snel dankzij speciale ondersteuning in de processor (Wikipedia). ChaCha20 wordt gebruikt door WireGuard en is vooral snel op apparaten zonder die ondersteuning, zoals oudere telefoons. Beide gelden als veilig.

Welke protocollen werken op welk apparaat?

Niet elk protocol is op elk apparaat beschikbaar. In grote lijnen:

Windows

Op Windows bieden de meeste VPN-apps WireGuard, OpenVPN en IKEv2 aan. Windows zelf ondersteunt zonder extra software IKEv2, L2TP/IPsec, SSTP en PPTP. Wil je zonder app een verbinding maken, dan is IKEv2 de beste ingebouwde keuze.

macOS en iOS

Apple ondersteunt standaard IKEv2 en L2TP/IPsec. In de apps van VPN-diensten vind je meestal ook WireGuard en vaak OpenVPN. Op een iPhone kiezen veel mensen voor WireGuard of IKEv2, omdat die zuinig zijn met de batterij.

Android

Op Android werken WireGuard en OpenVPN via de apps van VPN-diensten. Voor beide protocollen bestaan ook losse open-source apps, waarmee je zelf een configuratiebestand kunt laden.

Linux

Linux heeft WireGuard ingebouwd in de kernel. OpenVPN is via de pakketbeheerder te installeren. Veel VPN-diensten hebben ook een eigen app voor de opdrachtregel.

Routers

Routers met een VPN-client ondersteunen meestal OpenVPN en steeds vaker WireGuard. Kijk in de specificaties van je router welke protocollen beschikbaar zijn.

Het protocol is niet alles

Een goed protocol is belangrijk, maar het bepaalt niet alleen hoe veilig je bent. Let bij het kiezen van een VPN-dienst ook op deze punten:

• Logbeleid. Een dienst die geen gegevens over je surfgedrag bewaart, kan die ook niet delen. Onafhankelijke audits geven meer zekerheid dan alleen een belofte.
• Kill switch. Valt de VPN-verbinding weg, dan blokkeert een kill switch je internet, zodat je IP-adres niet zichtbaar wordt.
• Bescherming tegen DNS-lekken. Je DNS-verzoeken moeten ook via de VPN lopen. Anders kan je provider nog zien welke websites je opzoekt.
• Eigen DNS-servers van de VPN-dienst.
• Updates. Een dienst die zijn apps regelmatig bijwerkt, dicht sneller beveiligingslekken.

Een sterk protocol bij een dienst die alles bijhoudt, beschermt je privacy nauwelijks. Kijk dus naar het geheel.

Veelgemaakte misverstanden

Een nieuwer protocol is altijd beter

Nieuw is niet automatisch beter. WireGuard is modern en goed onderzocht, maar OpenVPN heeft juist een lange staat van dienst. Beide zijn een goede keuze. Het gaat erom dat een protocol actief wordt onderhouden en geen bekende zwakke plekken heeft.

Met een veilig protocol ben je anoniem

Een VPN-protocol versleutelt je verbinding en verbergt je IP-adres voor de websites die je bezoekt. Je bent daarmee niet volledig anoniem. Websites kunnen je nog volgen via cookies, je account of de kenmerken van je browser.

Je moet altijd zelf een protocol kiezen

Dat hoeft niet. De automatische keuze in de app werkt voor de meeste mensen prima. Pas het alleen aan als je een probleem hebt met snelheid of verbinding, of als je weet dat een netwerk bepaalde protocollen blokkeert.

Waarom protocollen verouderen

Versleuteling die twintig jaar geleden als veilig gold, is dat nu niet altijd meer. Computers worden sneller, onderzoekers vinden zwakke plekken en aanvallers worden slimmer. Daarom verdwijnen oudere protocollen langzaam uit VPN-apps. PPTP is daar het duidelijkste voorbeeld van. Ook binnen moderne protocollen worden oudere opties uitgezet. Bij OpenVPN kun je bijvoorbeeld kiezen voor verschillende versleutelingen, waarvan de oudere niet meer worden aangeraden. WireGuard koos er bewust voor om geen keuzes te bieden, zodat gebruikers niet per ongeluk een zwakke instelling kiezen.

Veelgestelde vragen over VPN-protocollen

Wat is het veiligste VPN-protocol?

WireGuard en OpenVPN gelden allebei als veilig. Ze zijn open source en uitgebreid onderzocht. Bron: WireGuard.

Wat is het snelste VPN-protocol?

WireGuard is in de meeste situaties het snelst, omdat het weinig code heeft en weinig rekenkracht vraagt. Bron: Wikipedia.

Is PPTP nog veilig?

Nee. Er zijn veel zwakke plekken in PPTP gevonden en het wordt afgeraden. Bron: Wikipedia.

Wat is IKEv2?

Een protocol voor sleuteluitwisseling dat samen met IPsec een VPN-verbinding vormt en goed omgaat met wisselende netwerken. Bron: Wikipedia.

Is OpenVPN open source?

Ja, OpenVPN is open source en wordt sinds 2001 ontwikkeld. Bron: Wikipedia.