Gidsen
Een VPN-protocol bepaalt hoe je apparaat en de server een versleutelde tunnel opbouwen. WireGuard is de snelste en eenvoudigste, OpenVPN de meest volwassen en flexibele, IKEv2/IPsec de beste in het overleven van netwerkwissels op mobiel, en Xray/VLESS over TLS laat tunnelverkeer op gewoon HTTPS lijken. Elk ruilt iets in voor zijn sterke punt.
Alle vier de protocollen gebruiken moderne, ongebroken cryptografie. Ze verschillen in snelheid, codeomvang, gedrag op instabiele netwerken en hoe herkenbaar hun verkeer van buitenaf is — niet in of de versleuteling standhoudt.
WireGuard verslaat OpenVPN op dezelfde hardware omdat het in de kernel draait met een slanke handshake. Ouderdom levert OpenVPN configureerbaarheid en platformbereik op in plaats van rauwe doorvoer.
WireGuard, OpenVPN en IKEv2 produceren elk verkeer dat een netwerk als VPN-tunnel kan classificeren. Xray/VLESS binnen echte TLS is ontworpen om niet te onderscheiden te zijn van een gewone HTTPS-sessie.
Een protocol is de afspraak tussen je app en de server: hoe sleutels worden uitgewisseld, hoe pakketten worden versleuteld en ingepakt, hoe een weggevallen verbinding wordt hervat. Je abonnement omvat er meestal meerdere; de app kiest er één per verbinding, en wisselen is een menu-optie, geen verbintenis.
De keuze wordt op drie plekken zichtbaar. Doorvoer en batterijverbruik verschillen omdat protocollen per pakket verschillend veel rekenkracht kosten. Stabiliteit verschilt wanneer je tussen netwerken beweegt of achter strenge firewalls zit. En zichtbaarheid verschilt: sommige tunnels zijn voor netwerkapparatuur triviaal als VPN-verkeer te classificeren, andere zijn gebouwd om classificatie te ontlopen. Geen protocol wint op alle drie, en precies daarom bestaat het menu.
WireGuard is in 2026 het standaardantwoord. Zo'n vierduizend regels kernelcode tegenover de honderdduizenden in oudere stacks, één moderne ciphersuite (ChaCha20-Poly1305) in plaats van een onderhandelingsmatrix, en een handshake die in één rondreis klaar is. In de praktijk betekent dat doorvoer richting lijnsnelheid op gewone hardware, snel opnieuw verbinden en bescheiden batterijkosten op telefoons.
Het betaalt met twee ontwerpeigenschappen. Ten eerste wijst een standaard WireGuard-server elke peer een vast adres binnen de tunnel toe, dus de aanbieder moet er een eigen laag bovenop leggen — roterende interne adressen, peer-status weggooien na het verbreken — om een stabiele identifier per gebruiker te vermijden; of dat gebeurt, is een eigenschap van de aanbieder, niet van het protocol. Ten tweede draait WireGuard over UDP met een herkenbaar handshakepatroon, dus netwerkapparatuur die VPN-verkeer wil identificeren, pikt het er makkelijk uit, en netwerken die onbekend UDP weggooien, breken het volledig.
OpenVPN draait sinds het begin van de jaren 2000 in productie, en die leeftijd is zijn kapitaal: twee decennia toetsing, ondersteuning op vrijwel elk platform en elke router, en configuratieopties voor bijna elke netwerkinrichting. Het loopt over UDP voor snelheid of TCP voor bereikbaarheid, en op TCP-poort 443 gebruikt het in elk geval de poort die firewalls zelden sluiten — al verschilt zijn TLS-handshake nog steeds van die van een browser, dus classificatie blijft mogelijk.
De prijs is gewicht. OpenVPN verwerkt pakketten in user space en steekt bij elk pakket de kernelgrens over; zijn doorvoer op dezelfde hardware is doorgaans een fractie van die van WireGuard, en opnieuw verbinden telt in seconden in plaats van ogenblikkelijk. De codebase en de OpenSSL-afhankelijkheid zijn ordes van grootte groter, wat een groter auditoppervlak betekent. Het blijft het juiste gereedschap op oudere routers, in bedrijfsopstellingen die certificaten vereisen en op netwerken waar UDP onbruikbaar is.
Het onderscheidende kenmerk van IKEv2 is MOBIKE, een standaarduitbreiding die een bestaande tunnel een adreswissel laat overleven. Loop je de wifi-dekking uit het LTE-netwerk op, dan verhuist de sessie mee zonder nieuwe handshake — precies de gebeurtenis die andere protocollen midden in een gesprek onderbreekt. Native ondersteuning in iOS en Android, met versleuteling in de IPsec-stack van het besturingssysteem, houdt het batterijverbruik laag en maakt het een gangbare standaard in mobiele apps.
Zijn zwaktes zitten in de omgeving. IKEv2 heeft UDP-poorten 500 en 4500 nodig, die restrictieve netwerken — hotelwifi, kantoorfirewalls — vaak blokkeren, en het heeft geen eigen TCP-terugvaloptie. Ook is de configuratie minder transparant dan die van WireGuard: IPsec-parameters worden onderhandeld, en een slecht geconfigureerde server kan op zwakkere instellingen uitkomen dan bedoeld. Sterke keuze op mobiel, breekbaar op vijandige netwerken.
VLESS is een lichtgewicht transportprotocol uit het Xray-project: minimale framing, geen eigen ingebouwde versleuteling, ontworpen om binnen een echte TLS-sessie te draaien. Omdat de versleutelingslaag standaard TLS is — hetzelfde protocol dat elke website gebruikt — toont een VLESS-verbinding op poort 443 een gewone certificaathandshake gevolgd door een ondoorzichtige versleutelde stroom, en dat is precies hoe elke HTTPS-sessie er van buitenaf uitziet.
Dat telt op netwerken die herkenbare VPN-protocollen classificeren en afknijpen of droppen. Waar de handshake van WireGuard of de TLS-eigenaardigheden van OpenVPN de tunnel verraden, geeft een goed geconfigureerd Xray-eindpunt een classifier geen onderscheidend patroon buiten statistiek. De kosten: meer bewegende delen op de server, doorvoer begrensd door TLS-verwerking in plaats van kernelnetwerken, en een klein ecosysteem van clients vergeleken met de gangbare protocollen. Aurora draait WireGuard voor dagelijkse snelheid en Xray/VLESS op eigen nodes voor netwerken waar standaardtunnels onbetrouwbaar zijn.
Begin met WireGuard en wissel alleen wanneer iets specifieks stukloopt. De praktische vertaling:
Een kill switch blokkeert al het internetverkeer zodra een VPN-tunnel wegvalt, zodat apps niet stilletjes kunnen terugvallen op je gewone verbinding. Zonder kill switch legt zelfs een onderbreking van twee seconden je echte IP-adres bloot. En ook mét een werkende tunnel kunnen DNS-verzoeken, WebRTC in de browser en IPv6-verkeer eromheen lekken. Voor elk lek bestaat een simpele test en een oplossing.
De VPN-tunnel op je router zetten beschermt elk apparaat op het netwerk tegelijk — inclusief tv's, consoles en slimme speakers die geen apps kunnen installeren. De nadelen zijn echt: de doorvoer wordt begrensd door de processor van de router, het hele huis gaat via één land naar buiten, en problemen opsporen wordt lastiger. Deze gids legt de opstellingen uit en hoe je kiest.
Onderweg versleutelt een VPN je verkeer op hotel- en luchthavenwifi, laat hij je accounts verbinden vanuit een vertrouwd land en bereikt hij diensten die zich in het buitenland anders gedragen. Een wondermiddel is het niet: streamingplatforms herkennen serveradressen, en de lokale regels verschillen per land. De ene regel die het zwaarst weegt — richt alles in en test het vóór vertrek.
14 dagen geld-terug-garantie. Tot 7 apparaten op één abonnement.
Mijn apparaten beschermen