VPN-diensten: Zo zet je veilig je eigen dataverbinding op

Technisch gezien zet een VPN (Virtual Private Network) met een gespecialiseerd protocol een versleutelde ‘datatunnel’ op tussen je toestel en een VPN-server. Voor je provider, een openbaar wifi-netwerk in een hotel of iemand die probeert mee te kijken, ziet dat verkeer er daardoor niet meer leesbaar uit. Websites en webdiensten zien meestal ook alleen het ip-adres van de VPN-server en niet langer je thuis- of mobiele ip-adres. Je eigen provider ziet weliswaar dat je een VPN gebruikt, maar niet wat je binnen die tunnel uitvoert. Een VPN-dienst kan dus nuttig zijn voor je privacy en maakt werken op onbekende netwerken veiliger, hoewel de meeste websites inmiddels https-versleuteling gebruiken. Daarnaast helpt een VPN-dienst ook om regionale blokkades te omzeilen. Zo kun je een VPN-server in het VK kiezen om BBC iPlayer te bekijken of een server in Nederland om tijdens een exotische strandvakantie toegang tot NPO Start te behouden. Houd er wel rekening mee dat sommige apps, zoals Google Maps, je echte locatie alsnog kunnen bepalen via gps-signalen, wifi-netwerken, mobiele masten en/of bluetooth-bakens.

Een wondermiddel is een VPN helaas niet. Zo blokkeert het geen phishing-sites of malware, lost het zwakke wachtwoorden niet op en maakt het je evenmin volledig onzichtbaar op internet.

Verder in dit artikel stellen we enkele degelijke VPN-diensten voor en gaan we er praktisch mee aan de slag, maar eerst lijsten we enkele aandachtspunten op bij het kiezen van een geschikte VPN-provider, want het aanbod is groot.

Laat je alvast niet verblinden door reclamekreten als ‘military grade’-encryptie. Belangrijker is bijvoorbeeld een ‘geen-logbeleid’ dat regelmatig via onafhankelijke audits gecontroleerd wordt. Dit houdt in dat de provider niet bijhoudt waar jij via je ip-adres naartoe gaat.

Kijk ook hoeveel apparaten je tegelijk binnen je abonnement met de VPN kunt verbinden en welke toestellen of platformen ondersteund worden. Je wilt immers wellicht niet alleen je laptop, maar ook je tablet, smartphone en die van gezinsleden beschermen.

Natuurlijk speelt ook de prijs mee. Vaak krijg je bij de start van een abonnement een flinke korting, maar kijk zeker ook naar het verlengingstarief en of er een geld-terug-garantie geldt. Zeker voor minder technische gebruikers blijft daarnaast ook gebruiksgemak belangrijk. Googel gerust naar reviews en gebruikerservaringen.

Uiteraard is ook de transfersnelheid belangrijk, maar die is lastig betrouwbaar te meten, gezien deze afhangt van factoren zoals je eigen internetverbinding, de gekozen VPN-server, afstand, tijdstip en netwerkdrukte. Je kunt dit eventueel zelf testen, op verschillende tijdstippen, via diensten als www.speedtest.net, telkens met en zonder actieve VPN.

Naast deze basiscriteria zijn er nog diverse, soms iets technischere opties die interessant kunnen zijn. Zo maakt het wellicht weinig uit of een VPN-dienst 50 of 100 servers aanbiedt, maar je wilt natuurlijk wel een server kunnen kiezen in een land waar bepaalde webdiensten door geografische blokkades alleen ‘lokaal’ beschikbaar zijn.

Ga tevens na welke VPN-protocollen de aanbieder ondersteunt. Zonder technisch te worden, vinden we ondersteuning voor OpenVPN en vooral het moderne en snelle WireGuard een must. Wie vaak wisselt tussen wifi en mobiel internet, kan ook IKEv2/IPsec overwegen. De meeste VPN-apps kiezen tegenwoordig overigens automatisch het geschiktste protocol, meestal is dat WireGuard.

Ook ‘split tunneling’ kan handig zijn. Daarbij bepaal je zelf welke apps of verbindingen via de VPN lopen, zoals je browser en mailservice, en welke rechtstreeks via je gewone internetverbinding gaan, zoals een game of bankapp. Je kunt split tunneling ook inzetten voor een streamingdienst als Netflix, maar je vindt het wellicht leuk om ook eens een buitenlandse VPN-server te kunnen selecteren voor een ander filmaanbod. Sommige VPN-diensten, zoals NordVPN, ondersteunen streamingdiensten beter dan andere, zoals Mullvad.

Sommige netwerken, zoals in bedrijven of hotels, en ook bepaalde streamingdiensten of firewalls proberen actief VPN(-protocollen) te herkennen en te blokkeren. Daarom gebruiken diverse VPN-diensten obfuscatietechnieken met namen als Stealth, Obfuscated Servers of Camouflage Mode. Daarbij vermomt de VPN het verkeer zodat het minder herkenbaar is en minder snel wordt geblokkeerd. Door deze extra camouflage of versleuteling kan de datatransfer wel iets trager verlopen en het accuverbruik licht stijgen.

De meeste VPN-diensten bieden ook een ‘kill switch’ aan. Deze beveiligingsfunctie blokkeert je internetverbinding, meestal apparaatbreed, zodra de VPN-verbinding onverwacht wegvalt. Zo voorkom je dat websites of bittorrent-peers alsnog je echte ip-adres zien doordat automatisch naar de gewone internetverbinding wordt teruggeschakeld. Zet deze functie wel uit voor je de VPN-app of -verbinding sluit om naderhand connectieproblemen via je gewone verbinding te vermijden.

Daarnaast kunnen sommige VPN-apps automatisch verbinding maken of de VPN uitschakelen, afhankelijk van het netwerk waarmee je verbonden bent. Zo kun je bijvoorbeeld instellen dat de VPN automatisch activeert op openbare wifi-netwerken, maar niet thuis.

Houd er bovendien rekening mee dat verkeer naar toestellen in je thuisnetwerk doorgaans via de VPN-tunnel loopt, waardoor je pc bijvoorbeeld je netwerkprinter of NAS niet meer ziet. Je kunt dan wellicht je lokale netwerkverkeer via split tunneling buiten de VPN houden, of gebruikmaken van een functie als Delen op lokaal netwerk of Sta LAN-verkeer toe.

Sommige diensten bieden tegen meerprijs ook een ‘dedicated IP’ aan. Je krijgt dan een vast VPN-ip-adres dat uitsluitend door jou wordt gebruikt. Dit verkleint de kans op blokkades of captcha’s en maakt externe toegang tot bijvoorbeeld een eigen server, NAS of ip-camera eenvoudiger, omdat je verbinding telkens via hetzelfde VPN-ip-adres verloopt. Zo kun je dit adres makkelijker toelaten in firewalls of andere toegangsregels. Keerzijde is wel dat je iets traceerbaarder wordt, omdat je niet langer opgaat in een grote groep gebruikers met hetzelfde VPN-ip-adres.

Hecht je net veel belang aan privacy, dan kun je een VPN-dienst overwegen met ‘RAM-only’ servers. Hierbij bewaart de server alle tijdelijke gegevens uitsluitend in het RAM-geheugen, zodat deze volledig verdwijnen zodra de server herstart of uitschakelt. Kies dan bij voorkeur ook een VPN-aanbieder met een hoofdkantoor buiten landen als Rusland, China, de VS en eventueel andere ‘Five Eyes’-landen.

Privacygevoelige gebruikers letten wellicht ook graag op diverse vormen van lekbescherming. DNS-lekbescherming voorkomt dat DNS-aanvragen (Domain Name System) alsnog via de DNS-server van je provider verlopen, waardoor die anders nog zou kunnen zien welke domeinnamen je bezoekt, ook al loopt de rest van het verkeer via de VPN. Vaak komt daar ook DNS-filtering bij, zodat malafide sites en advertentie- of trackingdomeinen automatisch worden geblokkeerd.

WebRTC-lekbescherming daarentegen voorkomt dat browsers tijdens bijvoorbeeld videobellen rechtstreeks je ip-adres doorgeven. Je kunt dit eventueel testen op www.kwikr.nl/35. Daarnaast bestaat ook IPv6-lekbescherming: als een VPN alleen IPv4 beveiligt terwijl je systeem ook IPv6 gebruikt, kan je echte IPv6-adres namelijk zichtbaar blijven.

Je merkt al snel dat er heel wat komt kijken bij de keuze van een geschikte VPN-dienst en veel hangt af van hoe of waarom je zo’n dienst wilt gebruiken. Sommigen zoeken vooral een degelijke gratis variant, al blijft die keuze helaas beperkt (zie ook het kader ‘Hoe gratis is gratis?’). Anderen willen veel apparaten beschermen, maximale anonimiteit of een app die zich eenvoudig - en het liefst ook in het Nederlands – laat bedienen. Bestudeer daarom de websites van verschillende VPN-aanbieders grondig en vergelijk de voor- en nadelen. Organisaties als Testaankoop (www.kwikr.nl/36) en de Consumentenbond (www.kwikr.nl/37), met onafhankelijke labtests, kunnen daarbij helpen.

Verderop stellen we alvast vier bekende en degelijke VPN-providers kort voor, telkens met focus op hun belangrijkste sterke en zwakke punten. Daarna gaan we praktisch aan de slag met twee ervan: NordVPN op pc en Mullvad op mobiel, zodat je meteen een goed beeld krijgt van hoe een VPN-app in de praktijk werkt.

Windscribe: https://windscribe.com/nl/features/use-for-free

TunnelBear: https://www.tunnelbear.com/pricing

Hide.me: https://hide.me/nl/free-vpn

Proton: https://protonvpn.com/free-vpn

CyberGhost (www.cyberghostvpn.com; 45,5 euro per jaar, halve prijs tijdens de eerste twee jaar of maandelijks opzegbaar voor 11,99 euro) is een Roemeense VPN-dienst met duizenden servers in meer dan 100 landen, waaronder zelf te selecteren gespecialiseerde game-, streaming- en torrentservers. De dienst scoort degelijk op onze basiscriteria. CyberGhost ondersteunt namelijk de drie vermelde VPN-protocollen, biedt een automatische killswitch en split tunneling, en hanteert een geen-logbeleid met onafhankelijke audits.

De app ondersteunt ook DNS-lekbescherming en beperkte DNS-filtering. Handig zijn de zogeheten ‘smart rules’, waarmee je de VPN automatisch kunt laten starten zodra je specifieke apps opent of net een app kunt starten zodra je CyberGhost activeert. Daarnaast kun je de VPN automatisch laten starten of stoppen bij een nieuw (on)veilig wifi-netwerk en verkeer naar specifieke websites buiten de VPN-tunnel houden.

Je kunt maximaal zeven apparaten tegelijk verbinden, wat voor sommige gezinnen wat beperkt kan zijn. Een Nederlandstalige interface ontbreekt voorlopig nog.

CyberGhost richt zich minder op privacypurisme dan Mullvad en biedt minder functies dan NordVPN, maar positioneert zich wel sterk in het middensegment.

Proton VPN (www.protonvpn.com/nl) (circa 84 euro per jaar, met korting tijdens de eerste twee jaar of maandelijks opzegbaar voor 9,99 euro) is gevestigd in Zwitserland, publiceert zijn apps als opensource en laat deze auditen. Ook het geen-logbeleid laat Proton VPN regelmatig extern verifiëren, wat privacybewuste gebruikers zeker zullen waarderen.

Verder dragen een killswitch, IPv6-lekbescherming, DNS-filtering via NetShield en de mogelijkheid om eigen DNS-servers te gebruiken bij aan je privacy. Je kunt bovendien kiezen uit verschillende servertypes, zoals Secure Core met extra encryptie en Tor-servers die verkeer via het Tor-netwerk sturen. Zelfs het NAT-type laat zich aanpassen: het strikte type 3 beperkt inkomend netwerkverkeer, maar kan P2P-gameverbindingen bemoeilijken. Wil je net P2P-verbindingen gebruiken, activeer dan de ingebouwde functie ‘port forwarding’ zodat zulke connecties via een toegewezen poort verlopen.

Daarnaast ondersteunt Proton VPN zowel OpenVPN als WireGuard, al dan niet geobfusceerd via Stealth. De dienst laat je tot 10 apparaten tegelijk beveiligen, biedt ongeveer 20.000 servers in zo’n 145 landen en ondersteunt ook streamingdiensten zoals Netflix.

Als je de app van NordVPN installeert (www.nordvpn.com/nl; circa 87 euro voor de eerste twee jaar of maandelijks opzegbaar voor 11,59 euro), merk je snel dat dit de meest uitgebreide VPN-client uit ons overzicht is. De (van origine Litouwse) dienst werkt op tien apparaten tegelijk, laat zijn geen-logbeleid regelmatig onafhankelijk controleren en valt tegenwoordig onder Panamese jurisdictie, een land buiten diverse internationale surveillance-allianties en zonder verplichte dataretentie.

Ook NordVPN ondersteunt killswitch en Split Tunneling voor geselecteerde apps en werkt met OpenVPN en WireGuard, inclusief varianten met extra privacy (NordLynx) of obfuscatie (NordWhisper).

NordVPN valt vooral op door de extra beveiligingsfuncties. Zo is er Dark Web Monitor, die je waarschuwt wanneer wachtwoorden of andere persoonlijke gegevens gelekt zijn voor maximaal vijf opgegeven e-mailadressen. Daarnaast biedt de uitgebreide Threat Protection-functie onder meer DNS-filtering, anti-malware via het Amerikaanse cybersecuritybedrijf CrowdStrike, controles van browserdreigingen en een advertentie- en trackerblokker.

Thuiswerkers, zelfhosters en andere techliefhebbers zullen ook het ingebouwde Meshnet appreciëren. Je koppelt er zowel eigen apparaten als toestellen van medegebruikers aan, waarna je die via een versleutelde privéverbinding op afstand kunt benaderen alsof ze zich in hetzelfde lokale netwerk bevinden. Via die weg kun je ook veilig bestanden versturen via een versleutelde P2P-verbinding. NordVPN voorziet via een browserextensie ook in een lichtgewicht VPN-proxy voor browserverkeer.

Het Zweedse Mullvad (www.mullvad.net/nl) straalt no-nonsense uit. Dat merk je al aan de prijsstelling: elke abonnee betaalt exact 5 euro per maand, ongeacht de abonnementsduur, en je kunt maandelijks opzeggen. De dienst werkt op (slechts) vijf apparaten en gebruikt een anoniem accountsysteem zonder e-mailadres, met betalingsmogelijkheden via contant geld of crypto.

Die sterke focus op privacy zie je ook terug in technische functies zoals multihop, waarbij je verkeer via meerdere WireGuard-servers loopt. Dit bemoeilijkt tracering, maar kan tot een hogere latentie leiden. Daarnaast biedt Mullvad ‘quantum-resistente’ tunnels aan, met een extra sleuteluitwisseling bovenop WireGuard, evenals DAITA, dat AI-gestuurde analyse van dataverkeer moet tegengaan maar de transfersnelheid iets kan verlagen.

Mullvad ondersteunt in hoofdzaak alleen WireGuard, maar biedt onder de noemer ‘anti-censuur’ verschillende methoden die extra transportlagen of obfuscatietechnieken aan dit protocol toevoegen.

Zoals je kunt verwachten, ontbreken ook functies als een killswitch, split tunneling per applicatie en DNS-filtering niet.

Laten we nu bekijken hoe zo’n VPN-client in de praktijk werkt. Moeilijk is dit niet. We beginnen met een Windows-client en nemen vrij willekeurig de uitgebreide app van NordVPN (www.nordvpn.com) als voorbeeld.

De installatie vraagt slechts een handvol muisklikken, waarna je de app meteen kunt opstarten. De eerste keer meld je je aan met je NordVPN-account, al kun je hier desgewenst nog Account aanmaken kiezen. Bij de eerste start geef je aan of je automatisch verbinding wilt maken met de (volgens AI) snelste VPN-server, of dat je de serverlocatie handmatig kiest op basis van land en eventueel stad. Bevestig daarna met Beveilig mijn verbinding om de VPN-verbinding op te zetten.

Via Verbinding pauzeren onderbreek je de verbinding tijdelijk. Klik op de drie puntjes om opnieuw verbinding te maken of bijvoorbeeld de serverlocatie te wijzigen. Daar vind je ook VPN-instellingen wijzigen voor opties als Kill Switch (let op: als deze actief is en je de VPN verbreekt, heb je mogelijk geen internet meer), Split Tunneling en diverse beveiligingsinstellingen, zoals het VPN-protocol, eigen DNS-servers en of je zichtbaar wilt zijn in je LAN.

Aan de linkerkant vind je ook knoppen voor Threat Protection en het inschakelen van een ‘meshnet’: je koppelt hieraan de gewenste apparaten, waarna je ook rechtstreeks bestanden kunt versturen.

Het activeren van een VPN-verbinding op een mobiel apparaat is doorgaans niet moeilijk. Download de client-app die bij je VPN-abonnement hoort via de officiële appstore, Mullvad VPN in ons voorbeeld, installeer deze en start de app op.

Aanmelden doe je via het accountnummer dat je van Mullvad ontvangen hebt of dat je in de accountinformatie op een andere Mullvad-app kunt aflezen.

Bovenaan zie je de resterende abonnementstijd en onderaan kun je de gewenste serverlocatie selecteren. Bevestig met OK: een sleutelicoontje in de statusbalk of taakbalk geeft aan dat de VPN-verbinding actief is. Via het tandwielpictogram bereik je instellingen zoals DAITA, Multihop en Split tunneling. Zet Delen op lokaal netwerk aan als je andere apparaten in je thuisnetwerk wilt kunnen bereiken. Onder de knop VPN-instellingen vind je de overige opties, waaronder DNS-opties en diverse anti-censuurtechnieken.