Wanneer je op afstand een apparaat of server in je thuisnetwerk benadert, is dat niet zonder risico. Met een eigen VPN-server creëer je een versleutelde verbinding. Daarmee blijft je netwerk van buitenaf onzichtbaar, behalve voor geautoriseerde apparaten zoals je smartphone.

Het kan handig zijn om bijvoorbeeld services op je thuiscomputer, of andere apparaten, zoals ip-camera’s en domotica op afstand te benaderen. Veel gebruikers maken dit mogelijk met een poortdoorverwijzing in de router. Deze gaat rechtstreeks naar een of andere interne service waardoor de poorten van deze services ook van buitenaf bereikbaar zijn. Dit is helaas niet de veiligste oplossing. Veel botnets en hackers scannen namelijk automatisch op open poorten om vervolgens gerichte aanvallen uit te voeren. Zo kan ook malware worden geïnstalleerd die zich vervolgens naar andere apparaten in je netwerk kan verspreiden.

Daarnaast is het verkeer met je thuisnetwerk vaak onversleuteld, zeker wanneer je geen https of TLS (Transport Layer Security) gebruikt. Maak je bijvoorbeeld verbinding via een openbaar wifi-netwerk, dan kunnen aanvallers makkelijk je gegevens onderscheppen en je netwerkverkeer manipuleren. Met een eigen VPN-server in je netwerk vermijd je deze risico’s grotendeels. We leggen uit hoe dit werkt, maar vooral hoe je dit installeert op een Windows-pc en je netwerk extern via deze server benadert. Je kunt dit eventueel ook realiseren op je Raspberry Pi, NAS of binnen Home Assistant.

Virtual Private Network

Een VPN-verbinding (Virtual Private Network)werkt door eerst een VPN-server op te zetten en te bepalen welke apparaten of clients toegang krijgen. Dit gebeurt via een cryptografisch sleutelpaar, bestaande uit een publieke en private sleutel, uniek voor elke client. Je kunt VPN-servers meestal ook zo configureren dat elke client aan een specifiek ip-adres wordt gekoppeld, waardoor alleen aanvragen met de juiste publieke sleutel vanaf dat ip-adres worden geaccepteerd. Niet-herkende sleutels krijgen doorgaans helemaal geen reactie (silent drop), wat wel zo veilig is. Alleen vertrouwde apparaten kunnen dus verbinding maken. Bovendien wordt ook het dataverkeer volledig versleuteld, zodat internetproviders en hackers dit niet kunnen lezen.

Als je via een VPN-server op je thuisnetwerk verbinding maakt met het internet, zien verder alleen websites en diensten het publieke ip-adres van je thuisnetwerk. Ze zien dus niet die van je mobiele apparaat. Dit kan handig zijn als je bijvoorbeeld online wilt bankieren vanuit het buitenland. Sommige banken blokkeren buitenlandse transacties of vragen om extra verificatie.

Er zijn enkele betrouwbare VPN-protocollen, zoals OpenVPN, IKEv2/IPsec en WireGuard. In dit artikel gaan we aan de slag met WireGuard. Die biedt niet alleen sterke encryptie en snelle verbindingen (via UDP), maar is via WireGuard Easy relatief eenvoudig te installeren op Linux en Windows (met Docker Compose).

Een veilige verbinding via een versleutelde VPN-tunnel.

Docker Desktop

We installeren de VPN-server op een Windows 11-pc. Dit gaat het eenvoudigst via Docker Desktop. Deze applicatie is beschikbaar voor Windows, macOS en Linux. Hiermee draai je een nagenoeg kant-en-klare WireGuard-server in een geïsoleerde omgeving, oftewel een container.

De installatie verloopt in enkele muisklikken: de eerste keer klik je op Accept en twee keer op Skip. Minimaliseer hierna het venster, maar laat de app draaien. Standaard wordt ook Docker Compose geïnstalleerd, dit is een opdrachtregeltool waarmee je vanuit één configuratiebestand (docker-compose.yml) ook meerdere containers tegelijk kunt starten en beheren. Dit maakt het opzetten van de WireGuard-server eenvoudiger. Je kunt vanaf de Opdrachtprompt met de opdrachten docker info (of docker run hello-world) en docker compose version checken of beide componenten beschikbaar zijn.

Docker Desktop heb je met enkele klikken geïnstalleerd.

Docker Compose

Docker is nu klaar om de WireGuard-container te installeren, starten en beheren. Gebruik hiervoor dit docker-compose.yml-bestand. Scrol op de pagina naar de link docker-compose.yml en druk op het knopje Copy raw file (rechtsboven). Open een teksteditor, zoals Notepad++  of Kladblok. Plak de inhoud met de toetscombinatie Ctrl+V in de editor. Sla dit bestand op als docker-compose.yml in een aparte, eventueel nog te creëren map, bijvoorbeeld C:\Users\<je_gebruikersnaam>\docker\wireguard.

Het nog onbewerkte yml-bestand hebben we lokaal opgeslagen.

Wachtwoord en taal

Wijzig het standaardwachtwoord zonder dit in leesbare vorm op te slaan. Gebruik het veld PASSWORD_HASH en voer hier een versleutelde wachtwoord-hash in.

Ga hiervoor naar de hash generator, vul het gewenste wachtwoord in bij Enter plain text to hash en klik op Generate. Kopieer de Hashed Output met Ctrl+C en plak deze met Ctrl+V achter PASSWORD_HASH= in het yml-bestand. Verwijder hier het commentaarteken # en vervang alle enkele $-tekens in de hash door dubbele $$-tekens. Voor bijvoorbeeld het wachtwoord 123ReshiftNL!!! zou dit opleveren: PASSWORD_HASH=$$2a$$04$$OXVNdAoCApXePuUr1IXNqe2JuDf.62hzkbINCSPGaf4QMOhQadP.i.

Als je het WireGuard-dashboard niet wilt beveiligen, kun je deze regel geheel verwijderen, maar dit is niet aan te raden. Verder kun je de dashboardinterface instellen op Nederlands door in het yml-bestand – LANG=en te vervangen door – LANG=nl.

Veiligheidshalve gebruik je een wachtwoordhash en dus niet het wachtwoord zelf.

Netwerkparameters

Een andere belangrijke parameter is nog WG_HOST. Deze kun je, als test, voorlopig instellen op het interne ip-adres van de pc met je WireGuard-server. Zorg er bij voorkeur voor dat dit een vast of gereserveerd ip-adres is. Je vindt dit adres door op de Opdrachtprompt het commando ipconfig uit te voeren, achter IPv4 Address bij je actieve netwerkverbinding, zoals Ethernet of Wi-Fi.

Je treft in het yml-bestand bijvoorbeeld ook WG_DEFAULT_DNS aan. Standaard wordt blijkbaar de CloudFlare DNS-server (1.1.1.1) gebruikt, maar als je wilt kun je dit hier wijzigen, bijvoorbeeld in WG_DEFAULT_DNS=8.8.8.8, 8.8.4.4 voor de Google DNS-servers (verwijder dan ook het commentaarteken #).

Noteer ook de poorten die door WireGuard worden gebruikt: 51820 (poort voor inkomende VPN-verbindingen) en 51821 (poort voor het lokale dashboard). Uit veiligheidsoverwegingen zou je eventueel de luisterpoort voor inkomende connecties kunnen aanpassen. Dat doe je bijvoorbeeld als volgt: - “55555:51820/udp”. De eerste, gewijzigde poort is namelijk de externe poort. De tweede poort is de interne poort die WireGuard zelf gebruikt en deze moet zo blijven. Er zijn nog heel wat andere instelbare parameters, maar deze kun je in principe ongewijzigd laten.

De meeste parameters in het yml-bestand kun je (gelukkig) ongemoeid laten.

Proefdraaien

Controleer of alle items die met – beginnen netjes onder elkaar staan uitgelijnd, want YAML blijkt gevoelig voor spaties en inspringingen. Bewaar vervolgens het gewijzigde yml-bestand via Bestand / Opslaan(als).

Hoewel er nog router- en clientinstellingen nodig zijn, kan het geen kwaad om alvast te testen of de WireGuard-container goed opstart en het dashboard bereikbaar is. Open de Opdrachtprompt en navigeer naar de WireGuard-map (C:\Users\<je_gebruikersnaam>\docker\wireguard in ons eerdere voorbeeld). Voer daar het commando docker compose up -d uit.

Als Docker meldt dat de Windows Firewall de verbinding blokkeert, klik dan op Toestaan. Kort daarna verschijnt de melding Container wg-easy Started. In Docker Desktop, bij het onderdeel Containers, zie je dat wg-easy actief isen via Show all ports worden de netwerkpoorten weergegeven zoals in het yml-bestand opgenomen. Hier kun je de container ook stoppen, opnieuw starten of desnoods verwijderen.

Test het WireGuard-dashboard door op de pc te surfen naar localhost:51821. Na het invoeren van het wachtwoord verschijnt de melding dat er nog geen clients zijn. Die moet je dus eerst nog aanmaken.

Je kunt op verschillende manieren controleren of de container goed is opgestart.

Client op je mobiel

Maak voor elk apparaat dat je met de VPN-server wilt verbinden een aparte login aan, zodat je altijd ziet welke apparaten een connectie hebben gemaakt. Klik op +Nieuwe client, geef een duidelijke naam in, zoals Mijn Android smartphone, en bevestig met Creëren. Je krijgt nu het ip-adres te zien dat WireGuard voor deze connectie reserveert. Zorg dat de schakelknop is ingeschakeld en klik op het QR-code-pictogram.

Ga nu naar je apparaat. Test dit eerst met een smartphone die verbonden is met hetzelfde netwerk als je WireGuard-server. Download en open de WireGuard-app via de appstore. Tik op de +-knop en kies Scan van QR-code. Bevestig met Tijdens gebruik vanapp en richt de camera op de QR-code op je pc. Geef de tunnel een naam, zoals MijnWireGuard, en bevestig met Maak nieuwe tunnel.

Zodra je de schakelknop bij deze verbinding inschakelt, wordt de VPN-connectie opgezet. Dit herken je vaak aan een sleutelicoontje in de statusbalk. Tik op de naam van de verbinding om details te bekijken zoals de Publieke sleutel, Adressen, ingestelde DNS-servers, het Eindpunt (poort en ip-adres waarop je WireGuard-server luistert) en de Transfer (ontvangen en verzonden data). Dit dataverkeer kun je trouwens ook realtime volgen in het WireGuard-dashboard bij de betreffende client.

Zowel op de server als op de client kun je de verbinding en transfers volgen.

Client op je pc

Als je apparaat geen QR-code ondersteunt, kun je een configuratiebestand gebruiken. Ga naar het WireGuard-dashboard en klik op het downloadicoontje naast de betreffende client om een conf-bestand te genereren.

Voor bijvoorbeeld een Windows-laptop installeer je met een paar muisklikken eerst de WireGuard-app. Start deze app en klik op Import tunnel(s) from file. Verwijs naar het gedownloade conf-bestand en bevestig met Activate. De VPN-connectie wordt meteen opgezet.

Je kunt een VPN-verbinding ook opzetten met het bijbehorende configuratiebestand.

Externe toegang

De VPN-connectie werkt voorlopig helaas alleen binnen je eigen netwerk, wat niet zo nuttig is. Om je VPN-server ook extern bereikbaar te maken, gebruik je niet het interne ip-adres van de server, maar vul je in het yml-bestand achter WG_HOST= het publieke ip-adres van je router/netwerk in. Dit adres vind je door vanaf je netwerk naar www.whatismyip.org te surfen en bij My Public IPv4 te kijken. Dit resulteert bijvoorbeeld in WG_HOST=85.196.235.130.

Zet deze wijzigingen door door de WireGuard-container opnieuw te creëren, door vanuit de WireGuard-map de commando’s docker compose down en docker compose up -d uit te voeren.

Maak opnieuw de container aan om aanpassingen in het yml-bestand door te voeren.

Routerconfiguratie

Je kunt dit op zich al testen, maar verder dan je router kom je helaas niet. Je moet namelijk eerst een mechanisme instellen dat aanvragen voor WireGuard (op standaardpoort 51820) doorstuurt naar de computer waarop de VPN-server draait. Hoe je deze poortdoorverwijzing uitvoert, hangt af van je routermodel. Op deze site staan instructies voor talrijke modellen.

Meestal komt het hierop neer: Meld je aan bij je router via de browser. Het interne ip-adres van je router vind je door ipconfig in de Opdrachtprompt uit te voeren, en bij Default Gateway te kijken. Zoek in de routerconfiguratie een rubriek als PortForwarding of eventueel Virtual Server en creëer een nieuwe regel. Stel zowel de externe als interne poort in op 51820 (UDP) en vul tevens het interne ip-adres van je WireGuard-server in. Bevestig je instellingen. Maak vervolgens een nieuwe client aan in je WireGuard-dashboard. Hiermee zou je nu ook extern verbinding moeten kunnen maken met de VPN-server.

Zo ziet de poortdoorverwijzingsregel eruit op onze eigen router (D-Link EaglePro AI).

DDNS: registratie

We zijn er helaas wellicht nog niet helemaal. De kans is namelijk reëel dat je internetprovider je publieke ip-adres dynamisch toekent, waardoor dit adres zomaar kan wijzigen. In plaats van dit na elke wijziging telkens handmatig aan te moeten passen in het WireGuard yml-bestand, is het beter een DDNS-dienst (Dynamic DNS) te gebruiken.

Een handige, gratis optie is DuckDNS. Ga naar www.duckdns.org en maak een account aan, bijvoorbeeld via Sign in with Google. Kies een geschikt subdomein en bevestig met add domain, bijvoorbeeld http://mijn-wireguard.duckdns.org. Als alles goed gaat, verschijnt je publieke ip-adres automatisch bij current ip. Vul het desnoods handmatig in en bevestig dan met update ip. Noteer het token dat bovenaan wordt weergegeven, bijvoorbeeld c88e263d-3c31-4a72-a879-6aeb90660037.

Om te testen of je domein correct werkt, open je de Opdrachtprompt en geef je (in ons voorbeeld) het volgende commando:

Dit zou je publieke ip-adres moeten tonen. Vul nu deze domeinnaam (mijn-wireguard.duckdns.org) in het yml-bestand achter WG_HOST=, en maak de bestaande container opnieuw aan, zoals eerder uitgelegd.

Creëer het gewenste subdomein bij DuckDNS en controleer of dat operationeel is.

DDNS: auto-update

De DDNS-provider heeft het gekozen subdomein aan je huidige publieke ip-adres gekoppeld. Nu moet je ervoor zorgen dat deze koppeling behouden blijft, ook als het publieke ip-adres wijzigt. Dit kan door een op de achtergrond draaiende Docker-container een API (Application Programming Interface) van Duck DNS te laten aanroepen.

Open je teksteditor en voer de volgende code in:

Vervang uiteraard <mijn_subdomein> en <mijn_duckdns_token> door de juiste waarden. Bewaar dit bestand als docker-compose.yml in een aparte map, bijvoorbeeld C:\Users\<je_gebruikersnaam>\docker\duckdns. Voer vervolgens vanuit deze map het commando docker compose up -d uit en controleer in Docker Desktop of de container van Duck DNS draait.

Met een extra container houd je de Duck DNS-koppeling netjes up-to-date.

Bij ID.nl zijn we gek op producten met een goede prijs-kwaliteitverhouding. Daarom speurt de redactie een aantal keer per week naar zulke deals. Dit keer: ijsmachines voor thuis om het lekkerste verfrissende ijs mee te maken.

Een ijsmachine voor thuis maakt het mogelijk om snel en eenvoudig softijs, sorbet of yoghurtijs te produceren. Je plaatst het reservoir met het ijsmengel eerst een tijdje in de vriezer en na een tijd kun je het ijs gaan maken met de machine. De aangegeven bereidingstijd bij de afzonderlijke ijsmachines hebben betrekking op het bereiden van het ijs in de machine, de invriesperiode komt daar nog bij. Wij vonden vijf aantrekkelijk geprijsde ijsmachines voor je.

Magimix Glacier 1.5

Met de van Italiaanse makelij Magimix Glacier maak je thuis makkelijk je roomijs, sorbet of vruchtenijs. De ijsemmer (1,5 liter) moet je vooraf 10 tot 12 uur in de vriezer zetten. Daarna doet de machine in 20 tot 30 minuten de rest. Door het doorzichtige deksel kun je zien hoe het ijs wordt, en via de opening voeg je extra’s toe zoals fruit of chocolade. De roestvrijstalen kom en onderdelen zijn eenvoudig schoon te maken. Hij wordt geleverd met een receptenboek en staat ook nog eens leuk op het aanrecht.

Inhoud: 1.5 Liter
Bereidingstijd: ca. 30 minuten
Ijssoorten: Hard ijs | Softijs | Sorbetijs | Yoghurtijs

MEDION MD 10169

Met de MEDION MD 10169 maak je eenvoudig tot 1 liter ijs per keer, ideaal voor een zomerse middag, kinderfeestje of tuinfeest. Je bepaalt zelf de ingrediënten en kunt volop variëren met smaken en toppings. Door het compacte formaat past hij ook in kleinere keukens. De bediening gaat via een simpele draaischakelaar, waarmee je de bereidingstijd aanpast voor de gewenste structuur. De aluminium container is uitneembaar en snel schoon te maken.

Inhoud: 1 Liter
Bereidingstijd: ca. 60 minuten
Ijssoorten: Frozen yoghurt | Sorbet | Fruitijs

Domo D02309I

De Domo D02309L ijsmachine is een compact apparaat waarmee je ongeveer 1 liter zacht roomijs kunt maken. Plaats de uitneembare vrieskom enkele uren in de vriezer, zet hem daarna in het apparaat en voeg via de vulopening je ingrediënten toe. Met slechts één knop is de bediening heel eenvoudig: drukken en draaien maar. De machine heeft een oververhittingsbeveiliging voor veilig gebruik en is na afloop makkelijk uit elkaar te halen en schoon te maken. Dankzij het compacte formaat berg je hem ook gemakkelijk op.

Inhoud: 1 Liter
Bereidingstijd: ca. 40 minuten
Ijssoorten: Sorbetijs | Hard ijs | Yoghurtijs

Princess 282605

Met de Princess 282605 IJsmachine maak je eenvoudig tot 1,5 liter ijs, genoeg voor het hele gezin. Zet de uitneembare kom minstens 8 uur in de vriezer en binnen 20 minuten verander je een mengsel in romig roomijs, frisse sorbet of frozen yogurt. Via de vulopening kun je tijdens het draaien extra ingrediënten toevoegen, zoals fruit of chocolade. Dankzij het compacte formaat neem je hem makkelijk mee, zelfs op vakantie. De losse onderdelen, waaronder de kom, zijn vaatwasserbestendig, waardoor schoonmaken weinig moeite kost.

Inhoud: 1.5 Liter
Bereidingstijd: ca. 20 minuten
Ijssoorten: Softijs | Sorbetijs | Yoghurtijs | Hard ijs

Nedis KAIM110CWT12 ijsmachine

Met de Nedis ijsmaker zet je in zo'n 30 minuten je eigen ijs op tafel. Vul de voorgekoelde kom met je favoriete ingrediënten en laat het apparaat rustig mengen tot je vers, zelfgemaakt ijs hebt. Je kunt alle kanten op: van romige ijsdesserts en fris yoghurtijs tot fruitige sorbets. Gebruikers van deze ijsmachine geven aan dat de aangegeven vriestijd van 12 uur te kort lijkt om het ijs goed te kunnen bereiden, het goedje een extra dagje in de vriezer bewaren wordt dan ook aangeraden.

Inhoud: 1.2 Liter
Bereidingstijd: ca. 30 minuten
Ijssoorten: Yoghurtijs | Sorbetijs

De Samsung Galaxy Z Flip 7 is een smartphone die je verticaal dichtklapt, waardoor hij compacter in je broekzak of handtas zit. Leuk, maar de meerwaarde zit 'm vooral in het extra scherm op de achterkant van de smartphone. In deze review lees je alles over deze bijzondere smartphone.

Zoals de naam doet vermoeden, is Samsung al heel wat generaties bezig met klapsmartphones. Andere merken, zoals Motorola en Oppo, zijn dat ook. Die nieuwste toestellen voelden completer en moderner aan dan de Z Flip 6 van Samsung, onder andere door een groter scherm op de achterkant. Goed nieuws: Samsung maakt met de Z Flip 7 een inhaalslag.

Betere foto's dankzij klapmodus

Ten opzichte van de Z Flip 6 heeft de Z Flip 7 een groter scherm achterop, wat het gebruiksgemak vergroot. Het scherm is gegroeid van 3,4 inch naar 4,1 inch. Meldingen, het weerbericht en andere mini-apps komen prettiger over en ook de cameramodus profiteert van het gegroeide scherm. Zet je de smartphone half uitgeklapt neer op bijvoorbeeld een tafel, dan zie je op het buitenste scherm hoe je in beeld bent.

©Rens Blom

Door je hand voor de camera op te steken, start de timer met aftellen en word je handsfree vastgelegd. Dat is al handig en cool, maar helemaal prettig is dat je gefotografeerd wordt door de primaire camera's van de Z Flip 7. Die zijn een stuk beter dan de selfiecamera. Je staat dus echt goed op de foto (of video). Samsung prijst de Z Flip 7 mede om deze reden onder meer aan bij jongeren en vrouwen.

©Rens Blom

Verfijnde klapper

De Z Flip 7 voelt sowieso aan als een verfijnde, premium klapsmartphone. Het toestel is dunner dan zijn voorganger en heeft een vouwscharnier dat minder opvalt, waardoor je de horizontale vouw op het grote beeldscherm minder ziet en voelt. Wie sceptisch is, kan de Z Flip 7 het best zelf uitproberen in een winkel om te ervaren of die terughoudendheid terecht is. In het begin voelden we de vouw duidelijk, maar na een week gebruik waren we zo gewend dat we de vouw vaak vergaten. Volgens Samsung is het scharnier ook sterker dan dat van de Z Flip 6, wat wij zelf niet zomaar kunnen testen.

©Rens Blom

Het 6,9inch-scherm aan de binnenkant is kwalitatief erg goed, maar wel groot en daarom moeilijk met één hand te bedienen. Het blijft niettemin knap dat zo'n normaal ogend scherm gewoon dichtklapt, en dat jarenlang moet volhouden.

©Rens Blom

Een ontwerpkeuze waar wij minder blij mee zijn, is de aan- en uitknop. Die is nogal verzonken in de rechterkant van de behuizing, waardoor je hem moeilijker op de tast vindt. Dat is extra jammer omdat de vingerafdrukscanner in deze knop zit, en je die snel op de tast wilt kunnen aanraken.

Specificaties

Samsung vraagt een adviesprijs van 1199 euro voor de Z Flip 7. Dat is een hoop geld, dus mag je goede specificaties in de telefoon verwachten. Niet alles draait immers om het bijzondere ontwerp. Samsung weet dat ook en voorziet de smartphone van een zelfontwikkelde snelle Exynos-processor. Het werkgeheugen is met 12 GB ook lekker groot. De opslagcapaciteit bedraagt standaard 256 GB, of meer als je een duurder model koopt. Wij denken dat veel mensen prima af zijn met de 256GB-variant.

©Rens Blom

Geen accumonster

Een aandachtspunt van deze vouwbare smartphone is zijn accuduur. Hoewel de accu van de Z Flip 7 wat groter is dan die van de Z Flip 6, blijft de accucapaciteit (4300 mAh) klein ten opzichte van een reguliere smartphone (die tegenwoordig om en nabij de 5000 mAh zitten). Het is dus niet gek dat de accuduur korter is. Wij moeten de Z Flip 7 echt elke avond bij het slapengaan aan de oplader leggen en bij intensief gebruik zoals navigeren al na het avondeten. Opladen kan alleen via de usb-c-poort en met maximaal 25 watt. Dat is niet zo rap.

Zeven jaar updates

Laten we positief afsluiten, namelijk met de software. Samsungs softwareschil over Android 15 geeft je een duidelijke uitleg over hoe je het vouwbare scherm zo lang mogelijk mooi houdt. De software zelf werkt prima en krijgt zeven jaar updates, zowel Android-updates (met nieuwe functies) als beveiligingsupdates.

©Rens Blom

Conclusie: Samsung Galaxy Z Flip 7 kopen?

De Samsung Galaxy Z Flip 7 is – niet geheel verrassend – Samsungs beste klapsmartphone tot dusver. Het is ook een goede koop, mits je rekening houdt met de kortere accuduur. Samsung kennende zal de dure Z Flip 7 snel in prijs dalen, dus loont het zeker om aanbiedingen in de gaten te houden. De Motorola razr 60 ultra is een interessant alternatief.