IKEv2/IPsec VPN vergelijken: wisselen tussen wifi en 4G/5G

IKEv2 en IPsec doen niet hetzelfde

IKEv2 is het onderdeel dat de VPN-verbinding opzet: apparaten wisselen sleutels uit en spreken af hoe ze elkaar herkennen. IPsec beschermt daarna het dataverkeer. Bij IKEv2/IPsec zie je dus twee namen voor twee samenwerkende onderdelen, niet twee losse VPN-protocollen waaruit je moet kiezen.

De versleutelde gegevens gaan doorgaans via ESP, het IP-protocol dat IPsec voor transport gebruikt. IKEv2 is vastgelegd als internetstandaard en wordt al jaren ondersteund door besturingssystemen en netwerkapparatuur. Dat maakt het een praktische keuze als je een VPN handmatig wilt instellen zonder eerst een aparte app te installeren.

De tabel op deze pagina is gefilterd: hij bevat alleen VPN-plannen die IKEv2/IPsec aanbieden. Dat bewijst niet automatisch dat elke optie MOBIKE ondersteunt, of dat een bepaalde server op jouw telefoon goed reageert wanneer je van netwerk wisselt. Controleer die functie apart als je juist op mobiel gebruik rekent.

Poorten en firewalls kunnen de verbinding blokkeren

IKE gebruikt meestal UDP-poort 500 om de tunnel op te zetten. Als NAT-traversal nodig is, bijvoorbeeld doordat je router adressen vertaalt, loopt IKE- en IPsec-verkeer doorgaans via UDP-poort 4500. Zonder NAT-traversal kan ESP als IP-protocol 50 worden gebruikt. Dat is geen TCP- of UDP-poort.

Dit verklaart waarom IKEv2 op het ene netwerk wel werkt en op het andere niet. Een hotelwifi, bedrijfsnetwerk of andere firewall kan UDP-verkeer of ESP blokkeren. Je krijgt dan mogelijk geen verbinding, ook al zijn je gebruikersnaam en instellingen goed. Bij problemen op één specifieke wifi is testen via mobiele data een nuttige eerste stap.

Zoek je VPN voor netwerken die VPN-verkeer streng filteren, dan is IKEv2 niet vanzelfsprekend de beste keuze. Het protocol gebruikt herkenbare netwerkpoorten en we hebben geen basis om te stellen dat IKEv2-verkeer standaard wordt verhuld. Kies voor zo’n situatie een protocol dat op het betreffende netwerk is toegestaan, in plaats van te verwachten dat IKEv2 een blokkade omzeilt.

Ingebouwde ondersteuning verschilt per apparaat

Een belangrijk voordeel van IKEv2 is de ingebouwde client op veel apparaten. Windows, iPhone en iPad ondersteunen IKEv2 al langer; ook op recente macOS-versies kun je een VPN-profiel instellen zonder een aparte VPN-app. Dat is handig op een laptop waarop je weinig software mag installeren, of als je de VPN-instellingen liever zelf beheert.

Op Windows 11 kun je een IKEv2-profiel toevoegen via de VPN-instellingen. Daarvoor heb je de servernaam en de juiste aanmeldgegevens of certificaten van de VPN-dienst nodig. Op iOS en macOS geldt hetzelfde: het profiel moet kloppen en de server moet het gekozen type authenticatie ondersteunen. De ingebouwde client maakt instellen eenvoudiger, maar vervangt die gegevens niet.

Android vraagt meer aandacht. Ondersteuning hangt af van de Android-versie en de beschikbare client; er is geen versiegrens die voor ieder toestel en iedere configuratie veilig als algemene regel geldt. Controleer daarom de uitleg van je VPN-aanbieder en de instellingen op je telefoon. Een aparte client, zoals de strongSwan-app, kan uitkomst bieden als de ingebouwde opties ontbreken of te beperkt zijn.

Linux heeft geen vergelijkbare standaardclient die op alle distributies op dezelfde manier klaarstaat. strongSwan is een veelgebruikte implementatie; LibreSwan is een alternatief. Op een OpenWrt-router kun je strongSwan inzetten, maar je moet de VPN-configuratie en certificaten zelf goed instellen. Dat past vooral als je bewust routerverkeer via een eigen tunnel wilt sturen.

Netwerk wisselen lukt alleen goed met MOBIKE

De functie die IKEv2 geschikt maakt voor wisselen tussen wifi en mobiel internet heet MOBIKE. Die standaard laat de IP-adressen van de verbinding veranderen zonder dat de tunnel volledig opnieuw hoeft te worden opgebouwd. Je telefoon kan daardoor bijvoorbeeld van het wifi-adres thuis naar een mobiel adres overschakelen terwijl de VPN-sessie actief blijft.

Maar IKEv2 alleen garandeert dat niet. De server of router aan de andere kant moet MOBIKE ondersteunen en het ook op de juiste manier aanbieden. Ondersteuning kan per apparaat en configuratie verschillen. Sommige implementaties kunnen bijvoorbeeld alleen reageren op een MOBIKE-verzoek, maar zelf geen tunnel starten die MOBIKE gebruikt. Vraag bij de VPN-aanbieder specifiek of MOBIKE op de gebruikte servers werkt.

Ook de route van het netwerk speelt mee. Een overstap tussen wifi en 4G/5G kan een nieuw IP-adres opleveren, terwijl een firewall of NAT aan één kant bepaalde adrescombinaties niet goed doorlaat. Dan kan de verbinding alsnog kort wegvallen of opnieuw moeten opbouwen. Test daarom met je eigen telefoon, netwerk en VPN-server. Let tijdens een gesprek of download op of de tunnel actief blijft, niet alleen op het VPN-pictogram.

Gebruik je een eigen router als IKEv2-server, controleer dan de documentatie van precies die firmwareversie. MOBIKE-ondersteuning van de client zegt niets over de mogelijkheden van de gateway. Een werkende verbinding op wifi is dus geen bewijs dat de tunnel ook soepel meeverhuist naar mobiel internet.

Kies zorgvuldig hoe je je aanmeldt

Een certificaat is vaak de stevigste keuze voor authenticatie, mits de server en client het goed configureren. De naam in het certificaat moet overeenkomen met de servernaam die je apparaat gebruikt. Als die naam niet in het certificaat staat, kunnen iOS en Android de verbinding weigeren zonder een duidelijke foutmelding. Op macOS kun je soms een waarschuwing zien en doorgaan, maar dat is geen goede vervanging voor een juist certificaat.

IKEv2 kan ook EAP gebruiken, een manier om wederzijdse authenticatie mogelijk te maken zonder dat je op elk apparaat een persoonlijk certificaat installeert. Welke methode beschikbaar is, hangt af van de VPN-dienst of server. Volg de installatie-instructies nauwkeurig en gebruik niet zomaar dezelfde instelling voor verschillende soorten accounts.

Pre-shared keys zijn een aandachtspunt. Een gedeeld geheim dat kort is of op veel apparaten wordt hergebruikt, is een minder aantrekkelijke keuze dan certificaten of EAP. Bekende zwaktes van IKEv1 met zwakke PSK’s zijn reden om niet achteloos met gedeelde sleutels om te gaan. Die bevinding bewijst op zichzelf niet dat IKEv2-PSK op dezelfde manier kwetsbaar is; vraag bij twijfel welke authenticatie de aanbieder aanbeveelt en hoe sleutels worden beheerd.

Zo gebruik je de vergelijking voor je keuze

In onze volledige VPN-vergelijking staan 22 plannen van 22 aanbieders; de tabel hier laat alleen plannen met IKEv2/IPsec zien. Vergelijk dus eerst de plannen die in deze filter overblijven en controleer daarna de instellingen die voor jouw situatie doorslaggevend zijn.

• Je wilt een ingebouwde client gebruiken: controleer of je apparaat de benodigde authenticatiemethode ondersteunt en of de aanbieder heldere instelgegevens geeft.
• Je wisselt vaak van wifi naar mobiel: vraag expliciet naar MOBIKE-ondersteuning op de server en test de verbinding zelf.
• Je stelt een router in: zoek in de documentatie van de firmware naar IKEv2, MOBIKE en de ondersteunde authenticatiemethoden.
• Je gebruikt een netwerk met strenge blokkades: kies niet op basis van de aanname dat IKEv2 onzichtbaar is; UDP of ESP kan worden tegengehouden.

Voor prijscontext: over de volledige vergelijking lopen maandprijzen van € 0,74 tot € 4,48, met gemiddeld € 2,62. Die bedragen zijn niet specifiek voor de IKEv2-filter. De prijzen zijn voor het laatst bijgewerkt op 31 oktober 2026. Kijk voor je keuze ook naar de looptijd en voorwaarden van het plan; een protocolfilter vertelt je alleen welke VPN-techniek wordt aangeboden.

IKEv2/IPsec past goed bij wie een standaardsgebaseerde VPN wil instellen via de ingebouwde client op een laptop of telefoon. Voor mobiel gebruik is de doorslaggevende vraag niet alleen of de VPN IKEv2 aanbiedt, maar of de server MOBIKE goed ondersteunt. Als je dat niet kunt bevestigen, behandel netwerkovergangen dan als iets om zelf te testen, niet als een gegarandeerde functie.