VPN met WireGuard: snelheid, veiligheid en beperkingen

Een compacte tunnel die één taak doet

WireGuard is een VPN-protocol dat een beveiligde tunnel op laag 3 van het netwerk maakt. Je apparaat stuurt netwerkverkeer door die tunnel naar de VPN-server. Het ontwerp is bewust klein gehouden: minder complexe onderdelen betekent dat ontwikkelaars en beveiligingsonderzoekers de werking makkelijker kunnen doorgronden dan bij een protocol met veel losse opties.

De kern is geen alles-in-één-app. WireGuard regelt de tunnel en de versleuteling; je VPN-aanbieder levert daarnaast een app, servers en vaak ook accountbeheer. Die app kan bijvoorbeeld de serverkeuze en het aanmaken van sleutels voor je regelen. Daardoor kan dezelfde WireGuard-tunnel in de ene app anders aanvoelen dan in de andere.

Een praktisch voordeel merk je als je telefoon van wifi naar mobiel internet wisselt. WireGuard kan het IP-eindpunt van de verbinding bijwerken wanneer het adres verandert. De tunnel hoeft daardoor niet per se helemaal opnieuw ingesteld te worden. Hoe snel je app de verbinding herstelt, hangt wel af van de app en je netwerk; het protocol belooft geen vaste reconnecttijd.

Moderne cryptografie, zonder algoritmemenu

WireGuard gebruikt een vaste set moderne cryptografische bouwstenen. Curve25519 helpt de apparaten een gedeelde sleutel af te spreken. ChaCha20-Poly1305 versleutelt en controleert de gegevens, terwijl BLAKE2s en HKDF worden gebruikt voor hashing en het afleiden van sleutels. Je hoeft zelf geen cipher te kiezen en de twee kanten onderhandelen niet over een lijst algoritmes.

Dat gebrek aan onderhandeling is een bewuste ontwerpkeuze. Het voorkomt dat een verbinding door een downgrade naar een zwakkere optie wordt gestuurd, maar het maakt het protocol ook minder flexibel als een apparaat een onderdeel niet ondersteunt. Tijdens de handshake wisselen de apparaten in twee berichten informatie uit. De sleutels worden na korte intervallen vernieuwd, zodat een oude sessiesleutel niet onbeperkt bruikbaar blijft.

Er is ook ruimte voor een optionele vooraf gedeelde sleutel als extra laag. Dat is geen instelling die je bij elk VPN-abonnement zelf hoeft te beheren; de aanbieder of app bepaalt hoe die functie wordt ingezet. Onderzoekers hebben formele bewijzen gepubliceerd voor eigenschappen van het protocol, waaronder geheimhouding van sessiesleutels. Zo’n bewijs is waardevol, maar niet hetzelfde als een onafhankelijke audit van alle broncode, apps en servers.

Snelheid en batterij: geen vaste winst voor elk apparaat

WireGuard wordt vaak als snel en efficiënt omschreven. Het compacte ontwerp kan helpen om minder werk per pakket te doen, maar de uiteindelijke snelheid hangt ook af van de VPN-server, de afstand tot die server, je internetverbinding, de processor en de gekozen app. Een snelle verbinding op een laptop zegt dus weinig over de snelheid op een oudere router of een druk openbaar wifinetwerk.

Er is geen onafhankelijke benchmark die voor elke situatie een vaste voorsprong op OpenVPN aantoont. VPN-aanbieders publiceren wel eigen tests, maar die gebruiken verschillende apparaten, instellingen en verbindingen. Behandel claims als “sneller” daarom als een aanwijzing om zelf te testen, niet als een garantie. Vergelijk op hetzelfde apparaat, met dezelfde serverlocatie en op hetzelfde netwerk.

Ook voor batterijverbruik geldt: WireGuard kan efficiënt werken, maar je krijgt geen vast percentage winst. Een telefoon die voortdurend data verstuurt, heeft een ander verbruik dan een toestel dat vooral in stand-by staat. Test het een dag op wifi en mobiel internet. Als je batterij sneller leegloopt, controleer dan ook of de app de tunnel actief houdt terwijl je hem niet nodig hebt.

Controleer de app en je apparaten

WireGuard is beschikbaar voor gangbare systemen zoals Windows, macOS, Linux, iOS en Android. Beschikbaarheid van software betekent niet automatisch dat het protocol al in de instellingen van je besturingssysteem zit. Op Windows heb je bijvoorbeeld een WireGuard-client of de app van je VPN-aanbieder nodig. Controleer voor je bestelt of de aanbieder een app heeft voor elk apparaat dat je wilt gebruiken.

Linux heeft WireGuard sinds kernelversie 5.6 in de hoofdlijnkernel. Dat maakt het geschikt om ook op servers en compatibele routers te gebruiken. Voor routers moet je verder kijken dan alleen de naam van het protocol: de firmware moet WireGuard ondersteunen en de processor moet genoeg capaciteit hebben voor het verkeer dat je erdoorheen wilt sturen. Controleer de documentatie van je router en firmware voordat je een abonnement kiest.

Een VPN-app is voor de meeste mensen de eenvoudigste route. Die kan sleutels en serverinstellingen beheren zonder dat je handmatig configuratiebestanden importeert. Gebruik je een router, een oud toestel of een systeem waarvoor geen geschikte app beschikbaar is, dan kan IKEv2 of een andere ondersteunde optie praktischer zijn.

UDP werkt vlot, maar kan worden geblokkeerd

WireGuard verstuurt al zijn pakketten via UDP. De standaardpoort is UDP 51820, al kan een beheerder de poort aanpassen. UDP is geen TCP-verbinding en WireGuard heeft zelf geen TCP-modus. Dat is belangrijk op plekken waar uitgaand UDP-verkeer wordt tegengehouden, zoals sommige hotels, scholen en bedrijfsnetwerken.

Als UDP wordt geblokkeerd, kan de WireGuard-tunnel zonder extra aanpassing geen verbinding maken. Een TCP-wrapper kan UDP-verkeer in een andere vorm vervoeren, maar vraagt extra configuratie en is niet automatisch onderdeel van de VPN-app of een ondersteund pad van de aanbieder. Wil je zonder gedoe kunnen verbinden op streng beheerde netwerken, kijk dan of het abonnement OpenVPN over TCP ondersteunt. Dat kan beter passen, al is ook die verbinding afhankelijk van het netwerkbeleid.

Ga er niet van uit dat WireGuard-verkeer overal onzichtbaar is of censuur omzeilt. Er zijn discussies over herkenning van het handshake-verkeer, maar uitspraken over detectie verschillen per netwerk en situatie. Voor dagelijks gebruik op thuis-wifi en mobiel internet is dat meestal geen reden om het protocol te mijden. Reis je naar een plek met strenge blokkades, kies dan een VPN met een bruikbaar alternatief en test dat vooraf.

Voor wie werkt WireGuard het best?

WireGuard gebruikt publieke sleutels om apparaten als peers te herkennen. Het heeft op zichzelf geen gebruikersnaam- en wachtwoordscherm, SSO of gebruikersbeheer zoals je dat bij een bedrijfslogin verwacht. Een VPN-app kan je account natuurlijk wel gebruiken om toegang te verlenen, maar de tunnel zelf identificeert de peer via sleutels. Voor zakelijke toegang met centraal accountbeheer is WireGuard alleen daarom niet altijd de juiste oplossing.

Voor een moderne telefoon of laptop is WireGuard een logische eerste keuze als de app van je aanbieder het ondersteunt. Het past ook bij een compatibele router als je het verkeer van meerdere apparaten via één tunnel wilt leiden. Kies liever een alternatief als je apparaat geen geschikte client heeft, je netwerk UDP blokkeert of je per gebruiker wilt inloggen.

• Kies WireGuard voor dagelijks gebruik op een moderne telefoon, laptop of ondersteunde router, zeker als je vaak tussen wifi en mobiel internet wisselt.
• Kijk naar OpenVPN over TCP als je verbinding moet maken op netwerken die UDP beperken.
• Overweeg IKEv2 of een bedrijfs-VPN als je apparaat WireGuard niet ondersteunt of je organisatie gebruikerslogin en centraal beheer vereist.

De tabel hierboven is gefilterd op VPN-plannen met WireGuard-ondersteuning. De variabelen hieronder gaan juist over onze volledige VPN-vergelijking, niet alleen over deze filter: daarin staan 22 plannen van 22 aanbieders en beginnen de maandprijzen bij € 0,74. De prijzen zijn voor het laatst bijgewerkt op 31 oktober 2026. Controleer op de aanbiederspagina welke apparaten, apps en verbindingsopties bij het specifieke plan horen; ondersteuning kan per abonnement verschillen.