VPN-protocollen uitgelegd: WireGuard, OpenVPN, IPsec — welke kiezen in 2026

Welk VPN-protocol kiezen in 2026?

Een VPN-protocol is het geheel van technische regels die de tunnel tussen je toestel en de VPN-server bouwen en beveiligen. Hieronder de drie families die je in de meeste applicaties zal tegenkomen, met generieke in de gedocumenteerde stand van de sector erkende kwalificaties — niet onze eigen metingen, die specifiek blijven voor elke aanbieder.

WireGuard, in het kort. Snel te verbinden, licht op de batterij, moderne cryptografie. De standaardkeuze voor een dagelijks gebruik: surfen, streaming, op gsm.

OpenVPN, in het kort. Gematigde snelheid, even stevige maar over een langere periode beproefde veiligheid. De goede keuze op een zeer restrictief netwerk of voor een geavanceerde configuratie.

IPsec/IKEv2, in het kort. Snel, zeer goede veiligheid, vlotte herverbinding tussen wifi en 4G. Het comfortabelst in mobiliteit.

Geen universele winnaar: het goede protocol hangt af van je gebruik, hieronder gedetailleerd.

Wat is een VPN-protocol?

Als de VPN een tunnel is tussen je toestel en het internet (zie onze gids wat is een VPN voor de volledige analogie), is het protocol de bouwmethode van die tunnel: hoe de twee uiteinden elkaar herkennen, hoe de versleutelingssleutels worden uitgewisseld, welk algoritme concreet de gegevens versleutelt die erin circuleren.

Twee VPN-tunnels kunnen dezelfde twee punten verbinden (je toestel en de server), maar met verschillende bouwmethoden: de ene sneller op te zetten, de andere toleranter voor grillige netwerken, een derde eenvoudiger publiekelijk te auditeren. Dat is precies het verschil tussen WireGuard, OpenVPN en IPsec/IKEv2.

WireGuard: de moderne standaard

WireGuard is het meest recente van de drie, gepubliceerd in 2015 en in de daaropvolgende decennium gestabiliseerd. Hij heeft zich snel opgedrongen als standaardkeuze bij de meerderheid van de VPN-aanbieders, in die mate dat hij OpenVPN naar een secundaire optie in veel applicaties heeft gestuurd. Zijn voornaamste sterkte: een radicaal compactere broncode dan de oudere protocollen, wat hem eenvoudiger publiekelijk te auditeren maakt en het potentiële aanvalsoppervlak mechanisch vermindert — minder code, dat zijn minder plekken waar een veiligheidsbug zich kan verstoppen. Hij gebruikt moderne en vaste cryptografische primitieven (ChaCha20 voor de versleuteling, Curve25519 voor de sleuteluitwisseling, Poly1305 voor de pakketauthenticatie) eerder dan een configureerbare keuze tussen meerdere algoritmes zoals OpenVPN — een opzettelijke keuze van de ontwerpers om configuratiefouten te beperken.

Historische grens van WireGuard in zijn standaardversie: hij kent een statisch IP-adres toe aan elke gebruiker aan serverzijde om te werken, wat een privacyvraag stelt (een waarnemer van de server zou in theorie een vast IP met een precieze gebruiker op de duur kunnen koppelen). Dat is precies het punt dat meerdere eigen implementaties proberen te corrigeren (zie de sectie over de eigen protocollen hieronder).

OpenVPN: de configureerbare veteraan

OpenVPN is het oudste van de drie dat nog ruim wordt gebruikt, open source sinds begin de jaren 2000 en beschouwd als een van de meest beproefde van de sector — zijn lange leven en het volume aan publieke audits waaraan hij zich heeft onderworpen hebben hem tot een betrouwbaarheidsreferentie gemaakt. Hij kan werken in UDP (sneller) of in TCP (betrouwbaarder, met name op poort 443, dezelfde als het klassieke HTTPS-verkeer) — een concreet voordeel om een ondernemingsfirewall te omzeilen of een netwerk dat specifiek gedetecteerde VPN's blokkeert, aangezien zijn verkeer kan opgaan in gewoon webverkeer in de ogen van een firewall die per poort filtert eerder dan per diepe inspectie van pakketten.

Zijn grote sterkte blijft zijn configureerbaarheid: meerdere versleutelingsopties, obfuscatieplugins van derden, aanpasbare poorten. Zijn voornaamste compromis juist: een duidelijk omvangrijkere broncode dan WireGuard, wat hem tot een zwaarder protocol maakt om te laten draaien (met name op batterij) en complexer om in zijn geheel te auditeren. Voor een concreet gebruiksgeval waarin die obfuscatie écht telt, zie onze pagina VPN voor China — zonder garantie van werking aan onze kant.

IPsec/IKEv2: de mobiele keuze

IPsec (Internet Protocol Security) is een door de IETF gestandaardiseerde protocolsuite, bijna altijd gekoppeld aan IKEv2 (Internet Key Exchange versie 2) voor de onderhandeling van de verbinding. Zijn voornaamste troef: het native beheer van netwerkwissels (MOBIKE), dat de VPN-verbinding toelaat zonder onderbreking te overleven wanneer je van wifi naar 4G schakelt, of omgekeerd — een echt comfort voor een regelmatig gebruik op gsm, dat vermijdt een verbinding te moeten herstellen bij elke netwerkwissel. IPsec/IKEv2 wordt ook natively ondersteund door meerdere mobiele besturingssystemen op het niveau van het systeem zelf, wat zijn implementatie aan applicatiezijde vereenvoudigt en verklaart waarom hij een gangbare keuze blijft voor manuele VPN-configuraties, zonder langs een toegewijde applicatie te passeren.

Wat is een eigen VPN-protocol?

Meerdere aanbieders hebben hun eigen protocolvariant ontwikkeld eerder dan uitsluitend op de open standaarden te steunen. Twee opvallende voorbeelden in onze vergelijking:

NordLynx, ontwikkeld door NordVPN, is gebouwd op de basis van WireGuard. Volgens de officiële pagina van de uitgever behoudt NordLynx de snelheid en de lichtheid van WireGuard, terwijl hij een systeem met dubbele netwerkinterface toevoegt: de eerste kent hetzelfde lokale IP-adres toe aan alle verbonden gebruikers op een bepaalde server (de individuele identiteiten in de massa maskerend), de tweede beheert de dynamische toekenning van een uniek adres per sessie. NordVPN heeft ook een laag post-kwantumversleuteling aan NordLynx toegevoegd in 2025. NordLynx is het standaardprotocol van de NordVPN-applicaties.

Zie onze NordVPN review voor het volledige detail van de aanbieder.

Lightway, ontwikkeld door ExpressVPN en gelanceerd in 2020, is een onafhankelijk eigen protocol (geen variant van WireGuard). Volgens de officiële pagina van de uitgever steunt Lightway op een lichte broncode, hanteert de wolfSSL cryptografische bibliotheek, ondersteunt zowel AES-256 als ChaCha20 als versleutelingsmethoden, en heronderhandelt zijn sleutels via Elliptic-Curve Diffie-Hellman (ECDH). Lightway werd sindsdien open source gemaakt, voorzien van een laag post-kwantumversleuteling, en vervolgens herschreven in de taal Rust, bekend om bepaalde categorieën van geheugenfouten door constructie te beperken.

Zie onze ExpressVPN review voor het volledige detail van de aanbieder.

Wat is een kill switch en een split tunneling?

De kill switch snijdt onmiddellijk alle internettoegang af op je toestel als de VPN-verbinding valt, om te voorkomen dat je verkeer of je echte IP-adres lekken, zelfs een fractie van een seconde, tijdens een automatische herverbinding. De meeste applicaties activeren hem standaard of bieden hem aan in één klik in de instellingen — zie onze gids hoe gebruik je een VPN voor de gedetailleerde procedure.

De split tunneling laat je kiezen welke applicaties of welke sites via de VPN-tunnel passeren en welke rechtstreeks via je gewone verbinding naar buiten gaan, eerder dan alles zonder onderscheid via de VPN te laten passeren. Concreet duid je een lijst aan te sluiten applicaties of adressen aan: de rest van je verkeer blijft normaal via de VPN passeren. Nuttig om een lokale applicatie snel buiten de tunnel te houden terwijl je de rest van je navigatie beschermt.

Welk protocol kiezen volgens je gebruik?

• Dagelijks gebruik, streaming, op gsm: WireGuard (of zijn eigen variant) — snel te verbinden, licht op de batterij.
• Zeer restrictief netwerk (onderneming, land dat censureert): OpenVPN in TCP, poort 443 — gaat op in klassiek HTTPS-verkeer.
• Frequente verplaatsingen, wisseling wifi/4G: IPsec/IKEv2 — transparante herverbinding tussen netwerken.
• Prioriteit aan de publieke audit van de code: OpenVPN of WireGuard — beide zijn open source, controleerbaar door de veiligheidsgemeenschap.

De meeste moderne VPN-applicaties selecteren een standaardprotocol aangepast aan je toestel en laten je manueel schakelen indien nodig. Dezelfde protocollen (OpenVPN, WireGuard) worden ook teruggevonden in de manuele configuratie van een VPN rechtstreeks op een router, eerder dan in een klassieke applicatie — zie onze gids VPN op je router als je alle toestellen van je netwerk in één keer wil beschermen, inbegrepen degene zonder native VPN-applicatie.