Eigen VPN-server in plaats van VPN-dienst: wanneer dat loont

Wie op zoek gaat naar een VPN, belandt al snel bij abonnementsdiensten met grote beloftes. Er zijn echter drie wegen naar een versleutelde verbinding: een commerciële VPN-dienst, een zelf opgezette WireGuard-server op een VPS of een kant-en-klaar geconfigureerde Dedicated Private VPN-server. Dit artikel legt uit wat een VPN wel en niet doet, en welke weg bij welke situatie past.

Wat een VPN werkelijk doet, en wat niet

Een VPN bouwt een versleutelde tunnel op tussen uw apparaat en de VPN-server. Alles wat uw apparaat verstuurt, wordt pas op de server weer uitgepakt en gaat vandaar volkomen normaal het internet op. Daaruit volgt:

• Versleuteling tot aan de server. In de hotelwifi, in een café of op het mobiele netwerk ziet niemand tussen u en de server welke bestemmingen u aanroept. Achter de server is het verkeer net zo goed beschermd als zonder VPN: bij HTTPS versleuteld, bij onversleutelde protocollen niet.
• Een ander zichtbaar IP-adres. Websites en diensten zien het adres van de VPN-server, niet dat van uw eigen aansluiting. Dat is nuttig voor toegangslijsten met vaste adressen (whitelisting) en in netwerken die bepaalde bestemmingen blokkeren.
• Geen belofte van anonimiteit. Wie de VPN-server beheert, ziet al uw verkeer op het punt waar het de tunnel verlaat. Zodra u ergens inlogt, is sowieso duidelijk wie u bent, en browsers laten zich ook zonder IP-adres herkennen. Een VPN verplaatst vertrouwen, het heft het niet op.

De doorslaggevende vraag luidt daarom niet "VPN ja of nee", maar: aan wie vertrouwt u het eindpunt toe, en wat mag dat kosten?

Drie wegen naar een VPN

1. Commerciële VPN-dienst

U koopt een abonnement, installeert de app en kiest een land. De server en het IP-adres deelt u met veel andere klanten. Daardoor staat dat adres vaak bekend als VPN-adres en wordt het door sommige diensten geblokkeerd, terwijl bandbreedte en latentie meebewegen met de belasting. Wat de aanbieder registreert, kunt u niet zelf controleren: u bent aangewezen op zijn toezeggingen en doorgaans op externe audits. Het voordeel is het gemak: veel landen, geen onderhoud, binnen enkele minuten geregeld.

2. Eigen WireGuard-server op een VPS

U huurt een KVM-rootserver, installeert WireGuard, genereert sleutelparen en verdeelt de profielen over uw apparaten. Hoe dat op Debian en Ubuntu gaat, laat de handleiding WireGuard-VPN op uw eigen server opzetten zien. U krijgt een dedicated IPv4-adres, volledige controle over configuratie en logbestanden, en betaalt vanaf 9,99 € per maand. Daar staat tegenover dat updates, firewall en beveiliging bij u liggen: SSH met een sleutel beveiligen, automatische beveiligingsupdates en een netjes ingestelde firewall horen erbij. Wie dat graag zelf doet of de server toch al voor andere diensten gebruikt, zit hiermee goed.

3. Kant-en-klare Dedicated Private VPN-server

De Dedicated Private VPN-server van KernelHost is de middenweg: een eigen server waarop WireGuard al voorgeconfigureerd en gehard draait. U scant een QR-code of importeert het profielbestand, en het apparaat is verbonden, op iOS, Android, Windows, macOS en Linux. Inbegrepen zijn een dedicated IPv4-adres met een /64-IPv6-subnet dat niemand met u deelt, roottoegang, port forwarding en eigen firewallregels, plus een instelbare DNS-bescherming die reclame, trackers en bekende schadelijke sites al bij de naamsopvraging blokkeert. DDoS-bescherming met realtime filtering zit bij alle pakketten inbegrepen.

Vergelijking in één oogopslag

De VPN-pakketten van KernelHost

Alle prijzen gelden per maand inclusief btw, PrePaid zonder minimale looptijd en zonder automatische verlenging. Het aantal apparaten is bij elk pakket uit te breiden, alle verbindingen zijn symmetrisch. Alle locaties op een rij: Serverlocaties.

Typische toepassingen

• Thuiswerken en toegang op afstand. U bereikt uw NAS, thuisserver of een bedrijfssysteem zonder de poorten daarvan naar het internet open te zetten. Het vaste IP van de VPN-server staat in de toegangslijst, de apparaten verbinden overal vandaan via de tunnel. Voor één persoon volstaat Basic, voor een klein team Gaming of Unlimited.
• Reizen en openbare wifi. In het hotel, op het vliegveld of in het buitenland loopt al het verkeer versleuteld tot aan de server in Europa, met uw eigen IP-adres en zonder vreemde medegebruikers.
• Gamen met een stabiel IP. Een dedicated adres verandert niet en laat zich op eigen gameservers en in adminpanels invoeren. Aanvallers zien het beschermde server-IP in plaats van uw thuisaansluiting. Het Gaming-pakket levert tot 1 Gbit/s en is afgestemd op lage latentie binnen Europa (afhankelijk van het netwerk).
• Streamen en grote downloads. Wie voortdurend grote hoeveelheden data verplaatst, kiest een pakket met onbeperkt verkeer. Houd er rekening mee dat een VPN-server elke byte twee keer vervoert, één keer naar binnen en één keer naar buiten: 500 GB aan downloads is op de server ongeveer 1 TB verkeer.
• Teams met meerdere apparaten. Gezinnen, kleine bedrijven en verenigingen hangen 10, 20 of meer apparaten aan één server, elk met een eigen profiel dat afzonderlijk te verwijderen is.

Grenzen en eerlijke kanttekeningen

• Geoblocking. Of een streamingdienst content via een bepaald adres vrijgeeft, bepaalt die dienst zelf. Wij beloven daar niets over, temeer omdat sommige platforms datacenteradressen als zodanig herkennen.
• Een dedicated IP is herleidbaar. U bent de enige die dit adres gebruikt. Voor whitelisting is dat juist het voordeel, voor anonimiteit het tegendeel: alles wat via het adres loopt, is toe te wijzen aan de server en daarmee aan de contractpartner.
• Juridische verantwoordelijkheid. Voor wat er door uw tunnel gaat, bent u verantwoordelijk. Een eigen server is geen vrijbrief, en gegronde verzoeken van autoriteiten worden volgens het geldende recht beantwoord.
• Snelheid. De bandbreedte van het pakket is de bovengrens op de server. Wat er bij u aankomt, wordt begrensd door uw eigen aansluiting, de route naar het datacenter en de rekenkracht van uw apparaat voor de versleuteling. Een tunnel van 1 Gbit/s heeft alleen zin met een aansluiting die daarbij past.

Rekenvoorbeeld: drie gebruikersprofielen

Eén persoon, drie apparaten (laptop, telefoon, tablet). Een VPN-dienst kost bij een maandabonnement doorgaans rond de 10 €, duidelijk minder alleen bij vooruitbetaling over meerdere jaren. Het Basic-pakket kost 4,99 € bij maandelijkse betaling, met een eigen IP en 250 Mbit/s. De zelf opgezette VPS ligt op 9,99 € plus tijd voor het opzetten en het onderhoud, en loont alleen wanneer de server toch al nodig is.

Gezin of klein team, tien apparaten. Bij veel VPN-diensten houdt het aantal apparaten doorgaans op bij 5 tot 10, daarna is een tweede abonnement nodig. Het Gaming-pakket dekt 10 apparaten met maximaal 1 Gbit/s, het Unlimited-pakket 20 apparaten met 500 Mbit/s en onbeperkt verkeer, allebei voor 14,99 €. Dat komt neer op 1,50 € respectievelijk 75 cent per apparaat per maand.

Veelgebruiker met 500 GB per maand. Op de server is dat ongeveer 1 TB verkeer, dus een geval voor onbeperkt verkeer in plaats van Fair use: het Unlimited-pakket levert 500 Mbit/s zonder volumegrens voor 14,99 €. Wie dezelfde doorvoer met een eigen server wil, neemt een Unlimited-Traffic-VPS vanaf 14,99 € en zet WireGuard zelf op, voor dezelfde prijs, maar met eigen werk.

Conclusie: welke weg voor wie

• VPN-dienst: wanneer u voortdurend tussen veel landen wilt wisselen, geen vast IP nodig hebt en met een gedeeld adres kunt leven.
• Eigen VPS met WireGuard: wanneer u toch al een server beheert, Linux-beheer niet uit de weg gaat en de controle tot in de laatste configuratieregel wilt houden.
• Dedicated Private VPN-server: wanneer u een eigen, vast IP-adres zonder medegebruikers wilt, meerdere apparaten of een heel team wilt aansluiten en het opzetten binnen enkele minuten klaar moet zijn. Vanaf 4,99 € per maand, PrePaid, zonder looptijd.

KernelHost GmbH is gevestigd in Wenen, het datacenter is maincubes in Frankfurt am Main. Wat overblijft: een VPN maakt u niet onzichtbaar. Het bepaalt alleen aan wie u uw verkeer toevertrouwt. Met een eigen server luidt het antwoord: aan uzelf.