Zelf een VPN-server opzetten: vijf manieren voor een kleine zaak
Wie zelf een VPN-server opzet, kiest eerst waar die server draait: op de router, op een NAS, op een kleine computer zoals een Raspberry Pi, op Windows Server, of via een dienst als Tailscale die de verbinding voor je regelt. Elke plek heeft andere eisen: een toestel dat altijd aan staat, een bereikbaar IP-adres, een open poort en iemand die de updates bijhoudt. Deze gids zet de vijf mogelijkheden voor een zelfstandige of een kleine zaak naast elkaar, met de vragen die je vooraf beantwoordt.
Of: waarom de beste plek voor je server meestal een toestel is dat al aan staat
Wil je je netwerk van buitenaf bereiken, dan is de eerste vraag niet welk protocol je kiest, maar waar de server komt te staan. Het protocol volgt meestal vanzelf: de meeste recente oplossingen gebruiken WireGuard, een open VPN-protocol met moderne cryptografie.
Het korte antwoord: heb je een router of een NAS met een ingebouwde VPN-server, begin daar. Kun je thuis of op kantoor geen poort openzetten, neem dan een dienst die zonder open poort werkt. Een eigen Windows-server is alleen zinvol als je er al een hebt, en iemand die hem beheert.
VPN-server opzetten: vijf plekken naast elkaar
| Waar | Voorbeelden | Protocollen | Wat het vraagt |
|---|---|---|---|
| Router of gateway | FRITZ!Box, UniFi | WireGuard en IPSec (FRITZ!Box); WireGuard, OpenVPN, L2TP en Teleport (UniFi) | een router die van buitenaf bereikbaar is |
| NAS | Synology met het pakket VPN Server | OpenVPN, L2TP/IPSec, PPTP | een poort die naar de NAS wordt doorgestuurd |
| Kleine computer | Raspberry Pi met PiVPN | WireGuard, OpenVPN | wat kennis van Linux, een doorgestuurde poort, zelf updaten |
| Windows Server | RRAS, Always On VPN | IKEv2, SSTP | certificaten en een beheerder |
| Dienst | Tailscale, ZeroTier | WireGuard (Tailscale), een eigen protocol (ZeroTier) | een account en een app op elk toestel, geen open poort |
Een router of gateway is de logische eerste keuze, omdat hij al op de grens van je netwerk staat en toch altijd aan is. Een zelfstandige vertaalster met een FRITZ!Box thuis zet met een handvol menu’s een tunnel naar haar eigen bureau op, op voorwaarde dat haar aansluiting een publiek adres heeft.
De NAS ligt voor de hand als de bestanden daar toch al staan. Een architectenbureau van zes mensen met een Synology in de kast kan de NAS zelf als VPN-server laten werken. Het nadeel: de NAS wordt dan ook de deur van het netwerk, en een NAS heeft al genoeg werk.
Een kleine computer, zoals een Raspberry Pi, is de keuze van wie graag weet wat er onder de motorkap gebeurt. Hij doet één ding, en dat goed, maar jij bent de beheerder.
Windows Server met RRAS past bij een kmo die al een Windows-omgeving heeft, met een domein of met Intune, en een IT-partner die het beheert. Voor een zaak zonder server is het een omweg.
Een dienst als Tailscale of ZeroTier is de uitweg voor wie geen poort kan of mag openzetten: een werfkeet met een 4G-router, een kantoor in een bedrijfsverzamelgebouw waar de verhuurder de router beheert, een aansluiting achter gedeelde adressen. Je ruilt de open poort in voor een account bij een externe dienst.
Vier vragen voor je begint
- Staat het toestel dag en nacht aan? Een laptop die ’s avonds dichtgaat, is geen server. Een router of NAS wel.
- Heb je een publiek bereikbaar adres? Kijk in je router naar het IPv4-adres aan de internetkant. Ligt het tussen 100.64.0.0 en 100.127.255.255, of in een privébereik zoals 10.x of 192.168.x, dan ben je via IPv4 niet van buitenaf bereikbaar, volgens de handleiding van FRITZ! over bereikbaarheid. Mobiele providers blokkeren inkomende verbindingen doorgaans.
- Wie houdt de updates bij? Een router of NAS kan zichzelf bijwerken als je dat aanzet. Een Raspberry Pi of een Windows-server hangt af van wie er tijd voor maakt.
- Wat moet er bereikbaar zijn? Eén NAS, of het hele netwerk met printer, server en pc’s? Voor één toestel bestaan soms eenvoudigere wegen dan een volwaardige VPN.
Welk protocol je daarna kiest, is een vraag op zich, maar zelden de vraag die de knoop doorhakt.
Kmo-Kristof: Ik neem de goedkoopste oplossing. Een Raspberry Pi.
Security-Sofie: En wie werkt hem bij?
Kmo-Kristof: Mijn neef. Die is daar goed in.
Security-Sofie: Woont je neef in België?
Kmo-Kristof: Hij doet een jaar Erasmus in Lissabon.
Security-Sofie: Dan is het niet de goedkoopste oplossing.
De router die al in de kast staat
Bij de meeste kantoren staat er al een doos die dag en nacht draait en al het verkeer ziet passeren. Of de modem van je provider daarvoor geschikt is, en wanneer je een eigen router nodig hebt, lees je bij de VPN in je router.
Een computer van een paar centimeter
Wie liever een apart toestel heeft dat alleen VPN-server is, kijkt naar PiVPN. Wat de installatie inhoudt en wat je daarna onderhoudt, staat bij een Raspberry Pi als server.
Als je geen poort kunt openzetten
Werk je achter gedeelde adressen of op een mobiele verbinding, dan blijft een mesh-VPN over. Hoe die werkt en wat je ervoor in de plaats geeft, lees je bij Tailscale en ZeroTier.