WireGuard op een FRITZ!Box instellen: van buitenaf veilig in je netwerk

Of: twee puzzelstukken die alleen op elkaar passen

Wie al een FRITZ!Box heeft, heeft misschien al je eigen VPN-server in huis zonder het te weten. De fabrikant, die sinds 2025 zelf ook FRITZ! heet in plaats van AVM, biedt twee soorten VPN: IPSec, dat in veel besturingssystemen ingebouwd zit, en WireGuard, dat snel ingesteld is en op de gsm met een QR-code werkt.

Het korte antwoord: zorg dat je FRITZ!Box van buitenaf bereikbaar is, registreer hem bij MyFRITZ!, geef hem een ongewoon IP-netwerk en voeg dan per toestel een WireGuard-verbinding toe. Elk toestel krijgt zijn eigen sleutelpaar: het ene puzzelstuk zit in de FRITZ!Box, het andere op je gsm of laptop, en ze passen alleen op elkaar.

VPN instellen op je FRITZ!Box: de stappen

Voor je begint: is je FRITZ!Box bereikbaar?

De FRITZ!Box moet van je provider een IPv6-adres of een openbaar IPv4-adres krijgen. Dat controleer je in de gebruikersinterface onder Internet > Onlinemonitor, tabblad Verbindingsdetails, op de regels „Internet, IPv4” en „Internet, IPv6”. Volgens de handleiding over internetbereikbaarheid is de FRITZ!Box via IPv4 niet bereikbaar als daar geen adres staat, of een adres uit een van deze reeksen:

• 10.0.0.0 tot 10.255.255.255, 172.16.0.0 tot 172.31.255.255 en 192.168.0.0 tot 192.168.255.255 (privéadressen);
• 100.64.0.0 tot 100.127.255.255 (carrier-grade NAT);
• 192.0.0.0 tot 192.0.0.7 (DS-Lite).

Een privéadres betekent meestal dat er nog een router voor de FRITZ!Box staat, vaak de modem van je provider. Een IPv6-adres maakt de FRITZ!Box wel bereikbaar via IPv6, maar dan moet ook het netwerk waaruit je verbindt IPv6 hebben.

Stap 1: MyFRITZ! instellen

MyFRITZ! geeft je FRITZ!Box een vast adres op het internet, ook als je IP-adres verandert.

1. Klik in de gebruikersinterface op Internet > MyFRITZ!-account.
2. Vul je e-mailadres in bij „Je e-mailadres” en klik op Toepassen.
3. Open de e-mail van MyFRITZ!Net en klik op „Je FRITZ!Box registreren”.

Stap 2: het IP-netwerk aanpassen

Beide kanten van een VPN-verbinding moeten in een verschillend IP-netwerk zitten. Zit je in een hotel waarvan de router hetzelfde netwerk gebruikt als je FRITZ!Box, dan kun je via de VPN niet communiceren. De fabrikant raadt daarom aan de FRITZ!Box bijvoorbeeld het adres 192.168.10.1 te geven (subnetmasker 255.255.255.0), en geen veelgebruikt netwerk zoals 192.168.0.0, 192.168.1.0 of 192.168.178.0.

1. Klik op Thuisnetwerk > Netwerk, tabblad Netwerkinstellingen.
2. Klik op „Geavanceerde netwerkinstellingen wijzigen” en open het tabblad IPv4.
3. Vul het nieuwe IPv4-adres en het subnetmasker in en klik op Toepassen.

Toestellen die daarna geen verbinding meer krijgen, herstart je: de FRITZ!Box geeft ze dan nieuwe IP-instellingen. Doe dit op een rustig moment, niet tijdens de btw-aangifte.

Stap 3: de WireGuard-verbinding toevoegen

De stappen uit de handleiding WireGuard-VPN op de smartphone of tablet:

1. Installeer de WireGuard-app uit de Google Play Store of de Apple App Store.
2. Klik in de gebruikersinterface van de FRITZ!Box op Internet > Toegang verlenen, tabblad VPN (WireGuard).
3. Klik op „WireGuard-verbinding toevoegen”, kies „Enkel apparaat verbinden” en klik op Volgende.
4. Geef de verbinding een naam, bijvoorbeeld „gsm Anna”, en klik op Volgende.
5. Bevestig de handeling op de FRITZ!Box als daarom gevraagd wordt, en klik op OK.
6. Tik in de WireGuard-app op het plusteken en kies het scannen van een QR-code. Richt de camera op de QR-code in de gebruikersinterface.

Lukt het scannen niet, of wil je een laptop verbinden, dan sla je de instellingen op met „Instellingen downloaden” en importeer je het bestand in WireGuard. Daarna zet je de verbinding aan met de schakelaar naast haar naam.

Volgens de fabrikant stuurt een gsm met deze verbinding ook al zijn internetverkeer via de FRITZ!Box. Op een openbare wifi is dat een voordeel. Het betekent ook dat je surfgedrag onderweg via de aansluiting van thuis of kantoor loopt.

Maak per toestel een aparte verbinding, met een herkenbare naam. Raakt een gsm zoek of vertrekt een medewerker, dan verwijder je die ene verbinding en blijven de andere werken.

Achter de modem van je provider

Staat de FRITZ!Box achter de modem van Proximus, Telenet of Orange, dan bereikt het verkeer van buitenaf eerst die modem. Je hebt dan twee mogelijkheden: de modem in bridge-modus zetten, zodat de FRITZ!Box het publieke adres krijgt, of op de modem de WireGuard-poort naar de FRITZ!Box doorsturen. Welke UDP-poort dat is, staat in het configuratiebestand van de verbinding, achter „Endpoint”, na het adres.

Als het niet lukt

De handleiding WireGuard kan geen VPN-verbinding tot stand brengen noemt foutmeldingen als „Host is onbekend” en „Unable to resolve DNS hostname”, en loopt de oorzaken af:

• een beveiligingsapp op het toestel die WireGuard blokkeert;
• een FRITZ!Box die van buitenaf niet bereikbaar is (zie de controle voor je begint);
• een storing bij MyFRITZ!, te zien onder Internet > Onlinemonitor, tabblad Verbindingsdetails;
• een provider die WireGuard blokkeert, wat volgens de fabrikant in sommige landen buiten de Europese Unie gebeurt, met Egypte en Iran als voorbeelden;
• een verkeerde verbinding, die je dan aan beide kanten verwijdert en opnieuw aanmaakt.

Bijhouden

FRITZ!OS werkt zichzelf bij als onder Systeem > Update > Auto-update de optie „Informeren over nieuwe FRITZ!OS-versies en nieuwe versies automatisch installeren” aan staat; in de fabrieksinstellingen is dat zo. Heb je je FRITZ!Box van een provider gekregen en ontbreekt het menu Update, dan installeert de provider de updates.

Gevoelige instellingen, zoals een nieuwe VPN-verbinding, laat de FRITZ!Box extra bevestigen: met een druk op een toets van de box, of met een code uit een authenticatorapp. Die app stel je in onder Systeem > FRITZ!Box-gebruikers, bij „Bevestiging via app (eenmalig wachtwoord)”. Voor wie de instellingen ooit van buitenaf wil wijzigen, is dat de enige werkbare manier.

Twee FRITZ!Boxen, bijvoorbeeld thuis en op kantoor, kun je ook met elkaar koppelen via WireGuard. Beide moeten dan FRITZ!OS 7.50 of nieuwer hebben en een verschillend IP-netwerk gebruiken.

Kmo-Kristof: Ik heb één WireGuard-verbinding gemaakt en die op alle gsm’s van het team gezet. Handig, toch?

Security-Sofie: Tot er één gsm in de trein blijft liggen.

Kmo-Kristof: Dan verwijder ik die verbinding.

Security-Sofie: En de andere vijf gsm’s ook.

Bereikbaar zonder bridge-modus

Wil of kun je de modem van je provider niet in bridge-modus zetten, dan stuur je de poort door. Hoe dat bij de Belgische providers gaat, en wat je doet achter gedeelde adressen, lees je bij poorten doorsturen bij je provider.

De FRITZ!Box naast andere routers

Twijfel je nog of een eigen router de juiste plek is voor je VPN-server, of hoe hij naast de modem van je provider past, lees dan wat je providermodem toelaat.