DynDNS, CGNAT en port forwarding: je VPN-server bereikbaar maken

Of: waarom je een huisnummer nodig hebt voor de postbode bij de juiste deur aanbelt

Een VPN-server die niemand van buitenaf kan bereiken, is een deur zonder straat. Wie thuis of op kantoor een eigen VPN-server opzet, moet dus drie dingen regelen bij zijn internetaansluiting: een adres dat van buitenaf bereikbaar is, een vaste naam als dat adres verandert, en een port forwarding-regel die het VPN-verkeer naar het juiste toestel stuurt.

Het korte antwoord: bij Proximus en Telenet stuur je een poort door via hun klantenzone, bij Orange via de beheerinterface van de modem. Je stuurt alleen de VPN-poort door, naar het vaste lokale adres van je VPN-server. En je controleert eerst of je aansluiting wel een eigen publiek adres heeft.

Port forwarding bij Proximus, Telenet en Orange

Denk aan een appartementsgebouw. Het publieke IP-adres is het adres van het gebouw, de poort is het nummer van de brievenbus, en de router is de conciërge die de post verdeelt. Port forwarding is de conciërge zeggen: „alles voor brievenbus 51820 gaat naar de NAS op de tweede verdieping”. DynDNS is een bordje met de naam van het gebouw, dat meeverhuist als het gebouw van adres verandert. En CGNAT is een gebouw waarvan de conciërge bij je provider werkt, niet bij jou. Hij neemt geen instructies van je aan.

Eerst: heb je een eigen publiek adres?

Kijk in je router naar het IPv4-adres aan de internetkant (WAN). Een adres tussen 100.64.0.0 en 100.127.255.255 komt uit het bereik dat de IETF in RFC 6598 voorbehield voor carrier-grade NAT: je deelt dan een publiek adres met andere klanten, en port forwarding werkt niet. Een privéadres, zoals 192.168.x of 10.x, betekent meestal dat er nog een router voor de jouwe staat, die de poort eerst moet doorsturen. Op een mobiele verbinding blokkeren providers inkomende verbindingen doorgaans.

Proximus: MyProximus en de Internet Box

Proximus beschrijft port forwarding in zijn hulppagina Poort forwarding op je b-box of Internet Box, met aparte instructies voor de b-box, de Internet Box, de Internet Box+ en de Internet Box+ 7. Voor een Internet Box:

1. Log in op MyProximus en klik op je internetabonnement.
2. Klik op Instellingen Internet Box en open het tabblad Firewall.
3. Klik op Poort IPv4 doorsturen toevoegen.
4. Kies het protocol en vul het poortnummer in, bijvoorbeeld UDP 51820 voor WireGuard.
5. Vul het IP-adres in van het toestel dat de VPN-server draait, en klik op OK.

Proximus sluit sommige inkomende poorten om veiligheids- en operationele redenen, zonder mogelijkheid om ze te openen, waaronder TCP 25, 135, 137 tot 139 en 445. Een paar andere, zoals TCP 23, 80, 443 en 8080, staan standaard dicht en open je eerst in MyProximus, onder Configuratie netwerkpoorten, in de geavanceerde modus. De gangbare VPN-poorten, zoals UDP 51820 voor WireGuard of UDP 1194 voor OpenVPN, staan in geen van beide lijsten. Proximus waarschuwt dat open of omgeleide poorten je netwerk kwetsbaar maken voor aanvallen van op het internet, en de technische dienst biedt geen ondersteuning bij port forwarding.

Telenet: MyTelenet en de geavanceerde modeminstellingen

Bij Telenet bekijk en wijzig je de geavanceerde instellingen van je modem in MyTelenet, onder de rubriek IPv4 firewall & Port forwarding. Telenet noemt port forwarding daar een functie voor „geavanceerde gebruikers met eigen server”. Dezelfde pagina vermeldt UPnP, waarmee sommige toestellen zelf poorten laten doorsturen: kijk dus ook na welke regels er al staan.

Telenet blokkeert een reeks poorten op particuliere abonnementen en op Business Internet met een dynamisch IP-adres, waaronder TCP 25, TCP en UDP 53, TCP 445 en UDP 1900. Met Business Internet en een geactiveerd vast IP-adres zijn alle poorten beschikbaar.

Over inkomende VPN-verbindingen is Telenet duidelijk: die verlopen volgens zijn pagina over een vast IP-adres het best via een internetabonnement met een vast IP-adres. Je stelt het in via MyTelenet, onder Beheer vast IP-adres, met het MAC-adres van de router of computer die rechtstreeks aan de modem hangt. Op een aantal abonnementen, waaronder de Pro-formules, is dat betalend.

Orange: de beheerinterface van de modem

Orange schrijft in de handleiding van zijn internetmodem dat de ingebouwde firewall al het verkeer van het internet blokkeert, en dat je via de NAT-instellingen poorten opent of omleidt. De menu’s verschillen per modem; in die handleiding staan de geavanceerde instellingen onder Gateway > Geavanceerd, alleen bedoeld voor wie zulke instellingen kent. Een officiële pagina van Orange over CGNAT of een vast IP-adres konden we in november 2026 niet raadplegen: vraag het na voor je investeert in een eigen server.

Een vaste naam voor een wisselend adres

Bij veel abonnementen voor particulieren en kleine zaken kan je publieke IP-adres veranderen. DynDNS, of dynamische DNS, lost dat op: een toestel in je netwerk meldt elke wijziging aan een DNS-dienst, en je VPN-clients gebruiken een naam in plaats van een nummer. Je hebt er vaak al een zonder het te weten:

• een FRITZ!Box krijgt via MyFRITZ! een vast MyFRITZ!-adres;
• een Synology NAS kan een gratis hostnaam op synology.me registreren, onder Configuratiescherm > Externe toegang > DDNS;
• bij PiVPN kun je een DNS-naam opgeven in plaats van een IP-adres.

Een vast IP-adres van je provider maakt DynDNS overbodig, en is voor een zaak met thuiswerkers vaak de rustigste oplossing.

Achter CGNAT

Zit je achter CGNAT, dan heb je drie uitwegen. Vraag je provider om een publiek of vast IPv4-adres, als hij dat aanbiedt. Gebruik IPv6, als zowel je kantoor als het netwerk waaruit je verbindt IPv6 hebben. Of kies een dienst die geen inkomende verbinding nodig heeft, zoals Tailscale, ZeroTier of de Teleport-functie van UniFi.

Een poort openzetten zonder de deur open te laten

• Stuur alleen de VPN-poort door, naar één toestel met een vast lokaal adres.
• Zet nooit de beheerpoorten van je NAS, je router of een Remote Desktop rechtstreeks open; Synology raadt zelf aan DSM via een VPN te beheren.
• Gebruik geen DMZ: daarmee staat een toestel volledig bloot aan het internet.
• Verwijder regels die je niet meer gebruikt, en controleer de regels die toestellen via UPnP zelf aanmaakten.

Kmo-Kristof: Ik heb alle poorten opengezet die de handleiding noemde. Plus een paar extra, voor de zekerheid.

Security-Sofie: Voor wiens zekerheid?

Een voorbeeld. Een tandartsenpraktijk met een Telenet-abonnement wil dat de boekhouder thuis bij de NAS kan. De NAS krijgt een vast lokaal adres, de router stuurt UDP 1194 door naar de NAS, en een gratis DDNS-naam vangt het wisselend IP-adres op. Een zelfstandige installateur op 4G in een werfkeet heeft die mogelijkheid niet, en kijkt beter naar een dienst zonder open poort.

Geen poort, geen probleem

Lukt port forwarding niet, of wil je geen poort openzetten, dan verbinden Tailscale en ZeroTier je toestellen toch met elkaar. Dat lees je bij een mesh-VPN zonder port forwarding.

De uitnodiging van UniFi

Heb je een UniFi-gateway, dan werkt Teleport ook als zowel de gateway als het toestel achter NAT zitten. Hoe je dat gebruikt, staat bij Teleport op een UniFi-gateway.

Bridge-modus of twee routers

Wil je de modem van je provider niet als router gebruiken, dan lees je bij eigen router achter je modem hoe bridge-modus en dubbele NAT werken.