# Een privénetwerk zonder open poort: Tailscale en ZeroTier uitgelegd > Tailscale en ZeroTier voor je zaak: hoe een mesh-VPN zonder open poort werkt, het verschil met WireGuard, de gratis plannen en wat zakelijk gebruik vraagt. **Tailscale** en ZeroTier verbinden je toestellen in een privénetwerk zonder dat je een poort op je router openzet. Tailscale bouwt op WireGuard en zet waar mogelijk rechtstreekse verbindingen tussen je toestellen op; lukt dat niet, dan loopt het versleutelde verkeer via relayservers. ZeroTier gebruikt een eigen protocol en een netwerk-ID waarmee toestellen aansluiten. Beide hebben een gratis plan voor niet-commercieel gebruik; voor je zaak heb je een betalend plan nodig. Deze gids legt uit hoe het werkt en wanneer het past. **In het kort** 1. Tailscale gebruikt WireGuard en werkt zonder port forwarding; kan een rechtstreekse verbinding niet, dan gaat het verkeer versleuteld via DERP-relayservers, die het niet kunnen ontcijferen. 2. Het gratis Personal-plan van Tailscale (tot 6 gebruikers) en het gratis plan van ZeroTier (10 toestellen, één netwerk) zijn op 12 november 2026 alleen bedoeld voor niet-commercieel gebruik. 3. De betalende plannen van Tailscale en ZeroTier staan op hun prijspagina's alleen in Amerikaanse dollar; wie zich bij Tailscale aanmeldt met een eigen domeinnaam, krijgt eerst een gratis proefperiode van 14 dagen. *Of: een netwerk zonder voordeur, waar toch alleen de juiste mensen binnenkomen* Niet iedereen kan een poort openzetten. Een werfkeet met een 4G-router, een kantoor in een bedrijfsverzamelgebouw waar de verhuurder de router beheert, een aansluiting achter gedeelde adressen. Wil je dan toch [je netwerk op afstand bereiken](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/), kijk dan naar een mesh-VPN. [Tailscale](https://tailscale.com/kb/1151/what-is-tailscale) maakt volgens zijn eigen documentatie een peer-to-peer-netwerk van je toestellen, een tailnet, zonder port forwarding of ingewikkelde firewallregels. Het korte antwoord: kun je geen poort openzetten, dan is een mesh-VPN vaak de enige werkbare weg. Je ruilt de open poort in voor vertrouwen in een externe dienst die je toestellen aan elkaar voorstelt. Voor een zaak betekent dat ook: een betalend plan. ## WireGuard of Tailscale: een mesh-VPN zonder port forwarding ### WireGuard is het protocol, Tailscale de dienst Met WireGuard alleen bouw je zelf een server: je zet een poort open, maakt voor elk toestel een sleutelpaar en deelt de configuratie uit. Tailscale gebruikt hetzelfde protocol, maar regelt de rest. Je installeert een app op elk toestel, meldt je aan, en de toestellen vinden elkaar. Waar het kan, verbinden ze rechtstreeks met elkaar, ook door NAT heen. Lukt een rechtstreekse verbinding niet, dan gaat het verkeer via een [DERP-server](https://tailscale.com/kb/1232/derp-servers) van Tailscale, een relay. Dat verkeer blijft met WireGuard versleuteld, en omdat de privésleutels op de toestellen blijven, kan de relay het volgens Tailscale niet ontcijferen. Hij geeft gesloten enveloppen door. Denk aan blikjestelefoons. Bij een klassieke VPN lopen alle touwtjes naar één centrale op kantoor, en moet die centrale een open raam hebben. Bij een mesh-VPN hangt elk blikje rechtstreeks aan elk ander blikje. Er is wel iemand die de touwtjes heeft gespannen en bijhoudt wie mee mag doen: dat is de dienst, en dat is het vertrouwen dat je geeft. ### Het hele kantoornetwerk delen Niet elk toestel kan een app krijgen: een printer, een oudere server, een NAS waarop je liever niets installeert. Een toestel op kantoor kan dan als subnet router het lokale netwerk delen met de rest van je tailnet. Op een Synology NAS kan dat ook, al heeft Tailscale daar beperkingen die het in zijn handleiding beschrijft. Een toestel kan ook als exit node dienen, zodat ander verkeer via die aansluiting naar het internet gaat. ### ZeroTier ZeroTier werkt met een eigen protocol en een andere aanpak. Volgens de [snelstart van ZeroTier](https://docs.zerotier.com/start/) maak je in ZeroTier Central een netwerk aan, met een netwerk-ID van 16 tekens. Op elk toestel installeer je de client en kies je Join New Network, of je gebruikt het commando zerotier-cli join gevolgd door dat ID. Een nieuw toestel staat dan op ACCESS_DENIED tot je het in ZeroTier Central onder Member Devices toelaat met Authorize. ZeroTier belooft end-to-end-versleuteling en rechtstreekse verbindingen tussen toestellen. Het verschil voor een kleine zaak zit minder in de techniek dan in de gewoonte: Tailscale draait op WireGuard en meldt je aan via een bestaand account, ZeroTier werkt met netwerken die je zelf aanmaakt en toestellen die je zelf goedkeurt. ### Wat het kost Op 12 november 2026 toonde Tailscale op zijn [prijspagina](https://tailscale.com/pricing) vier plannen: Personal, Standard, Premium en Enterprise. - **Personal** is gratis, voor maximaal 6 gebruikers en een onbeperkt aantal toestellen van die gebruikers. Volgens Tailscale is het plan alleen geschikt voor niet-commercieel gebruik, zoals een thuisnetwerk of een homelab. - **Standard** en **Premium** rekenen per gebruiker per maand, op basis van het aantal plaatsen dat je kiest. - Wie een tailnet aanmaakt met een eigen domeinnaam, geldt als zakelijke gebruiker en krijgt automatisch een gratis proefperiode van 14 dagen met alle functies van Enterprise. ZeroTier toonde op zijn [prijspagina](https://www.zerotier.com/pricing/) een gratis plan voor persoonlijk, niet-commercieel gebruik, met 10 toestellen en één netwerk, en betalende plannen met een commerciële licentie. Beide prijspagina's tonen de bedragen alleen in Amerikaanse dollar, zonder prijs in euro. We noemen hier dus geen bedragen: vraag voor je aankoop na wat je in euro en met btw betaalt. > **Kmo-Kristof:** Geen poort open en toch binnen. Waar zit het addertje? > > **Security-Sofie:** Je vertrouwt een dienst om je toestellen aan elkaar voor te stellen. > > **Kmo-Kristof:** En mijn bestanden? > > **Security-Sofie:** Die blijven versleuteld tussen je toestellen. Maar wie het wachtwoord van je account heeft, stelt zichzelf ook voor. {.dialoog} ### Vertrouwen, de prijs die niet in dollar staat Bij een mesh-VPN is je account de sleutel van het netwerk. Zet tweestapsverificatie aan op het account waarmee je aanmeldt, verwijder toestellen van medewerkers die vertrekken, en geef niet elk toestel toegang tot alles. Dat laatste regel je met de toegangsregels van de dienst. Een voorbeeld. Een aannemer met drie werven en een kantoor zonder vast IP-adres zet Tailscale op de laptops van de werfleiders en op een toestel op kantoor dat het lokale netwerk deelt. Geen poort open, geen DynDNS, wel een betalend plan en een account dat goed beveiligd moet zijn. Een zelfstandige ontwerper die thuis een FRITZ!Box met een publiek adres heeft, heeft dat allemaal niet nodig: zijn router doet het al. ### Tailscale op je NAS Staat de belangrijkste data op een Synology, dan kan Tailscale rechtstreeks op de NAS draaien, naast de andere manieren om erbij te komen. Dat vergelijk je bij [je Synology op afstand](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/synology-vpn/). ### Toch liever een open poort Heeft je aansluiting wel een publiek adres, dan is een klassieke VPN-server met één doorgestuurde poort een alternatief zonder abonnement. Hoe dat gaat bij de Belgische providers, lees je bij [port forwarding en CGNAT](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/poort-openzetten/). ### Alle opties naast elkaar Router, NAS, Raspberry Pi, Windows Server of een dienst: wat bij welke zaak past, staat bij [vijf plekken voor een VPN-server](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/eigen-vpn-server-opzetten/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie). --- **Prijzen:** gecontroleerd op 12 november 2026 op de officiële websites van de aanbieders, in euro. Een lagere maandprijs veronderstelt bijna altijd een jaarabonnement, en promoties veranderen zonder aankondiging. De vermelde bedragen kunnen sindsdien gewijzigd zijn.