Router als VPN-server: wat je modem van Proximus, Telenet of Orange toelaat

Of: waarom er bij zoveel kantoren twee dozen naast elkaar staan

De meeste kmo’s hebben één doos van hun provider die alles doet: modem, router en wifi. Wie zelf een VPN wil opzetten, kijkt dus eerst naar die doos. Een router is ook de logische plek voor een VPN-server: hij staat altijd aan, hij staat op de grens van je netwerk en al het verkeer passeert er toch al.

Het korte antwoord voor België: in de officiële hulppagina’s van Proximus, Telenet en Orange vonden we in november 2026 geen handleiding om een VPN-server op hun modem te zetten. Wil je een VPN op routerniveau, dan plaats je een eigen router met die functie, zoals een FRITZ!Box of een gateway van UniFi, en zorg je dat hij van buitenaf bereikbaar is. Vraag het wel na bij je provider: een zakelijk aanbod kan meer bevatten dan de hulppagina’s voor particulieren.

Op je router een VPN instellen: twee dozen en één deur

Server of client: twee betekenissen

Wie „VPN op router” opzoekt, vindt twee soorten handleidingen door elkaar. In de eerste is de router een VPN-server: jij verbindt van buitenaf met je eigen netwerk. In de tweede is de router een VPN-client: hij stuurt al het verkeer van je kantoor door een tunnel naar een VPN-dienst. Een FRITZ!Box kan beide, en een gateway van UniFi kan als client verbinden met tot acht externe VPN-servers. Voor je kantoor bereiken van thuis heb je alleen de eerste nodig. De tweede maakt je netwerk niet bereikbaarder.

Drie opstellingen

Een eigen router met een VPN-server moet het verkeer van buitenaf rechtstreeks kunnen ontvangen. Met de modem van je provider ervoor zijn er drie mogelijkheden.

1. De providermodem doet alles. Dat is de standaardopstelling, maar zonder VPN-server op de modem heb je er voor dit doel niets aan.
2. De providermodem in bridge-modus, je eigen router erachter. De modem schakelt zijn routerfunctie uit en geeft het publieke IP-adres door aan je eigen router. Die is dan de enige router in het netwerk, en de VPN-server erop is rechtstreeks bereikbaar.
3. Twee routers na elkaar. De providermodem blijft router, je eigen router hangt erachter met een eigen netwerk. De modem moet dan de VPN-poort doorsturen naar het adres van je eigen router. Ubiquiti geeft daar een voorbeeld van voor zijn WireGuard-server: UDP-poort 51820 doorsturen naar het WAN-adres van de gateway. Het raadt wel aan de gateway liefst een publiek IP-adres te geven, omdat problemen op de router ervoor de VPN kunnen verbreken.

De tweede opstelling is de netste, de derde de meest voorkomende. Beide werken, zolang je aansluiting zelf een publiek adres heeft.

Wat de Belgische providers zeggen

Telenet beschrijft bridge-modus in zijn hulppagina over een eigen router aansluiten. De modem wordt „een doorgeefluik” dat het publieke IP-adres aan je router geeft. Dat werkt op de modems van het type CV8560E en F@ST3896LG-TN, en je zet het aan via MyTelenet of via de klantendienst. Zet de wifi van de modem dan uit, en sluit een Digibox of Digicorder rechtstreeks op de modem aan. Wil je geen bridge-modus, dan raadt Telenet aan twee aparte netwerken te maken: je eigen router in de 192.168.1.x-reeks, de modem in 192.168.0.x.

Proximus laat eigen toestellen toe: een modem, een router of een wifi-toegangspunt. Afhankelijk van je type verbinding vervang je de b-box of Internet Box geheel of gedeeltelijk. Proximus biedt wel geen ondersteuning bij technische problemen op je lijn als je eigen materiaal gebruikt, raadt het af zonder ervaring met netwerken, en waarschuwt dat de Wi-Fi Booster en de tv-box achter een andere router mogelijk niet werken. Bewaar de Proximus-modem dus, om je lijn te kunnen testen.

Orange schrijft in de handleiding van zijn internetmodem dat de ingebouwde firewall al het verkeer vanaf het internet blokkeert, en dat je via de NAT-instellingen poorten opent of omleidt. Dezelfde handleiding beschrijft ook een DMZ, waarmee een toestel volledig aan het internet blootstaat. Voor een VPN-server heb je dat niet nodig: één doorgestuurde poort volstaat.

Kmo-Kristof: In mijn modem staat een optie DMZ. Dan staat alles open en werkt alles.

Security-Sofie: Klopt. Voor iedereen.

Welke router?

Voor een VPN-server zoek je een router die een recent protocol ingebouwd heeft, liefst WireGuard, en waarvan de fabrikant lang updates belooft. De FRITZ!Box biedt WireGuard en IPSec. De gateways van UniFi bieden WireGuard, OpenVPN, L2TP en Teleport; Ubiquiti raadt zelf Teleport en WireGuard aan, omdat L2TP op steeds meer besturingssystemen zijn ondersteuning verliest. Ook andere merken bouwen VPN-servers in hun routers. Kijk in de specificaties naar het protocol en in de geschiedenis van de firmware naar hoe vaak er updates verschijnen.

Wat je ook kiest: een router met een VPN-server is een deur in je buitenmuur. Zet automatische updates aan als de router dat kan, en zet geen andere poorten open dan de VPN-poort.

Een voorbeeld. Een boekhoudkantoor van vier mensen met een Telenet-abonnement zet de modem in bridge-modus en hangt er een eigen router met WireGuard achter. De boekhouder die thuis werkt, heeft één profiel op haar laptop en één op haar gsm. Een zelfstandige elektricien met een Proximus-lijn houdt zijn Internet Box als router en stuurt één UDP-poort door naar zijn eigen router. Minder elegant, even bruikbaar.

Een router uit Berlijn

De FRITZ!Box komt van een Berlijnse fabrikant en heeft een WireGuard-server die je met een assistent instelt, met een QR-code voor de gsm. De menu’s en de voorwaarden staan bij WireGuard instellen op een FRITZ!Box.

Een uitnodiging in plaats van een poort

De gateways van UniFi hebben met Teleport een VPN die ook werkt als je geen poort kunt doorsturen. Hoe dat zit, lees je bij de VPN-opties van UniFi.

De poort zelf

Hoe je bij Proximus, Telenet en Orange een poort doorstuurt, en wat je doet als je aansluiting geen publiek adres heeft, staat bij port forwarding en DynDNS.