Een VPN instellen op Android en Samsung: met een app of de ingebouwde client

Of: één besturingssysteem, twintig plekken voor hetzelfde menu

Op Android kies je tussen de app van een VPN-dienst en de ingebouwde client van het systeem, en voor de meeste mensen is de app de juiste keuze. De ingebouwde client gebruik je als je werkgever je losse gegevens geeft voor een IKEv2-verbinding. Google beschrijft de stappen in zijn hulppagina over VPN op Android, met de waarschuwing dat sommige stappen alleen in Android 14 en hoger werken en dat het menu per fabrikant kan verschillen. Wie ook laptops en iPhones moet voorzien, vindt de andere toestellen bij het instellen van je VPN.

Kort: app uit de Play Store voor privacy of een dienst, ingebouwde client alleen voor een IKEv2-profiel van je werk, en zoek bij twijfel in de instellingen op „VPN”.

Android VPN instellen, ook op een Samsung

Met de app van een VPN-dienst

Je installeert de app van de dienst uit de Google Play Store, bijvoorbeeld Mullvad, NordVPN, Proton VPN of Surfshark, en logt in. Volgens de ontwikkelaarsdocumentatie van Android toont het systeem bij de eerste verbinding een venster waarin je moet bevestigen dat je de VPN vertrouwt. Pas daarna kan de app een tunnel opzetten. Een sleutelicoontje in de statusbalk toont dat de VPN actief is.

De app bepaalt zelf het protocol. Bij Proton VPN zijn dat op Android volgens de dienst WireGuard over UDP of TCP, Stealth en een automatische keuze. Je werkgever kan ook een app voorschrijven, bijvoorbeeld de client van de firewallfabrikant, die je van de Play Store of van je beheerder krijgt.

Google biedt op de Pixel 7 en nieuwer ook een ingebouwde VPN van Google aan, in de landen waar die beschikbaar is. Dat is een privacydienst voor onderweg, geen toegang tot het netwerk van je kantoor.

Met het profiel van je werkgever

Hier gebruik je de client in het systeem. Volgens Google:

1. Open de app Instellingen.
2. Tik op Netwerk en internet en dan op VPN. Vind je die optie niet, zoek dan in de instellingen naar „VPN”.
3. Tik rechtsboven op Toevoegen.
4. Geef de gegevens van je beheerder op.
5. Tik op Opslaan.

Verbinden doe je in hetzelfde menu: tik op de VPN, geef je gebruikersnaam en wachtwoord op en tik op Verbinden.

Op een Samsung Galaxy staat het menu elders. Volgens de Nederlandstalige gebruiksaanwijzing van Samsung vind je het onder Instellingen > Verbindingen > Meer verbindingsinstellingen > VPN, beschreven als de plek om verbinding te maken met „het privénetwerk van een school of bedrijf”. Andere fabrikanten hebben hun eigen variant. Daarom geeft Google zelf de raad om te zoeken, en anders de fabrikant om hulp te vragen.

Wat de ingebouwde client niet meer kan

Vroeger kende de ingebouwde client van Android ook PPTP en L2TP/IPsec. Sinds Android 12 is dat voorbij: NAS-fabrikant QNAP schrijft in zijn documentatie dat Google die protocollen vanaf Android 12 niet meer ingebouwd ondersteunt, en raadt een app aan. Voor nieuwe profielen blijven de IKEv2/IPsec-varianten over. WireGuard en OpenVPN zaten er nooit in; daarvoor installeer je de app van het protocol en importeer je het bestand van je beheerder.

Een voorbeeld. Een zelfstandige loodgieter in Aalst plant zijn dag op een agenda die op de NAS van zijn kantoor staat. Zijn NAS biedt nog L2TP aan, en zijn nieuwe Samsung wil daar niet meer mee verbinden. De oplossing is geen oude gsm, maar een ander protocol op de NAS: IKEv2, OpenVPN of WireGuard, met de bijpassende app.

Kmo-Kristof: Mijn oude gsm verbond perfect met kantoor. Mijn nieuwe niet. De nieuwe is dus slechter.

Security-Sofie: De nieuwe weigert een protocol dat niet meer veilig genoeg is. Dat noemen we vooruitgang.

Kmo-Kristof: Vooruitgang die niet verbindt.

Security-Sofie: Nog niet. Tot je NAS een beter protocol spreekt.

Altijd verbonden, en alleen via de VPN

Android kan een VPN starten bij het opstarten en verbonden houden, een functie die sinds Android 7 bestaat. Google noemt die optie Always-on VPN: je zet ze aan via Instellingen naast de verbinding in het VPN-menu. Valt zo’n verbinding weg, dan krijg je een melding die blijft staan tot de VPN opnieuw verbonden is.

Daarbovenop kan Android sinds versie 8 verkeer blokkeren dat niet via de VPN gaat. Dat is in feite een kill switch op systeemniveau: geen VPN, geen internet. Werkt je toestel met een werkprofiel, dan kan de VPN ook alleen voor de apps in dat werkprofiel gelden, zodat je privéapps rechtstreeks blijven verbinden.

De kill switch van Android

Proton gebruikt op Android precies die combinatie van altijd verbonden en blokkeren als kill switch, en schrijft dat ze meer lijkt op zijn geavanceerde kill switch dan op de standaardversie. Wat een kill switch tegenhoudt, en hoe je met een paar tests ziet of je DNS of IPv6 toch lekt, lees je bij lektests en de kill switch.

Sommige apps buiten de tunnel

Op Android kan een VPN-app per app kiezen wat door de tunnel gaat: een lijst van apps die erdoor mogen, of een lijst van apps die erbuiten blijven, nooit beide tegelijk. Wanneer dat nuttig is, lees je bij split tunneling op je gsm.

Als de verbinding niet lukt

Verbindt je gsm op mobiele data wel en op wifi niet, dan ligt het bijna altijd aan het wifinetwerk. Die en andere oorzaken staan op volgorde bij VPN-problemen op een rij.