# WireGuard, OpenVPN of IKEv2: welk VPN-protocol past bij je zaak?

> WireGuard, OpenVPN, IKEv2, SSTP en het einde van PPTP en L2TP: welk VPN-protocol je kiest, wanneer TCP beter is dan UDP, en wat Stealth en NordLynx zijn.

Het **VPN-protocol** bepaalt hoe je tunnel wordt opgebouwd en versleuteld. WireGuard is snel, modern en eenvoudig, en de basis van de meeste VPN-apps, maar geen enkel groot besturingssysteem heeft het ingebouwd. IKEv2/IPsec zit ingebouwd in Windows, macOS, iOS en Android en houdt stand als je van netwerk wisselt. OpenVPN is de flexibele oudgediende, die ook over TCP werkt als een netwerk UDP blokkeert. PPTP is onveilig, en Microsoft haalt PPTP en L2TP na Windows Server 2025 uit Windows Server. Deze gids vergelijkt de protocollen, legt TCP en UDP uit en beschrijft de eigen protocollen van diensten zoals Proton en NordVPN.

**In het kort**

1. WireGuard en IKEv2 zijn voor de meeste zakelijke toepassingen de beste keuze; OpenVPN is een goede uitwijk op netwerken die UDP blokkeren, omdat het ook over TCP kan werken.
2. Microsoft verklaarde PPTP en L2TP in oktober 2024 verouderd in Windows Server en kondigde op 30 oktober 2026 aan dat ze na Windows Server 2025 verdwijnen; het raadt IKEv2 en SSTP aan.
3. Eigen protocollen zoals Stealth van Proton en NordLynx van NordVPN werken alleen in de app van die dienst; Stealth verpakt het verkeer zodat het op gewoon HTTPS-verkeer lijkt.


*Of: waarom de nieuwste tunnel ook de kortste handleiding heeft*

Gebruik je de app van een VPN-dienst, laat dan de app kiezen: die neemt bijna altijd een protocol op basis van [WireGuard](https://www.wireguard.com/), en dat is een goede keuze. Moet je zelf kiezen, omdat je een VPN-server opzet op je router, je NAS of je firewall, neem dan WireGuard of IKEv2, gebruik OpenVPN als het netwerk lastig doet, en laat PPTP en L2TP liggen. Wat je ook kiest, bij [het instellen van je VPN](/gidsen/vpn-voor-bedrijven/instellen/) moeten beide kanten hetzelfde protocol spreken.

Waarom dat zo is, en wanneer de uitzonderingen gelden, lees je in de rest van deze gids.

## Welk VPN-protocol is het beste voor je zaak

Een protocol is de taal waarin je toestel en de VPN-server afspreken hoe ze sleutels uitwisselen, hoe ze het verkeer versleutelen en hoe ze het over het internet sturen. Het is een beetje als de bouwwijze van een tunnel. Een nieuwe tunnel met moderne techniek is sneller gebouwd en makkelijker te inspecteren. Een oude tunnel werkt nog, maar je weet ook waar de scheuren zitten.

| Protocol | Ingebouwd in | Sterk punt | Let op |
|---|---|---|---|
| WireGuard | geen van de vier, wel apps voor alle | snel, weinig code, moderne versleuteling | alleen UDP, dus last van netwerken die UDP blokkeren |
| IKEv2/IPsec | Windows, macOS, iOS, Android | stabiel bij wisselen van netwerk | UDP 500 en 4500 worden soms geblokkeerd |
| OpenVPN | geen van de vier, wel apps voor alle | flexibel, kan ook over TCP | trager, meer instellingen |
| SSTP | Windows | gaat door de meeste firewalls | vooral een Microsoft-verhaal |
| L2TP/IPsec | Windows, macOS, iOS | breed ondersteund in oudere toestellen | wordt afgebouwd |
| PPTP | Windows | geen | onveilig |

### WireGuard: modern en kort

WireGuard gebruikt volgens zijn eigen website moderne cryptografie, met onder meer Curve25519, ChaCha20, Poly1305 en BLAKE2, en is bewust klein gehouden, zodat het in weinig regels code past. Het ontstond voor Linux en bestaat nu voor Windows, macOS, iOS en Android. Het stuurt zijn verkeer over UDP en blijft werken als je toestel van netwerk wisselt.

Het nadeel voor wie een profiel van zijn werk krijgt: geen enkel van de vier grote besturingssystemen heeft WireGuard ingebouwd in zijn VPN-instellingen. Je installeert dus altijd de WireGuard-app, of een app die het intern gebruikt.

### IKEv2/IPsec: de ingebouwde allrounder

IKEv2 met IPsec zit in de client van Windows, macOS, iOS en Android. Microsoft beschrijft het als sterk beveiligd, geschikt voor mobiele gebruikers die van netwerk wisselen, en snel bij het opbouwen van de tunnel. Het gebruikt UDP-poorten 500 en 4500; een firewall of hotelnetwerk dat die blokkeert, houdt de verbinding tegen.

Op Apple-toestellen kunnen beheerders vanaf iOS 26 en macOS 26 voor IKEv2 extra sleuteluitwisselingen met ML-KEM inschakelen, als voorbereiding op kwantumcomputers. Tegelijk haalt Proton IKEv2 tussen april 2026 en februari 2027 uit zijn macOS-app, onder meer omdat de vaste poorten makkelijk te blokkeren zijn. Voor een werk-VPN met ingebouwde clients blijft IKEv2 een logische keuze; voor een privacydienst verschuift alles naar WireGuard.

### OpenVPN: de flexibele oudgediende, en TCP of UDP

OpenVPN bouwt zijn tunnel op met TLS, de techniek achter HTTPS, en werkt standaard over UDP op poort 1194, het officiële IANA-poortnummer. De [handleiding van OpenVPN](https://openvpn.net/community-resources/reference-manual-for-openvpn-2-6/) zegt het zelf: het programma werkt optimaal over UDP, en TCP is er voor situaties waarin UDP niet kan. Over TCP is het volgens dezelfde handleiding meestal iets minder efficiënt en minder robuust op onbetrouwbare of overbelaste netwerken.

Dat is de kern van de vraag „TCP of UDP”. UDP is sneller, en de meeste VPN-protocollen gebruiken het. TCP is de uitwijk voor netwerken die UDP blokkeren, zoals sommige gastnetwerken en bedrijfsfirewalls. Proton zegt het in zijn snelheidsadvies even kort: UDP is sneller dan TCP.

### SSTP, L2TP en PPTP: wat Microsoft afbouwt

SSTP is het protocol van Microsoft dat over SSL/TLS loopt en daardoor door de meeste firewalls en proxy's raakt. Samen met IKEv2 is het wat Microsoft aanraadt nu het [PPTP en L2TP uit Windows Server haalt](https://support.microsoft.com/en-us/servicing/os/windows/docs/2026/10/l2tp-pptp-removal-article): verouderd verklaard in oktober 2024, met een aankondiging op 30 oktober 2026 dat Windows Server 2025 de laatste versie is die ze bevat. Windows Server 2025 blijft ondersteund tot oktober 2035.

PPTP was al veel langer afgeschreven. In augustus 2012 waarschuwde Microsoft in [beveiligingsadvies 2743314](https://learn.microsoft.com/en-us/security-updates/securityadvisories/2012/2743314) dat de aanmelding met MS-CHAP v2, die PPTP vaak gebruikt, te kraken is door wie het verkeer onderschept. Android ondersteunt PPTP en L2TP sinds versie 12 niet meer in zijn ingebouwde client, en macOS biedt PPTP niet meer aan.

> **Kmo-Kristof:** Onze oude router doet alleen PPTP. Hij werkt prima.
>
> **Security-Sofie:** Hij werkt prima voor iedereen die meeluistert, ja.
>
> **Kmo-Kristof:** Er luistert niemand mee.
>
> **Security-Sofie:** Dat weet je pas als iemand het je vertelt. En die persoon belt meestal niet.
{.dialoog}

### Eigen protocollen van VPN-diensten

Sommige diensten hebben een eigen protocol. Proton ontwikkelde Stealth voor netwerken die VPN-verkeer herkennen en blokkeren: volgens Proton gebruikt het verhulde TLS-tunnels over TCP, zodat het verkeer lijkt op gewoon HTTPS-verkeer. De automatische protocolkeuze in de app van Proton VPN kiest zelf het protocol dat op je netwerk werkt. NordVPN noemt zijn protocol NordLynx: volgens NordVPN is het gebouwd rond WireGuard, met een eigen systeem van dubbele adresvertaling dat het echte IP-adres van de gebruiker niet op de server bewaart.

Zulke protocollen werken alleen in de app van de dienst zelf. Voor een kmo die toegang tot haar eigen netwerk wil, spelen ze geen rol: daar kies je tussen WireGuard, IKEv2 en OpenVPN, afhankelijk van wat je router, NAS of firewall aanbiedt.

Een voorbeeld. Een kmo met twaalf medewerkers in Leuven vervangt haar router en kan kiezen tussen IPsec en WireGuard. De medewerkers met een werklaptop krijgen WireGuard met de app; de twee iPads in de winkel krijgen IKEv2, omdat de beheerder dat zonder extra app kan uitrollen. Twee protocollen voor één kantoor is geen probleem, zolang je weet waarom.

### Het protocol en je snelheid

Het protocol is een van de factoren die bepalen hoe snel je VPN is, maar zelden de grootste. Wat daarnaast meespeelt, en in welke volgorde je het nagaat, lees je bij [een te trage VPN](/gidsen/vpn-voor-bedrijven/instellen/vpn-traag/).

### Als het netwerk je protocol blokkeert

Werkt je VPN thuis wel en in het hotel of bij een klant niet, dan blokkeert dat netwerk vaak UDP of de poorten van IKEv2. Wat je dan probeert, staat bij [een mislukte VPN-verbinding](/gidsen/vpn-voor-bedrijven/instellen/vpn-werkt-niet/).

### Waar je het protocol op Windows kiest

In de ingebouwde client van Windows kies je het protocol in het veld voor het VPN-type. Welke types daar staan en wanneer je toch een app nodig hebt, lees je bij [een VPN op je Windows-laptop](/gidsen/vpn-voor-bedrijven/instellen/vpn-instellen-windows/).


---

Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).