Wat is sneller: OpenVPN UDP of TCP?

OpenVPN over UDP is doorgaans sneller en robuuster tegen verlies. OpenVPN over TCP is nuttig om restrictieve firewalls of DPI te passeren, maar TCP-over-TCP kan zware performance-penalties geven op links met verlies.

Waarom wordt IKEv2 aanbevolen op iOS?

iOS heeft uitstekende native IKEv2-ondersteuning. MOBIKE zorgt dat tunnels netwerkveranderingen overleven met minimale batterij-impact, waardoor het stabiel en efficiënt is op mobiel.

Kan een VPN-protocol alleen leaks voorkomen?

Nee. Je hebt ook een firewall-based kill switch, DNS in de tunnel, IPv6-handling en WebRTC-protecties nodig. De implementatie van de provider en je client-instellingen zijn minstens zo belangrijk als het protocol.

Wat als mijn VPN verbindt maar websites niet laden?

Pas MTU/MSS aan om fragmentatie te voorkomen, wissel tussen UDP en TCP, geef de voorkeur aan TCP/443 met obfuscatie op restrictieve netwerken, zorg dat DNS getunneld is en rond captive portal-logins af vóór je opnieuw verbindt.

Is PPTP vandaag acceptabel?

Nee. PPTP gebruikt gebroken authenticatie (MS-CHAPv2) en zwakke encryptie. Het hoort niet gebruikt te worden voor security-gevoelige doeleinden.

VPN-protocollen uitgelegd – zo kies je goed

Q: Is WireGuard te nieuw om te vertrouwen?

WireGuard gebruikt een conservatief cryptografisch ontwerp (NoiseIK met moderne primitives) en heeft een kleine codebase met uitgebreide review. De belangrijkste privacy-caveat is server-side key/IP-handling; kies providers met ephemeral keys en double-NAT designs.

Disclosure: Some links on this page are affiliate links. We may earn a commission if you make a purchase through them, at no additional cost to you.

Snel antwoord: In 2026 is het beste allround VPN-protocol voor de meeste mensen WireGuard (of een goed geïmplementeerde WireGuard-variant zoals NordLynx of Lightway) dankzij snelle handshakes, uitstekende doorvoer en moderne cryptografie. Voor restrictieve netwerken en deep packet inspection (DPI) komt OpenVPN over TCP 443 met obfuscatie nog steeds betrouwbaarder door. IKEv2/IPsec blinkt uit op mobiel dankzij MOBIKE en snelle herverbindingen. L2TP/IPsec en PPTP zijn grotendeels legacy; vermijd PPTP voor alles waarbij beveiliging een rol speelt.

Contents show

Wat zijn VPN-protocollen (en waarom zou je je erom moeten bekommeren)?

Een VPN-protocol is de set regels die bepaalt hoe je apparaat een veilige tunnel opzet naar een VPN-gateway: hoe peers authenticeren, welke ciphers het verkeer beschermen, hoe pakketten worden ingekapseld (UDP/TCP/ESP), hoe de sessie netwerkveranderingen overleeft en hoe er wordt gereageerd op verlies en congestie. Verschillende protocollen optimaliseren voor verschillende doelen: snelheid, stabiliteit, censuurbestendigheid, batterijduur en privacy posture. De juiste keuze kan je doorvoer verdubbelen, je latency met tientallen milliseconden verlagen, of het verschil maken tussen werken en geblokkeerd worden achter een hotel-firewall.

In één oogopslag: protocolvergelijking

Protocol	Transport & crypto	Sterktes	Beperkingen	Beste use cases
WireGuard	UDP; NoiseIK; ChaCha20-Poly1305; kleine codebase (~4–5k LOC)	Zeer snelle handshakes en hoge doorvoer; uitstekende roaming; laag CPU/batterijverbruik; eenvoudige configuratie	Ruwe WG koppelt statische keys aan IP’s (privacy-overwegingen); alleen UDP kan worden geknepen/geblokkeerd; sommige captive portals houden niet van UDP	Dagelijks gebruik, streaming, gaming, mobiele VPN, high-bandwidth links
OpenVPN (UDP/TCP)	TLS 1.2/1.3-inkapseling; AES-GCM/ChaCha20; draait over UDP of TCP	Zeer compatibel; volwassen; flexibel; werkt over TCP/443; eenvoudig te obfusceren met stunnel/obfsproxy	Zwaarder dan WG; risico op TCP-over-TCP-meltdown; meer CPU-overhead	Censuur/DPI-omzeiling, enterprise-compatibiliteit, lastige Wi-Fi/hotels
IKEv2/IPsec	UDP 500/4500; IKEv2 + ESP; AES-GCM/ChaCha20; PFS; MOBIKE	Snelle re-keys; stabiel op mobiel; native clients op iOS/macOS/Windows; split-tunnel-vriendelijk	Sommige NAT’s/firewalls blokkeren ESP/NAT-T; complexe configuratie; minder consumentenfeatures (obfuscatie)	Corporate/mobiele deployments, consistente mobiele data↔Wi-Fi handovers
L2TP/IPsec	UDP 1701 + IPsec ESP/NAT-T	Breed beschikbaar; eenvoudige apparaatondersteuning op oudere hardware	Dubbele inkapselings-overhead; trager; worstelt met NAT/DPI; grotendeels legacy	Alleen wanneer er niets anders beschikbaar is op oudere systemen
SSTP	TLS over TCP/443 (Microsoft)	Passeert de meeste firewalls (443); redelijke performance op Windows; eenvoudig uit te rollen in MS-stacks	Gesloten protocol; wisselende cross-platform support; niche bij consumer VPN’s	Windows-centrische netwerken waar 443 het enige open pad is
PPTP (legacy)	GRE + MPPE; MS-CHAPv2 auth (gebroken)	Zeer snel; wijdverspreid op antieke apparaten	Onveilig (gebroken auth/encryptie); overal deprecated	Vermijd voor security; alleen lab/testing

Deep dives: hoe de belangrijkste protocollen zich gedragen

WireGuard

WireGuard is een slank, modern protocol met de NoiseIK-handshake en ChaCha20-Poly1305 AEAD met Curve25519 voor ECDH. Het draait in de kernel (Linux) of als een hoogwaardige userspace-port en legt de nadruk op eenvoud: kleine codebase, minimale “knobs” en stateless roaming (peers worden geïdentificeerd via public keys). Het resultaat: bijna directe handshakes, consistent hoge throughput en laag CPU-verbruik—goed voor batterijduur op iOS/Android en razendsnel op multi-Gbps links.

Roaming & NAT: Gebruikt persistent keepalives en endpoint discovery; overleeft IP-wijzigingen (Wi-Fi→LTE) naadloos.
Privacy posture: Ruwe WG koppelt een statische public key aan een intern/statisch tunnel-IP; naïeve serverconfiguraties kunnen kortdurende associatiedata achterlaten. Reputabele providers implementeren ephemeral keying en double-NAT (bijv. NordLynx) om accounts te ontkoppelen van interne IP’s.
Censuurbestendigheid: UDP kan worden geknepen/geblokkeerd; obfuscatie vereist add-ons (bijv. UDP over DTLS/TLS, Shadowsocks of proprietaire “Stealth”-lagen).
Wanneer gebruiken: Standaardkeuze wanneer netwerken niet actief vijandig zijn; streaming, gaming, dagelijkse privacy.

OpenVPN (UDP en TCP)

OpenVPN is battle-tested, zeer configureerbaar en open-source. Het kapselt verkeer in TLS, meestal met AES-GCM of ChaCha20-Poly1305 en ECDHE voor PFS. Het draait over UDP (voorkeur voor snelheid) of TCP (handig achter restrictieve proxies en DPI).

Obfuscatie: Eenvoudig te vermommen als normale HTTPS met stunnel, obfs4 of XTLS/Reality-achtige fronting; TCP/443 blendt in toegestaan verkeer.
Performance-overwegingen: OpenVPN-UDP is solide maar heeft meer overhead dan WireGuard. OpenVPN-TCP riskeert TCP-over-TCP-meltdown op links met verlies (beide lagen retransmitten/congesten).
Wanneer gebruiken: Op netwerken met DPI, autoritaire filters, enterprise proxies of waar UDP is geblokkeerd.

IKEv2/IPsec

IKEv2 onderhandelt security associations en keys voor IPsec ESP. Het ondersteunt MOBIKE voor robuuste mobiliteit, waardoor het fantastisch is op telefoons die tussen netwerken wisselen. Cryptografie is modern (AES-GCM of ChaCha20; ECDHE voor PFS). Het draait doorgaans over UDP-poorten 500/4500 (NAT-T).

Pros: Zeer snelle re-keys, stabiele langdurige tunnels, native clients op iOS/macOS/Windows, goed voor split tunneling.
Cons: Firewalls die UDP 500/4500 of ESP blokkeren breken het; minder flexibele obfuscatie-opties dan OpenVPN.
Wanneer gebruiken: Corporate deployments; mobiele gebruikers die stabiliteit belangrijker vinden dan obfuscatie.

L2TP/IPsec (legacy)

L2TP levert de tunnel; IPsec levert de encryptie. Omdat je twee keer inkapselt, is de overhead hoger en de performance slechter. Het is breed beschikbaar op oude apparatuur, maar fragiel met NAT en biedt zwakke weerstand tegen DPI. Gebruik het alleen wanneer moderne opties niet beschikbaar zijn.

SSTP (Microsoft)

SSTP draait over TLS op TCP/443, wat helpt om langs de meeste firewalls te komen. Het is goed geïntegreerd op Windows Server/Client, maar blijft een gesloten protocol met wisselende support elders. Redelijk voor Windows-only omgevingen wanneer OpenVPN niet haalbaar is.

PPTP (niet gebruiken voor beveiliging)

PPTP is snel omdat de crypto/auth-stack gebroken is (MS-CHAPv2 kan worden gekraakt). Moderne OS’en waarschuwen of blokkeren het standaard. Het is in de praktijk deprecated; houd het uit productie.

Provider-specifieke / proprietaire protocollen

NordLynx (NordVPN): Een WireGuard-variant met double NAT om te voorkomen dat statische keys aan gebruikersidentiteiten of vaste interne IP’s worden gekoppeld. Vaak één van de snelste; privacy-minded ontwerp adresseert de koppeling-zorgen van ruwe WireGuard.
Lightway (ExpressVPN): Lichtgewicht, mobile-first protocol met wolfSSL; ondersteunt AES-GCM en ChaCha20-Poly1305. Snel hervatten en solide performance, zelfs op instabiel Wi-Fi/4G; geaudit voor implementatiezekerheid.
Hydra (Hotspot Shield/Catapult Hydra): Richt zich op throughput en censuurbestendigheid met proprietary transport/obfuscatie. Minder onafhankelijke scrutiny dan OpenVPN/WireGuard.
Stealth (diverse vendors, bijv. Proton VPN): Obfuscatie-lagen die WireGuard/OpenVPN vermommen als standaard TLS/HTTPS om DPI en nationale firewalls te omzeilen; verwacht een snelheidsverlies door extra wrapping.

Performance: waar komt de snelheid vandaan?

Handshake-latency: WireGuards NoiseIK is 1-RTT met minimale state → bijna directe verbindingen. OpenVPN + TLS heeft meer berichten nodig; IKEv2 is snel bij re-key.
Cipher-efficiëntie: ChaCha20-Poly1305 is uitstekend op mobiel/ARM; AES-GCM profiteert van CPU AES-NI op desktops/servers.
Transport: UDP vermijdt TCP’s head-of-line (HOL) blocking en is superieur op links met verlies. TCP gaat beter “schuil” in enterprise, maar riskeert meltdown in TCP-over-TCP-tunnels.
Inkapselings-overhead & MTU: Tunnels voegen headers toe. Als je MTU te hoog is, zie je fragmentatie/black holes. Zet MSS clamp op ~1360–1380 bytes voor OpenVPN/WireGuard als veilige baseline; test en tune.

Censuurbestendigheid & DPI-omzeiling

Adversarial netwerken fingerprinten protocollen via pakketgroottes, timing en TLS-signatures. Strategieën die vandaag werken:

OpenVPN-TCP 443 met stunnel (TLS in TLS) of obfs4 om in HTTPS te blenden. Sterk maar trager.
WireGuard over TLS (a.k.a. “WG-over-TLS”/“Stealth WG”): kapsel UDP in een TLS-achtig stream; verwacht overhead.
Domain fronting / geavanceerde pluggables (waar legaal): routeert verkeer via high-reputation CDNs; centrale overheden detecteren/drukken CDNs steeds vaker om dit te blokkeren.
SSTP/443 in Windows-omgevingen wanneer OpenVPN niet is toegestaan.

Mobiel gedrag: herverbinding, batterij en stabiliteit

WireGuard: Minimale keepalives, efficiënte crypto; uitstekende batterijduur. Roaming tussen netwerken verloopt soepel.
IKEv2/IPsec: MOBIKE laat de tunnel IP-wijzigingen goed overleven; vaak het meest stabiel op iOS dankzij native client support.
OpenVPN: Userspace keepalives betekenen meer wakeups; prima op moderne devices maar minder batterij-optimaal dan WireGuard/Lightway.

Security posture & audits

Open-source code & audits: WireGuard en OpenVPN hebben sterke community scrutiny. Beoordeel ook de implementatie van de provider: RAM-only servers, key rotation, log-minimalisatie en externe audits.
Key management: Kies providers met ephemeral session keys, automatische re-keying en designs die permanente key↔IP-linkage vermijden (bijv. NordLynx double-NAT).
Leak protection: Protocolkeuze is niet genoeg—schakel kill switch in, DNS in de tunnel, IPv6-handling (tunnelen of uitschakelen) en bescherm tegen WebRTC leaks.

Welk protocol moet je kiezen? (Beslisgids)

Dagelijks gebruik op normale netwerken: WireGuard (of NordLynx/Lightway). Als het instabiel is, probeer OpenVPN-UDP.
Hotels/campussen/vliegvelden met strikte firewalls: OpenVPN-TCP 443 met obfuscatie. Als het Windows-only is, kan SSTP/443 werken.
Mobiel (vaak wisselen tussen Wi-Fi/LTE): IKEv2/IPsec of Lightway. WireGuard is ook uitstekend als het netwerk UDP niet blokkeert.
Oude routers/embedded gear: OpenVPN wordt breed ondersteund; vermijd L2TP tenzij je moet; nooit PPTP voor security.
Nation-state DPI/censuur: OpenVPN-TCP 443 + stunnel/obfs of de Stealth-modus van een vendor; verwacht lagere snelheden.

Implementatietips (hands-on)

MTU/MSS: Zie je stalls of vreemde slowdowns, clamp dan TCP MSS: OpenVPN mssfix 1360 en tun-mtu 1500 (aanpassen), of stel OS-level MSS-regels in voor WireGuard-verkeer.
DNS: Forceer resolver queries in de tunnel (provider DNS of versleutelde DNS in-tunnel). Publieke DoH/DoT mixen met geo-unblocking kan mismatches geven.
Kill switch: Gebruik een firewall-based kill switch (blokkeert alle non-tunnel egress) in plaats van alleen app-toggles.
Protocol fallbacks: Probeer WireGuard → OpenVPN-UDP → OpenVPN-TCP 443 met obfuscatie. Automatiseer failover waar mogelijk.
Audits & logging: Kies providers met third-party audits, RAM-disk servers en transparante, minimale logging policies.

Minder gangbare (maar nuttige) opties

OpenConnect/AnyConnect (SSL-VPN): Cisco-achtige SSL VPN’s met goede enterprise support; sommige consumer diensten ondersteunen OpenConnect voor compatibiliteit.
SoftEther: Multi-protocol, TLS-based VPN stack; flexibel maar zwaarder om te deployen; kan HTTPS goed nabootsen.

FAQs

Is WireGuard “te nieuw” om te vertrouwen?

WireGuards cryptografische ontwerp (NoiseIK + moderne primitives) is conservatief en breed gereviewd; de kleine codebase reduceert het attack surface. De belangrijkste caveat is server-side privacy practices—kies providers die ephemeral keys implementeren en geen linkable metadata bewaren.

OpenVPN UDP of TCP—wat is sneller?

UDP bijna altijd. TCP is vooral voor restrictieve netwerken en DPI-omzeiling. Vermijd TCP-in-TCP tunneling waar mogelijk; verlies en latency worden versterkt.

Waarom wordt IKEv2 vaak aanbevolen op iOS?

Uitstekende native support, snelle re-establishment en MOBIKE houden sessies overeind wanneer radios wisselen (cellular↔Wi-Fi) met minimale batterij-impact.

Kan een VPN-protocol alleen garanderen dat er geen leaks zijn?

Nee. Je hebt DNS in de tunnel nodig, IPv6-handling, een firewall kill switch en browser/WebRTC-protecties. Protocolkeuze is één onderdeel van een bredere privacy stack.

Wat moet ik proberen als mijn VPN “verbindt” maar niets laadt?

Verlaag MTU/MSS, switch UDP→TCP (of andersom), probeer TCP/443 met obfuscatie, zorg dat DNS in-tunnel is en check captive portals (disconnect, open een HTTP-site om login te triggeren, reconnect).

Is PPTP ooit acceptabel?

Niet voor security. Het is deprecated vanwege gebroken authenticatie. Gebruik het alleen in lab-situaties waar encryptie irrelevant is.

Conclusie

Het “juiste” VPN-protocol hangt af van je threat model en netwerkcondities. WireGuard (en goed ontworpen varianten zoals NordLynx en Lightway) levert de beste mix van snelheid, stabiliteit en moderne crypto voor dagelijkse privacy. OpenVPN blijft het Zwitserse zakmes dat door DPI en vreemde netwerken heen prikt—zeker in TCP 443 met obfuscatie. IKEv2/IPsec is een mobiele workhorse. Behandel L2TP/IPsec en PPTP als legacy. Voor consistente resultaten: begin met WireGuard, val terug op OpenVPN-UDP en daarna OpenVPN-TCP 443 met obfuscatie wanneer het netwerk vijandig wordt.

VPN-protocollen uitgelegd