Wat is een VPN en hoe werkt het? Een uitleg in gewone taal

Een VPN (virtual private network) is een dienst die je internetverkeer door een versleutelde tunnel stuurt naar een server van het VPN-bedrijf, die het vervolgens doorgeeft aan de website of app die je gebruikt. Je internetprovider en het wifi-netwerk waar je op zit, zien alleen dat je met die server verbonden bent, en websites zien het IP-adres van de server in plaats van dat van jou.

Dat is echt nuttig, maar veel minder dan de reclames suggereren. Een VPN maakt je niet anoniem, houdt de meeste tracking niet tegen en beschermt je niet tegen oplichting. Het verplaatst alleen de mogelijkheid om je verkeer te zien van het ene bedrijf (je internetprovider) naar het andere (de VPN-aanbieder). Deze gids legt uit hoe het werkt, wat het voor wie verbergt, welke functies ertoe doen, wat een VPN niet kan en hoe je er een kiest als je er een wilt.

Hoe werkt een VPN?

Je apparaat versleutelt alles wat het verstuurt en verpakt het in pakketjes die aan de VPN-server zijn geadresseerd. De server pakt ze uit en ontsleutelt ze, stuurt je verzoeken onder zijn eigen IP-adres door naar het internet en versleutelt de antwoorden op weg terug naar jou.

De Surveillance Self-Defense-gids van de EFF zegt het eenvoudig: met een VPN "lijken alle gegevens die je verstuurt (zoals de verzoeken aan servers bij het browsen) afkomstig van de VPN zelf", volgens de module over het kiezen van een VPN¹. Stap voor stap:

1. Je maakt verbinding. De VPN-app op je telefoon of computer en de VPN-server bewijzen aan elkaar wie ze zijn en spreken nieuwe versleutelingssleutels af. De regels hiervoor vormen het VPN-protocol, zoals WireGuard of OpenVPN (zie WireGuard vs OpenVPN).
2. Je verkeer gaat de tunnel in. De app leidt het internetverkeer van je apparaat naar een virtuele netwerkinterface. Elk pakket wordt versleuteld en verpakt in een nieuw pakket dat aan de VPN-server is geadresseerd. Wie er tussen zit, ziet alleen onleesbare data die naar één adres gaat.
3. De server stuurt het door. Bij de VPN-server wordt je verkeer ontsleuteld en doorgestuurd naar de echte bestemming. De website ziet een verzoek van het IP-adres van de VPN-server.
4. Antwoorden komen op dezelfde manier terug. De website antwoordt de VPN-server, die het antwoord versleutelt en via de tunnel naar jou stuurt.

De naam "virtual private network" komt uit de zakelijke wereld, waar dezelfde technologie medewerkers vanuit huis toegang geeft tot de interne systemen van hun bedrijf alsof ze op kantoor zitten. Consumenten-VPN's gebruiken hetzelfde idee, maar verbinden je niet met een kantoornetwerk, maar via de server van iemand anders met het open internet.

Wat verbergt een VPN, en voor wie?

Een VPN verbergt de sites die je bezoekt voor het lokale netwerk en je internetprovider, en verbergt je echte IP-adres voor de sites die je bezoekt. Voor het VPN-bedrijf zelf verbergt hij niets, en voor sites waarop je inlogt weinig.

De laatste rij is de belangrijkste. In de woorden van de EFF: “while a VPN hides your browsing data from the ISP, it’s all visible to the VPN provider.” Daarom is het belangrijkste aan elke VPN wie hem beheert, waar, en welk bewijs er is dat er geen logs worden bijgehouden. Het is ook de reden dat deze site aanbieders vergelijkt op audits en staat van dienst in plaats van op functies: zie de vergelijkingstabel en onze gids over het controleren van een no-logs-claim.

HTTPS, het hangslotje in de adresbalk van je browser, versleutelt de inhoud van de meeste webpagina’s tussen jou en de site al, of je nu een VPN gebruikt of niet. De consumentenrichtlijnen van de FTC stellen dat “most websites do use encryption to protect your information” en dat “because of the widespread use of encryption, connecting through a public Wi-Fi network is usually safe”, volgens het advies over openbare wifi². Wat HTTPS niet verbergt voor het netwerk, is met welke sites je verbinding maakt. Een VPN wel.

Hoe werkt VPN-encryptie?

Moderne VPN-protocollen gebruiken dezelfde soort grondig onderzochte publieke cryptografie als beveiligde websites en berichtenapps: een sleuteluitwisseling om geheime sleutels af te spreken, daarna snelle symmetrische versleuteling voor het verkeer zelf, met een controle op elk pakket om manipulatie op te sporen.

WireGuard, het protocol dat de meeste aanbieders nu standaard gebruiken, legt zijn keuzes vast in plaats van ze te onderhandelen: de whitepaper⁴ beschrijft Curve25519 voor de sleuteluitwisseling en ChaCha20Poly1305 voor het versleutelen en authenticeren van pakketten, verstuurd via UDP. OpenVPN gebruikt TLS, dezelfde protocolfamilie die HTTPS beveiligt. Beide zijn sterk genoeg dat niemand met verstand de versleuteling aanvalt; de realistische zwakke plekken zijn de software eromheen, de server en het bedrijf erachter.

Je hoeft de wiskunde niet te begrijpen. Controleer wel of de aanbieder een gangbaar protocol gebruikt (WireGuard, OpenVPN, IKEv2, of een eigen protocol dat is gepubliceerd en onafhankelijk is geaudit) en niets geheims. De Amerikaanse National Security Agency en CISA stuurden kopers in hun richtlijnen uit 2021 voor het selecteren en beveiligen van VPN’s³ voor organisaties richting producten op basis van standaarden in plaats van propriëtaire producten.

Wat zijn IP-adressen en DNS, en waarom zijn ze belangrijk?

Je IP-adres is het nummer waarmee het internet data naar je terugstuurt, en het verraadt je internetprovider en ongeveer waar je bent. DNS is het opzoeksysteem dat een naam als example.com omzet in een IP-adres. Een VPN moet beide afhandelen, anders lekt het.

Als een website het IP-adres van de VPN-server ziet, kan die niet zien van welk huishouden of welke telefoon het verzoek komt, en wordt zijn schatting van je locatie de locatie van de server. Zo laat een VPN je lijken alsof je in een andere stad of een ander land bent.

DNS is het stillere probleem. Elke keer dat je een site opent, vraagt je apparaat eerst aan een DNS-server waar die te vinden is. Als die opzoekingen naar je internetprovider gaan in plaats van door de tunnel (een “DNS-lek”), krijgt je provider nog steeds een lijst van de sites die je bezoekt. Betrouwbare VPN-apps sturen DNS door de tunnel naar de eigen resolvers van de aanbieder. Als je een VPN handmatig instelt, bijvoorbeeld op een router, is het de moeite waard dit te controleren.

Wat zijn een kill switch en split tunneling?

Een kill switch blokkeert je internetverbinding als de VPN wegvalt, zodat er niets onbeschermd naar buiten lekt. Split tunneling doet het tegenovergestelde: je kiest apps of sites die de VPN overslaan.

• Kill switch. VPN-verbindingen vallen weg om gewone redenen: een telefoon die van wifi naar mobiele data wisselt, een laptop die uit slaapstand komt, een server die herstart. Zonder kill switch gaat je apparaat stilletjes door via je gewone verbinding. Met een kill switch stopt het verkeer tot de tunnel terug is. Gebruik je een VPN voor privacy en niet voor gemak, zet hem dan aan.
• Split tunneling. Sommige dingen werken slecht via een VPN: bankapps die buitenlandse IP-adressen markeren, printers en slimme apparaten op je eigen netwerk, videogesprekken waarbij elke milliseconde telt. Split tunneling stuurt die rechtstreeks door, terwijl al het andere door de tunnel gaat. Dat is handig, maar het betekent ook dat die apps niet beschermd zijn.
• Multi-hop. Sommige aanbieders kunnen je via twee servers leiden, vaak in verschillende landen, zodat geen enkele server zowel je echte IP-adres als je bestemming ziet. Het is trager en vooral nuttig als je bang bent dat een specifieke server in de gaten wordt gehouden.
• Obfuscatie. Netwerken op sommige werkplekken, scholen en in sommige landen blokkeren VPN’s. Obfuscatiemodi vermommen VPN-verkeer als gewoon webverkeer. Elke aanbieder heeft hier een eigen naam voor.

Wat kan een VPN niet?

Een VPN maakt je niet anoniem, stopt tracking via cookies, inlogaccounts of fingerprinting niet, en beschermt je niet tegen phishing, oplichting of malware. Het verandert wie je verbindingen kan zien, niet wat je zelf weggeeft.

• Het is geen anonimiteit. De EFF is duidelijk: “A VPN is not a tool for anonymity.” De aanbieder kent je echte IP-adres en meestal je betaalgegevens. Wil je sterkere anonimiteit, dan zegt de EFF: “Tor is a better solution than a VPN.”
• Het stopt de meeste tracking niet. In dezelfde EFF-gids¹ staat: “there are many other ways companies may track you, including GPS, web cookies, tracking pixels, or fingerprinting.” Ben je ingelogd bij Google, Facebook of Amazon, dan weten zij dat jij het bent, welk IP-adres je ook gebruikt. Een browser of extensie die trackers blokkeert, doet hiervoor meer dan een VPN.
• Het stopt oplichting niet. De FTC waarschuwt dat oplichters “create fake websites and encrypt them to make you think they’re safe when they’re not.” Een phishingpagina werkt via een VPN precies zo goed.
• Het vervangt geen basisbeveiliging. Software-updates, een wachtwoordmanager, unieke wachtwoorden en tweestapsverificatie beschermen je tegen veel meer van de aanvallen waar gewone mensen echt mee te maken krijgen.
• Het zet je niet buiten de wet. De EFF merkt op dat “depending on jurisdiction, a government can demand that data or issue a subpoena for it,” en dat aanbieders “may also be subject to pressure from governments or law enforcement to turn over information.”

Wat is het verschil tussen een werk-VPN en een consumenten-VPN?

Een werk-VPN verbindt je met het privénetwerk van je werkgever, zodat je interne systemen kunt gebruiken; een consumenten-VPN verbindt je via de servers van de aanbieder met het openbare internet. Ze gebruiken vergelijkbare technologie voor tegengestelde doelen.

CISA zegt dat VPN-servers voor toegang op afstand “allow off-site users to tunnel into protected networks”, in de waarschuwing over de richtlijnen van NSA en CISA³. Als de VPN van je werkgever aan staat, kan het netwerk van je werkgever je verkeer doorgaans zien op dezelfde manier als je internetprovider dat normaal doet, dus beschouw het niet als privé. Een consumenten-VPN zoals Proton VPN, Mullvad of NordVPN is een apart product waarvoor je betaalt (of dat je gratis gebruikt) om je surfgedrag af te schermen van je eigen netwerk en provider.

Wettelijk recht?

In de meeste landen, waaronder de VS, is het gebruik van een VPN legaal. Sommige overheden beperken of verbieden ze, en wat zonder VPN illegaal is, blijft ook met een VPN illegaal. Niets hiervan is juridisch advies.

De EFF raadt aan op de hoogte te blijven van “specific countries’ policies on VPNs (like VPN bans)” als je reist of woont op een plek met internetcensuur. Daarnaast verbieden veel streamingdiensten in hun gebruiksvoorwaarden het gebruik van een VPN om bij de catalogus van een ander land te komen, en blokkeren ze actief VPN-servers; dat is een contractkwestie en geen strafzaak, maar je account kan ervoor worden geschorst. Onze gids over VPN’s voor streaming legt uit wat dat in de praktijk betekent, en VPN’s voor torrenting behandelt waarom een VPN niets verandert aan het auteursrecht.

Wat doet een VPN niet?

Veel mensen niet. Het is de moeite waard als je regelmatig netwerken gebruikt die je niet vertrouwt, niet wilt dat je internetprovider ziet welke sites je bezoekt, of wilt dat sites een andere locatie zien. Het is geen algemeen hulpmiddel om “veilig online te blijven”.

Ons volledige antwoord, met de situaties waarin het helpt en waarin niet, staat in Heb ik een VPN nodig?. Gaat het je om de kosten, lees dan gratis vs. betaalde VPN’s en onze lijst van gratis VPN’s die het gebruiken waard zijn.

Hoe kies ik een VPN?

Kies eerst het bedrijf, dan pas de functies. Zoek een benoemde, onafhankelijke no-logs-audit die je kunt lezen, een duidelijke eigenaar en jurisdictie, een staat van dienst die je kunt controleren, een gangbaar protocol en terugbetalingsvoorwaarden die je begrijpt.

• Vraag hoe het geld verdient. De EFF stelt voor te vragen: “If the VPN doesn’t sell its service, how is it keeping its business afloat?” Gratis VPN’s zonder zichtbaar bedrijfsmodel zijn de riskantste soort.
• Lees het privacybeleid. De EFF waarschuwt dat “a VPN company might log your data if it doesn’t specifically rule it out in its privacy policy.”
• Zoek bewijs, geen slogans. Audits door genoemde bedrijven, politie-invallen of rechtszaken waarbij niets werd gevonden, en eerlijke afhandeling van datalekken. Ons no-logs-overzicht rangschikt aanbieders precies daarop.
• Controleer de echte prijs. De prijzen in de kop vragen meestal om een abonnement van één of twee jaar dat vooraf wordt betaald, en worden bij verlenging hoger. Zie de goedkoopste betrouwbare VPN’s.

Twijfel je tussen de grote namen? In onze onderlinge vergelijkingen lopen we ze aanbieder voor aanbieder langs: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN en Mullvad vs Proton VPN.