WireGuard vs OpenVPN: welk VPN-protocol kun je het beste gebruiken?

WireGuard vs OpenVPN heeft een kort antwoord: gebruik bijna altijd WireGuard, of de standaard van je VPN-aanbieder die op WireGuard is gebaseerd, en schakel alleen over op OpenVPN via TCP of een obfuscatiemodus als een netwerk je blokkeert. WireGuard is nieuwer, veel compacter en, volgens de gepubliceerde tests van de maker, veel sneller. OpenVPN is ouder, groter en trager, maar kan heel goed door beperkende netwerken heen komen, omdat het eruit kan zien als gewoon versleuteld webverkeer.

Dat korte antwoord verbergt een paar nuttige details. Verschillende grote aanbieders laten je niet meer alleen tussen deze twee kiezen: ExpressVPN promoot zijn eigen Lightway-protocol, NordVPN verpakt WireGuard in iets wat het NordLynx noemt, en Mullvad stopte in 2026 helemaal met OpenVPN. Deze gids legt uit wat een VPN-protocol eigenlijk is, waarin de twee belangrijkste verschillen, wat de protocollen met een merknaam zijn en welke instelling je in je app in welke situatie kiest.

Wat is een VPN-protocol?

Een VPN-protocol is de set regels die jouw apparaat en de VPN-server gebruiken om sleutels af te spreken, je verkeer te versleutelen en het in pakketjes te verpakken die over het internet kunnen reizen. De VPN-app is het stuur; het protocol is de motor.

Elk protocol moet dezelfde drie taken uitvoeren. Het moet aan je apparaat bewijzen dat het met de echte server praat en niet met een bedrieger (authenticatie). Het moet nieuwe versleutelingssleutels afspreken zonder dat iemand die meeluistert ze kan achterhalen (sleuteluitwisseling). En het moet elk pakket versleutelen en controleren dat er onderweg niet mee geknoeid is (transport). Hoe een protocol die taken uitvoert, bepaalt hoe snel het is, hoe makkelijk het te controleren is en hoe makkelijk een netwerk het kan herkennen en blokkeren.

Voor een consumenten-VPN zijn de praktische keuzes WireGuard, OpenVPN, IKEv2 en de eigen varianten van aanbieders. Wil je het grotere plaatje van wat een VPN wel en niet verbergt, begin dan bij wat een VPN is en hoe het werkt.

Wat is WireGuard?

WireGuard is een VPN-protocol dat Jason Donenfeld heeft ontworpen om klein, snel en makkelijk te beoordelen te zijn. Het werd in maart 2020 onderdeel van de Linux-kernel met versie 5.6 en draait nu op alle grote platforms.

In de whitepaper¹ van het project (een versie ervan verscheen in 2017 op de beveiligingsconferentie NDSS) staat dat de Linux-implementatie is geschreven in "less than 4,000 lines of code (excluding cryptographic primitives)", zodat het nakijken op beveiligingsfouten voor één persoon haalbaar is. De aankondiging van WireGuard 1.0.0³ markeerde de komst ervan in de reguliere Linux 5.6-kernel, die eind maart 2020 uitkwam.

WireGuard biedt bewust geen keuzemenu van cijfers. Op de homepage² staat één vaste set: het Noise-protocolframework, Curve25519 voor sleuteluitwisseling, ChaCha20 en Poly1305 voor versleuteling en authenticatie, BLAKE2 voor hashing, SipHash24 en HKDF. Als een van die onderdelen ooit gekraakt wordt, stapt iedereen over op een nieuwe versie in plaats van een zwakkere optie te onderhandelen, wat een hele categorie downgrade-aanvallen voorkomt waar oudere protocollen last van hadden.

Het gebruikt ook een eenvoudig idee dat het project "cryptokey routing" noemt: de publieke sleutel van elke peer is gekoppeld aan de tunnel-IP-adressen die hij mag gebruiken. Voor uitgaande pakketten werkt die lijst als een routeringstabel, voor inkomende pakketten als een toegangscontrolelijst. Die eenvoud is een groot deel van de reden dat het snel en makkelijk te configureren is, en ook de bron van de ene echte privacykwestie voor commerciële VPN's, hieronder besproken.

Wat is OpenVPN?

OpenVPN is het opensource-VPN-programma dat bijna twee decennia lang de meeste consumenten-VPN's aandreef. Het werd in 2001 voor het eerst uitgebracht, geschreven door James Yonan, en gebruikt het TLS-protocol (dezelfde familie van versleuteling die HTTPS-websites beveiligt) via de OpenSSL-bibliotheek.

Volgens de samenvatting van het project op Wikipedia⁴ is OpenVPN vrije software onder de GPLv2 (met commerciële licenties beschikbaar), draait het in de gebruikersruimte in plaats van in de kernel van het besturingssysteem en kan het verkeer over UDP of TCP sturen; poort 1194 is de door IANA toegewezen poort. De eigen how-to⁵ van het project beschrijft het als een implementatie van een veilige netwerkuitbreiding "using the industry standard SSL/TLS protocol", waarbij clients verbinden "over a single TCP or UDP port".

De sterke punten zijn volwassenheid en flexibiliteit. Het ondersteunt veel cijfers en authenticatiemethoden, onderzoekers pluizen het al jaren uit en het kan via TCP draaien op elke poort die je kiest, wat van belang is als een netwerk alleen webverkeer doorlaat. De zwakke punten zijn de keerzijde: een veel grotere codebase dan die van WireGuard, meer configuratieopties waarin je fouten kunt maken en de overhead van draaien in de gebruikersruimte.

Is WireGuard sneller dan OpenVPN?

Ja, in de gepubliceerde benchmark van de maker van WireGuard was het ongeveer vier keer sneller dan OpenVPN op dezelfde hardware, met lagere latency. Zie de exacte cijfers als een laboratoriumresultaat van de ontwerper van het protocol, niet als voorspelling van wat jouw VPN gaat doen.

De benchmark in de whitepaper¹ draaide iperf3 tussen twee laptops (een Intel Core i7-3820QM en een Core i7-5200U) over gigabit-ethernet, gemiddeld over dertig minuten. WireGuard haalde 1.011 megabit per seconde; twee IPsec-configuraties haalden 881 en 825; OpenVPN, met AES-256 en HMAC-SHA2-256 over UDP, haalde 258. De pingtijden volgden dezelfde volgorde: 0,403 milliseconde voor WireGuard tegen 1,541 voor OpenVPN. De paper merkt op dat de CPU bij de tests met OpenVPN en IPsec op 100% zat maar niet bij WireGuard, wat volgens de paper betekent dat WireGuard de gigabitlink volledig benutte.

Het paper schrijft het verschil toe aan het ontwerp: OpenVPN is een user-space-applicatie, waardoor pakketten meerdere keren tussen de kernel en het programma worden gekopieerd, wat extra vertraging en CPU-belasting oplevert. WireGuard draait onder Linux in de kernel.

Bij een echte VPN-dienst hangt je snelheid veel meer af van de afstand tot de server, hoe druk die server is, je eigen verbinding en je apparaat dan van het protocol alleen. Wij hebben geen snelheidstests uitgevoerd en publiceren geen snelheidsscores. Wat de benchmark je wel vertelt, is dat WireGuard meer ruimte overlaat, wat vooral te merken is op snelle thuisverbindingen en op telefoons, waar minder CPU-belasting het meest uitmaakt.

Is WireGuard net zo veilig als OpenVPN?

Beide worden als veilig beschouwd als ze goed zijn geconfigureerd. WireGuard steunt op moderne, vaste cryptografie en een codebase die klein genoeg is om te laten beoordelen; OpenVPN steunt op jarenlang gebruik en veel instelbare, goed onderzochte opties.

Het verschil gaat vooral over hoeveel er mis kan gaan. OpenVPN laat de provider ciphers, TLS-versies, authenticatiemethoden en tientallen andere instellingen kiezen, dus de veiligheid hangt ervan af of de provider goede keuzes maakt. WireGuard neemt die keuzes weg. Er is geen zwakke oude cipher om op terug te vallen, omdat er helemaal geen onderhandeling over ciphers plaatsvindt.

Wil je een second opinion over het principe: de Amerikaanse National Security Agency en CISA raadden kopers in hun richtlijnen uit 2021 voor het kiezen en beveiligen van VPN's⁷ voor organisaties aan om te kiezen voor producten op basis van standaarden in plaats van propriëtaire producten. Die richtlijnen zijn bedoeld voor zakelijke VPN's voor toegang op afstand, niet voor consumentendiensten, maar het onderliggende punt geldt ook hier: een goed begrepen, breed getoetst protocol is makkelijker te vertrouwen dan een geheim protocol. Zowel WireGuard als OpenVPN zijn volledig open source.

Heeft WireGuard een privacyprobleem?

Gewone WireGuard vraagt dat de server een vaste tabel bijhoudt die de sleutel van elke gebruiker koppelt aan een tunnel-IP-adres. Dat wil een no-logs-VPN liever niet hebben liggen. Commerciële aanbieders die WireGuard gebruiken, voegen een eigen laag toe om te voorkomen dat die koppeling wordt opgeslagen.

NordVPN legt het probleem helder uit op de NordLynx-pagina⁸: de oorspronkelijke architectuur van WireGuard "vereiste dat servers een statische IP-tabel opslaan die gebruikers koppelt aan hun interne IP-adressen". De oplossing, NordLynx, is een "dubbel NAT-systeem". Eén interface geeft elke gebruiker op een server hetzelfde lokale IP-adres; een tweede wijst voor elke tunnelsessie een uniek adres toe, en die toewijzing "duurt alleen zolang de sessie actief is", waarbij de authenticatie via een aparte database verloopt. NordVPN zegt dat hierdoor geen identificeerbare gegevens op de VPN-server worden opgeslagen; dat is de eigen beschrijving van het bedrijf, die de no-logs-auditrapporten moeten onderbouwen (zie onze NordVPN-review).

Andere aanbieders hebben hun eigen versies van dezelfde oplossing. Als je WireGuard zelf draait met een thuisserver, doet dit er niet toe: jij bent de enige gebruiker en je beheert de tabel zelf.

En IKEv2?

IKEv2 is het sleuteluitwisselingsgedeelte van IPsec, een ouder protocolpakket op basis van standaarden dat in de meeste besturingssystemen is ingebouwd, en daarom bieden sommige apps het nog aan, vooral op iPhones en Macs.

De huidige specificatie is RFC 7296⁶, gepubliceerd in oktober 2014, die IKEv2 beschrijft als een onderdeel van IPsec dat zorgt voor wederzijdse authenticatie en de security associations opzet die het verkeer beschermen. In de WireGuard-benchmark hierboven zaten de twee IPsec-configuraties tussen WireGuard en OpenVPN in. IKEv2 is een redelijke terugvaloptie op Apple-apparaten, maar gebruikt vaste poorten die netwerken gemakkelijk kunnen blokkeren, en de meeste providers hanteren nu standaard WireGuard.

Wat zijn NordLynx, Lightway, Stealth en de andere protocollen met een merknaam?

De meeste zijn WireGuard met een extra privacylaag, of een eigen protocol van de provider dat is gebouwd voor snelheid of om VPN-blokkades te omzeilen. Dit is wat de grote providers volgens hun eigen documentatie echt gebruiken.

Bronnen voor de tabel: NordVPN Help Center⁹, ExpressVPN¹¹, Proton VPN¹³, Surfshark Help Center¹⁶ en de aankondiging van Dausos door Surfshark¹⁷, Mullvad¹⁴ en zijn bericht over obfuscatie¹⁵, en IVPN¹⁸.

• NordLynx is WireGuard plus de dubbele NAT-laag van NordVPN, zoals hierboven beschreven. NordVPN zegt op dezelfde pagina⁸ dat het in 2025 post-quantumversleuteling aan NordLynx heeft toegevoegd.
• Lightway is het eigen protocol van ExpressVPN, gebouwd op de cryptografiebibliotheek wolfSSL. ExpressVPN heeft het herschreven in Rust; in het bericht van februari 2025¹⁰ staat dat Praetorian (september 2024) en Cure53 (oktober 2024) de nieuwe code hebben geaudit, met twee problemen met laag risico van Praetorian en vijf bevindingen van Cure53, geen enkele als kritiek beoordeeld, en na herstel opnieuw getest in december 2024. Omdat ExpressVPN geen WireGuard aanbiedt, gebruik je daar Lightway voor snelheid.
• Stealth is het protocol van Proton VPN voor gecensureerde netwerken. In Protons aankondiging van oktober 2022¹² wordt het beschreven als "obfuscated TLS tunneling over TCP", ontworpen om "de meeste firewalls en VPN-blokkeringsmethoden" te omzeilen.
• NordWhisper is het equivalent van NordVPN voor netwerken die VPN's blokkeren, vermeld op de helppagina over protocollen⁹.
• Dausos is het eigen protocol van Surfshark, gelanceerd in april 2026¹⁷ en vooralsnog alleen beschikbaar in de macOS App Store-app.

Waarom heeft Mullvad OpenVPN laten vallen?

Mullvad besloot één modern protocol te gebruiken. Het kondigde dat plan in november 2024 aan, haalde OpenVPN eind 2025 uit zijn apps en stelde 15 januari 2026 vast als datum om de laatste OpenVPN-servers uit te schakelen, zodat alleen WireGuard overblijft.

In de post van december 2025¹⁴ wordt uitgelegd waarom het uit de app is verwijderd. Om gebruikers op geblokkeerde netwerken verbonden te houden zonder OpenVPN, gebruikt Mullvad obfuscatie rond WireGuard, waaronder Shadowsocks, UDP-over-TCP, QUIC en een modus die in november 2025 werd geïntroduceerd, Lightweight WireGuard Obfuscation¹⁵. Gebruik je OpenVPN voor een router of een oud apparaat, dan is Mullvad geen optie meer. In onze vergelijking Mullvad vs Proton VPN vind je alternatieven die het nog wel ondersteunen.

WireGuard vs OpenVPN in één oogopslag

Welk VPN-protocol moet ik gebruiken?

Laat je app op de automatische instelling of de standaard op basis van WireGuard staan. Wijzig dit alleen om een specifiek probleem op te lossen.

• Dagelijks gebruik, streaming, gamen, telefoons: WireGuard of de versie van je aanbieder (NordLynx bij NordVPN, Lightway bij ExpressVPN). Snellere verbindingen en minder accuverbruik.
• De VPN maakt geen verbinding op wifi in een hotel, op school of op kantoor: probeer OpenVPN via TCP of de obfuscatiemodus van de aanbieder (Proton Stealth, NordWhisper, UDP-over-TCP of Shadowsocks van Mullvad). Die lijken meer op gewoon webverkeer.
• Reizen naar een plek waar VPN's beperkt worden: een obfuscatiemodus is hier speciaal voor gemaakt, maar check eerst de wetgeving op je bestemming: sommige landen beperken VPN's en niets hier is juridisch advies.
• Router of oud apparaat: OpenVPN wordt het breedst ondersteund op routers en oudere firmware. Controleer of je aanbieder het nog aanbiedt.
• De verbinding valt steeds weg als je wisselt tussen wifi en mobiele data: blijf bij WireGuard, dat volgens de whitepaper¹ peers laat "roam freely between different external IPs"; IKEv2 is het oudere alternatief op Apple-apparaten.

De keuze van het protocol is het makkelijkste deel. Belangrijker is welk bedrijf de servers beheert. Lees daarvoor hoe je de no-logs-belofte van een VPN controleert en vergelijk daarna de aanbieders in onze onderlinge vergelijkingen, te beginnen met NordVPN vs ExpressVPN (NordLynx tegen Lightway) en Proton VPN vs NordVPN.