Hoe werkt een VPN?

Je tikt in de VPN-app op "Verbinden", een klein icoontje licht op — en plots geldt je internetverkeer als beveiligd. Maar wat gebeurt er in die seconden eigenlijk op de achtergrond? In deze gids laten we zonder vakjargon zien hoe een VPN technisch werkt: van de versleutelde tunnel via de sleuteluitwisseling tot het gemaskeerde IP-adres.

Je hoeft geen informaticus te zijn om het principe te begrijpen. We leggen elke stap uit aan de hand van analogieën en tonen aan het einde ook eerlijk waar een VPN zijn grenzen heeft.

Het basisidee: een versleutelde tunnel

In essentie doet een VPN één ding, maar dan wel een heel effectief ding: het legt een beschermde tunnel aan tussen jouw apparaat en een externe server. Alles wat jouw laptop of smartphone het internet op stuurt, loopt eerst door die tunnel.

Stel je je normale internetverkeer voor als een open lopende band die door een groot gebouw rijdt. Iedereen die langs die band loopt — je internetprovider, de beheerder van een openbaar wifinetwerk of nieuwsgierige derden — kan zien welke pakketjes erop liggen en waar ze naartoe gaan. Een VPN bouwt om die lopende band een ondoorzichtige koker. Van buitenaf ziet niemand meer wat erin getransporteerd wordt of welke bestemming de pakketjes hebben. Zichtbaar is alleen nog dát er iets tussen jou en het tunneleinde stroomt.

Kort gezegd: Een VPN versleutelt je dataverkeer en verbergt je echte IP-adres. Naar buiten toe verschijn je met het adres van de VPN-server — niet met je eigen adres.

Twee bouwstenen zorgen voor deze bescherming: de versleuteling, die de inhoud onleesbaar maakt, en het omleiden via een externe server, dat je herkomst verhult. Hoe die twee mechanismen samenwerken, bekijken we nu stap voor stap. Als je eerst de basisomschrijving wil nalezen, helpt ons artikel Wat is een VPN? je verder.

Hoe een VPN stap voor stap werkt

Een VPN-verbinding ontstaat niet vanzelf, maar doorloopt een vaste reeks. Vier fasen zijn daarbij bepalend: de verbindingsopbouw, de versleuteling van de gegevens, het routeren via de server en tot slot het maskeren van je identiteit naar buiten.

Verbindingsopbouw en handshake

Voordat ook maar één datapakket beveiligd verstuurd kan worden, moeten jouw apparaat en de VPN-server elkaar "leren kennen". Dit proces heet de handshake (letterlijk: handdruk).

Tijdens de handshake controleert jouw apparaat eerst of de server daadwerkelijk is wie hij beweert te zijn. Dit gebeurt via digitale certificaten en sleutels — vergelijkbaar met een identiteitsbewijs dat niet vervalst kan worden. Vervolgens spreken beide partijen een gemeenschappelijke, geheime sessiesleutel af. Die sleutel is uniek voor precies deze verbinding en alleen bekend bij jouw apparaat en de server.

Het slimme eraan: zelfs als iemand de volledige handshake opneemt, kan hij de sessiesleutel niet afleiden. Moderne protocollen gebruiken een methode waarbij de eigenlijke sleutel nooit rechtstreeks over de lijn gaat, maar aan beide kanten onafhankelijk wordt berekend. De handshake duurt in de praktijk slechts fracties van een seconde — je merkt er niets van behalve de korte wissel van het verbindingsicoontje.

Versleuteling (AES-256)

Zodra de tunnel is opgebouwd, wordt elk datapakket dat jouw apparaat verlaat versleuteld. Serieuze aanbieders gebruiken hiervoor AES-256 — een versleutelingsstandaard die wereldwijd als praktisch onkraakbaar geldt en ook door banken, militairen en overheden wordt gebruikt.

Wat betekent het getal 256? Het staat voor de lengte van de sleutel in bit. Bij 256 bit zijn er zo veel mogelijke sleutelcombinaties dat zelfs alle huidige computers bij elkaar miljarden jaren nodig zouden hebben om ze systematisch uit te proberen. Zonder de juiste sleutel zijn de onderschepte gegevens dan ook niets meer dan onbruikbaar ruis.

Belangrijk om te begrijpen: Versleuteling beschermt de inhoud. Een aanvaller die je verkeer onderschept, ziet wel dát er gegevens stromen, maar kan niet zien welke websites je bezoekt, welke wachtwoorden je invoert of welke berichten je schrijft.

In de apps van aanbieders hoef je je doorgaans niet te bemoeien met de versleuteling — die is standaard actief. Belangrijker is dat de aanbieter überhaupt een erkende standaard zoals AES-256 of de moderne ChaCha20-versleuteling gebruikt.

Routeren via de VPN-server

De versleutelde pakketjes reizen nu door de tunnel naar de VPN-server. Die server is de tussenpersoon tussen jou en het open internet. Hij ontsleutelt jouw verzoek, stuurt het door naar de eigenlijke bestemming — zoals een website of een streamingdienst — en stuurt het antwoord dezelfde weg terug.

Het beslissende punt: de website ontvangt het verzoek niet van jou, maar van de VPN-server. Vanuit haar perspectief is de toegang afkomstig van de locatie van de server. Verbind je je met een server in Nederland, dan lijkt jouw bezoek alsof het uit Nederland komt — ook al zit je in werkelijkheid ergens anders.

Het volledige overzicht van het proces:

1. Je opent een website. Jouw apparaat versleutelt het verzoek.
2. Het versleutelde verzoek reist door de tunnel naar de VPN-server.
3. De server ontsleutelt het en stuurt het met zijn eigen IP-adres het internet op.
4. Het antwoord van de website gaat terug naar de server.
5. De server versleutelt het antwoord opnieuw en stuurt het door de tunnel naar jou.
6. Jouw apparaat ontsleutelt het antwoord en toont de website.

Voor jou als gebruiker gebeurt dit allemaal onzichtbaar — je surft precies zoals zonder VPN, maar met twee extra tussenstations.

IP-maskering en DNS-bescherming

Jouw IP-adres is zoiets als het postadres van je internetaansluiting. Zonder VPN ziet elke bezochte website je echte IP — en daaruit zijn vaak regio en internetprovider af te leiden. Zodra het VPN actief is, vervangt de server jouw IP door zijn eigen IP. Jouw werkelijke adres blijft verborgen.

Nauw verwant daarmee zijn DNS-verzoeken. Telkens wanneer je een domeinnaam intypt, moet die worden vertaald naar het bijbehorende IP-adres. Die vertaling doet een DNS-server. Zonder VPN lopen die verzoeken doorgaans via de DNS-servers van je internetprovider — die daardoor een volledige lijst heeft van de sites die je bezoekt, zelfs als het overige verkeer versleuteld zou zijn.

Een goed VPN leidt ook die DNS-verzoeken versleuteld door de tunnel en beantwoordt ze via eigen DNS-servers. Daarmee voorkomt het DNS-lekken, het onbedoeld wegsijpelen van je verzoeken naar de internetprovider. Let er bij de keuze op dat de aanbieder ingebouwde DNS-lekbeveiliging biedt — bijna alle bekende aanbieders doen dit inmiddels standaard.

VPN-protocollen: de motor van de verbinding

Een protocol is het regelsysteem waarmee de tunnel wordt opgebouwd en in werking gehouden. Het legt vast hoe de handshake verloopt, welke versleuteling wordt gebruikt en hoe de datapakketjes worden verpakt. Je kunt het vergelijken met de motor van een voertuig: het doel blijft hetzelfde, maar afhankelijk van de bouw ben je sneller, zuiniger of robuuster onderweg.

Je hoeft de technische details niet te kennen — de meeste apps kiezen automatisch een passend protocol. Ter oriëntatie loont het toch even te kijken naar de drie meest gangbare varianten van vandaag:

Protocol	Snelheid	Veiligheid	Bijzonderheid
WireGuard	Zeer hoog	Hoog (moderne versleuteling)	Slanke code, ideaal voor streaming en mobiele apparaten
OpenVPN	Gemiddeld	Zeer hoog (jarenlang beproefd)	Robuust en flexibel, goed in restrictieve netwerken
IKEv2	Hoog	Hoog	Stabiel bij wisselen tussen wifi en mobiel

WireGuard is het modernste van de drie protocollen. De programmacode is bewust klein gehouden, wat niet alleen de snelheid verhoogt maar ook het controleren op beveiligingslekken vereenvoudigt. Sommige aanbieders hebben WireGuard aangepast voor hun eigen doeleinden — NordVPN bijvoorbeeld met zijn variant NordLynx, die op WireGuard is gebaseerd. ExpressVPN gebruikt met Lightway een eigen, eveneens zeer slank protocol.

OpenVPN is de bewezen klassieke keuze. Het is al jaren in gebruik, uitvoerig gecontroleerd en geldt als uiterst betrouwbaar. Daarentegen is het iets langzamer en meer resource-intensief dan WireGuard. Zijn kracht speelt het uit in netwerken die VPN-verkeer willen blokkeren, omdat het zich goed laat camoufleren.

IKEv2 ten slotte scoort op de smartphone: het houdt de verbinding stabiel wanneer je onderweg van wifi naar mobiel wisselt, zonder dat de tunnel elke keer opnieuw moet worden opgebouwd. Een uitgebreidere bespreking van protocollen vind je in onze gids Wat is een VPN?.

Wie ziet wat? Internetprovider, website, VPN-aanbieder

Om te begrijpen wat een VPN oplevert, loont het om te kijken welke partij welke informatie krijgt — met en zonder actief VPN.

• Je internetprovider (ISP): Zonder VPN ziet hij elke bezochte website en kan hij een gedetailleerd profiel van je surfgedrag opbouwen. Met actief VPN ziet hij alleen nog dat je verbonden bent met een VPN-server — niet de inhoud of de bestemmingen.
• De bezochte website: Zonder VPN ziet ze je echte IP-adres en daarmee je globale regio. Met VPN ziet ze alleen het IP van de server.
• De VPN-aanbieder: Hier ligt de cruciale vertrouwensvraag. Omdat al je verkeer via zijn servers loopt en daar ontsleuteld moet worden, zou de aanbieder theoretisch kunnen meelezen.

Precies daarom is het no-logsbeleid zo centraal. Het is de belofte van een aanbieder om geen activiteits- en bij voorkeur ook geen verbindingslogboeken bij te houden. Maar een belofte alleen is niet genoeg — die wordt pas geloofwaardig door een onafhankelijke audit. NordVPN liet zijn no-logsbeleid in 2024 bevestigen door accountantskantoor PwC.

Vuistregel: Vertrouw niet blind op de marketingbelofte "no-logs". Let op een onafhankelijke audit en de rechtsbevoegdheid van de aanbieder — landen zonder bewaarplicht zoals Panama, Zwitserland of de Britse Maagdeneilanden hebben hier een voordeel.

Welke aanbieders op het gebied van privacy bijzonder overtuigen en waar je precies op moet letten, lees je in onze gids over de beste VPN voor privacy.

Waar een VPN zijn grenzen heeft

Hoe nuttig de techniek ook is — een VPN is geen wondermiddel. Wie zijn grenzen kent, gebruikt het bewuster en koestert geen valse hoop.

• Geen bescherming tegen malware. Een VPN beveiligt de overdrachtsweg, niet het apparaat. Klik je op een schadelijke link of laad je een geïnfecteerd bestand, dan helpt de tunnel niet. Tegen virussen en trojans heb je nog steeds voorzichtigheid en eventueel beveiligingssoftware nodig.
• Geen bescherming tegen phishing. Een neppe inlogpagina blijft gevaarlijk, met of zonder VPN. De versleuteling stuurt je ingevoerde gegevens betrouwbaar door — ook naar een oplichter, als je ze hem vrijwillig geeft.
• Geen totale anonimiteit. Een VPN verbergt je IP-adres, maar maakt je niet onzichtbaar. Zodra je inlogt op een account, cookies accepteert of via zogenoemde browser-fingerprinting herkend wordt, ben je identificeerbaar — ongeacht via welke server je loopt.
• Mogelijk snelheidsverlies. Versleuteling en de omweg via de server kosten een beetje snelheid. Met een modern protocol en een server dichtbij is het verschil meestal nauwelijks merkbaar, maar het verdwijnt niet helemaal.

Een VPN beschermt dus de weg van je gegevens — niet je gedrag en niet de bestemming waarmee je communiceert. Het is een belangrijke bouwsteen voor digitale veiligheid, maar slechts één van meerdere.

Kort antwoord

Een VPN werkt via een versleutelde tunnel tussen jouw apparaat en een externe server. Bij de verbindingsopbouw spreken beide partijen via de handshake een geheime sleutel af, waarna alle gegevens worden versleuteld met een sterke standaard zoals AES-256, via de server worden omgeleid en onder diens IP-adres het internet op gaan. Daarbij worden ook je DNS-verzoeken beschermd, zodat je browsergeschiedenis niet bij je internetprovider belandt.

Welk protocol de tunnel aandrijft, kiest de app doorgaans automatisch — voor de meeste gebruikers is het snelle en veilige WireGuard de beste keuze. Bepalend voor de privacy blijft een gecontroleerd no-logsbeleid, want je verkeer loopt technisch via de servers van de aanbieder.

Als je deze basis begrijpt en nu een concrete aanbieder zoekt, vind je in onze grote VPN-vergelijking de actuele topaanbevelingen. Welke criteria bij de keuze echt tellen — van de omvang van het servernetwerk via de rechtsbevoegdheid tot de prijs — vat onze gids Hoe kies ik een VPN? overzichtelijk samen.