De beste zelf gehoste VPN-oplossingen, hun voor- en nadelen, use-cases en nichedetails

„Self-hosted VPN” betekent drie verschillende dingen voor drie verschillende doelgroepen, en de meeste lijstjes falen omdat ze die als één behandelen. Een gebruiker die om privacy geeft en een commerciële VPN-dienst wil vervangen door een eigen exit node, lost niet hetzelfde probleem op als een vierkoppig engineeringteam dat een home lab met AWS verbindt. De tools overlappen, maar de juiste tool voor de ene taak is zelden de juiste tool voor de andere.

Deze gids is rond die splitsing opgebouwd. Drie use cases, drie primaire aanbevelingen en de eerlijke afwegingen die bij elke horen. Geen installatiehandleidingen hier. Zodra de juiste tool voor jouw taak is bepaald, volgen er links naar de volledige installatiegidsen.

De korte versie

• Voor persoonlijke privacy als je eigen exit node implementeer je WireGuard op een kleine VPS in een jurisdictie buiten de Five Eyes. WireGuard Easy voegt een web-UI toe als je die wilt. OpenVPN alleen wanneer je netwerk UDP blokkeert.
• Voor een team-mesh die laptops, home labs en cloud-VPC's verbindt, is Tailscale voor de meeste teams het pragmatische antwoord. Draai Headscale of Netmaker alleen als het bezitten van de control plane deel uitmaakt van je threat model.
• Voor gebruikers in restrictieve internetomgevingen is Hiddify Manager momenteel het beste antwoord. WireGuard en OpenVPN overleven deep packet inspection niet op eigen kracht.
• Een VPS met 1 vCPU en 512 MB verwerkt een persoonlijke WireGuard-server met ruimte te over. De bottleneck is bandbreedte, niet rekenkracht.

Wanneer een VPN zelf hosten echt zinvol is

Een commerciële VPN geeft je duizenden gedeelde exit-IP's en nul onderhoud. Een zelfgehoste VPN geeft je precies één IP, één locatie en volledige verantwoordelijkheid voor de machine. Dit zijn verschillende producten, ondanks hoe ze vaak op de markt worden gebracht.

Zelf hosten is de juiste keuze wanneer een van de volgende zaken waar is:

• Je wilt het aantal partijen minimaliseren dat je niet-versleutelde verkeer kan zien. Bij een commerciële VPN kan de provider dat. Bij een zelfgehoste VPN kun alleen jij dat.
• Je hebt een specifieke jurisdictie nodig. Frankfurt voor blootstelling aan de GDPR. Sydney om geo-beperkte Australische diensten te testen. Zwitserland voor sterkere wetgeving inzake gegevensbescherming (zolang de voorraad het toelaat). Commerciële providers verhullen dit; zelf hosten maakt het expliciet.
• Je verbindt teaminfrastructuur, niet alleen persoonlijk surfverkeer routeren.
• Je bevindt je in een censuuromgeving waar commerciële VPN's zelf geblokkeerd zijn.

Zelf hosten is de verkeerde keuze wanneer je maximale IP-diversiteit voor streaming wilt, wanneer je geen Linux-server wilt onderhouden, of wanneer je threat model puur „voorkomen dat mijn ISP mijn surfgegevens verkoopt” is. Voor dat derde geval doet versleutelde DNS plus je bestaande browser het grootste deel van het werk.

Er is één beperking die het waard is om vroeg te noemen, omdat ze in veel eerlijke discussies over zelfgehoste VPN's opduikt. WireGuard bewaart, by design, het laatst gezien IP-adres van elke peer in de kernel state. Een commerciële VPN-provider kan „no logs” claimen, maar jij hebt geen manier om dat te verifiëren. Een zelf-hoster kan het wel verifiëren, en die verificatie vertelt je dat de kernel inderdaad het IP kent waarvandaan je telefoon vanochtend verbinding maakte. De oplossing is dit niet negeren; het is sleutels roteren, de kernel state volgens een schema verwijderen en de afweging accepteren.

Use case 1: persoonlijke privacy-exit node

Snel oordeel: WireGuard op een kleine VPS in een jurisdictie buiten de Five Eyes. WireGuard Easy als je een web-UI wilt zonder de command line. OpenVPN alleen wanneer UDP geblokkeerd is op het netwerk waarvandaan je verbinding maakt.

WireGuard: de standaardkeuze

WireGuard is het juiste antwoord voor de use case van de privacy-exit node.

Het protocol gebruikt het Noise-framework voor key exchange en voltooit een handshake in een enkele round trip. OpenVPN gebruikt TLS, wat meerdere round trips vereist en daarbij meer metadata blootlegt. De latentie-overhead voor WireGuard is doorgaans 1 tot 3 milliseconden bovenop je onderliggende verbinding. OpenVPN voegt 20 tot 30 procent latentie-overhead toe onder vergelijkbare omstandigheden.

Throughputcijfers uit een peer-reviewed benchmark uit 2025 in het tijdschrift MDPI Computers tijdschrift: ongeveer 210 Mbps over WireGuard tegenover 110 Mbps over OpenVPN onder dezelfde TCP-getunnelde VM-omstandigheden. Op bare-metal hardware met de kernelmodule ingeschakeld haalt rauwe WireGuard ongeveer 8 Gbps op gigabit-klasse hardware; de limiet daar is de netwerkkaart, niet het protocol.

De codebase is ongeveer 4,000 regels. Die van OpenVPN is vele malen groter. Een kleine codebase is op zichzelf geen beveiliging, maar maakt audits praktisch haalbaar. WireGuard is geaudit; het werd opgenomen in de mainline Linux-kernel in 5.6 en is de standaard in de meeste distributies.

De configuratie is een 12-line tekstbestand. Er is geen reden waarom het ingewikkelder zou moeten zijn dan dit. De volledige installatiehandleiding staat gedocumenteerd op onze blog, die pakketinstallatie, sleutelgeneratie, peerconfiguratie en firewallregels behandelt.

Een goedkope, eenvoudige VPS verwerkt een persoonlijke WireGuard-server met bandbreedte te over. De bottleneck zal je internetverbinding thuis zijn, niet de server. Voor de meeste lezers is een goedkope VPS meer dan genoeg om hun WireGuard-opstelling te draaien.

Pro tip: WireGuard logt het laatst gezien IP-adres van elke peer in de kernel state. Voor echte no-log-privacy accepteer je dit en roteer je sleutels, of verwijder je de kernel state volgens een schema. Doe niet alsof de beperking niet bestaat. De technische privacynotitie van Proton VPN over WireGuard erkent dit in hun eigen implementatie.

WireGuard met een web-UI

Als het beheren van peers vanaf de command line niet aantrekkelijk is, zijn er twee wrappers die de moeite van het kennen waard zijn.

WireGuard Easy is een Docker-container die een webbeheerpaneel beschikbaar maakt. Het genereert peerconfiguraties, drukt QR-codes af voor mobiele clients en slaat alles op in één config-volume. De installatie gaat snel. Het is geschikt voor persoonlijk gebruik en kleine huishoudens.

WGDashboard is een zwaarder alternatief. Meer ondersteunde peers, meer beheerfuncties, meer installatietijd. De moeite waard als je 20-plus peers beheert; anders is WireGuard Easy genoeg.

Wanneer OpenVPN nog steeds een plek heeft

OpenVPN is niet achterhaald. Het overleeft in twee specifieke scenario's.

Het eerste zijn restrictieve netwerken die UDP blokkeren. WireGuard draait alleen over UDP, by design. Bedrijfsnetwerken, hotel-WiFi en sommige mobiele providers blokkeren al het UDP-verkeer behalve DNS. OpenVPN kan over TCP op port 443 draaien, wat het helpt om door veel restrictieve firewalls heen te komen. Als je regelmatig verbinding maakt vanaf netwerken die je op UDP tegenwerken, is OpenVPN de fallback.

Het tweede is brede ondersteuning voor legacy clients. Er bestaan OpenVPN-clients voor elk besturingssysteem dat de afgelopen vijftien jaar heeft gedraaid, inclusief platforms waar WireGuard zich niet op richt. Als je gebruikersgroep oudere telefoons of apparaten omvat, is de OpenVPN-compatibiliteit breder.

OpenVPN Access Server voegt een webbeheer-UI bovenop het protocol toe en is gratis voor twee gelijktijdige verbindingen. Voorbij twee verbindingen is de licentie per gebruiker. Pritunl is een derde optie die een vergelijkbaar beheerdashboard voor zowel OpenVPN als WireGuard toevoegt zonder licentie per gebruiker. Voor persoonlijk gebruik volstaat de gratis laag van OpenVPN AS. Voor kleine teams die Tailscale hebben afgewezen, is Pritunl de nettere keuze. De volledige installatiehandleiding voor rauwe OpenVPN wordt behandeld in ons artikel over het installeren van OpenVPN op een VPS.

Een locatie kiezen

Jurisdictie telt op deze schaal zwaarder dan throughput. Als een deel van je reden om zelf te hosten het verminderen van blootstelling aan inlichtingen-deelregelingen is, dan is de relevante groepering de Five Eyes-alliantie (US, UK, Canada, Australië, Nieuw-Zeeland) en haar uitgebreide partners. Frankfurt en Amsterdam zijn veelvoorkomende keuzes buiten de Five Eyes in Europa. Dubai is interessant als je verkeer zich in de regio Midden-Oosten bevindt. Zwitserland en Singapore hebben sterkere kaders voor gegevensbescherming, maar zijn bij kleinere providers vaak niet op voorraad.

Als WireGuard bij je behoeften past, brengt onze WireGuard VPS met één klik je voorbij het installatieproces en is in enkele minuten geïnstalleerd.

Use case 2: team-mesh-netwerken

Snel oordeel: Tailscale voor de meeste teams. Headscale of Netmaker als je de control plane in eigen beheer wilt hebben. Rauwe WireGuard-mesh alleen als je minder dan 10 nodes en geduld hebt.

Drie remote engineers, een home lab, een staging-server in AWS en een database-VM in een gecolocate rack. De vijf machines moeten met elkaar communiceren zonder publieke poorten bloot te leggen. Geen van hen heeft een stabiel publiek IP. Twee ervan zitten achter Carrier-Grade NAT.

Dit is een probleem dat WireGuard-mesh niet ontworpen was om op schaal elegant op te lossen.

Waarom rauwe WireGuard-mesh op schaal pijn doet

Een mesh vereist dat elke peer van elke andere peer afweet. WireGuards configuratieformaat weerspiegelt dit direct: elke peer heeft een [Peer]-sectie voor elke node waarmee hij communiceert. Vijf nodes betekent dat elk configuratiebestand vier [Peer]-blokken heeft, en het totale aantal configuraties dat over de mesh onderhouden moet worden, is N maal (N min 1) gedeeld door 2.

Bij vijf nodes zijn dat 10 verbindingsparen. Bij 10 nodes, 45. Bij 20, 190. De groei is kwadratisch. Het toevoegen van één node aan een mesh van 20 nodes vereist het bijwerken van 20 configuratiebestanden en het herstarten van 20 daemons. Het verwijderen van een sleutel vereist hetzelfde.

Tools zoals wg-meshconf en Netmaker bestaan om dit te automatiseren.

Tailscale: eerlijke aanbeveling voor de meeste teams

Tailscale is echt goed genoeg voor de meeste teams. De control plane wordt gehost door Tailscale, de data plane is direct peer-to-peer en de gratis laag dekt 100 devices. De installatie duurt minder dan vijf minuten. NAT-traversal werkt in de meeste netwerkomgevingen zonder configuratie. ACL's worden centraal beheerd.

De eerlijke kanttekening: de control plane is een afhankelijkheid van een derde partij. Tailscale distribueert de WireGuard-sleutels die je devices verbinden. Als Tailscales coördinatieserver gecompromitteerd raakt, zou een aanvaller zich in principe in de mesh kunnen invoegen. Tailscale publiceert gedetailleerde threat-model-documentatie die dit erkent en gebruikt tailnet locks en node-attestatie om zich hiertegen te wapenen. Voor de meeste teams is deze afhankelijkheid acceptabel. Voor teams wier threat model nation-state-aanvallers of strikte regelgevende eisen rond coördinatiemetadata omvat, is dat niet zo.

Tailscales data plane omzeilt de servers van het bedrijf waar mogelijk. Wanneer direct peer-to-peer mislukt, valt het verkeer terug op Tailscales DERP-relayservers, die afgeknepen zijn tot ongeveer 5 Mbps. Als twee van je nodes door NAT-pathologie altijd op DERP belanden, wordt de relay-throttle de bottleneck.

Pro tip: als je thuis-ISP Carrier-Grade NAT gebruikt, kun je thuis geen inkomende verbindingen accepteren. Tailscale en Headscale handelen dit automatisch af via hole-punching en DERP-fallback. Rauwe WireGuard vereist een publiek bereikbare VPS als relay, waarbij de thuis-node optreedt als een client die uitgaande verbindingen initieert.

Headscale: wanneer je de control plane zelf in beheer wilt hebben

Headscale is een open-source herimplementatie van Tailscales coördinatieserver. Tailscales officiële client verbindt met Headscale in plaats van met Tailscales gehoste servers, en de gebruikerservaring is vergelijkbaar. Maar het heeft één cruciale afweging: je beheert de control plane zelf, wat betekent dat uptime, upgrades en beveiligingspatches jouw probleem zijn.

Headscale mist een deel van de afwerking van Tailscale. ACL-configuratie verloopt via YAML en CLI, niet via een web-UI. Soms duiken er MagicDNS-randgevallen op die de officiële client in de gehoste versie stilzwijgend afhandelt. Het project wordt goed onderhouden, draait in productie bij organisaties die het nodig hebben en is geschikt voor teams wier threat model of compliance-houding zelfgehoste coördinatie vereist.

Het onderhoud van Headscale is doorlopend werk. Als je dat liever uit handen geeft, verwerkt een Linux VPS met een uptime-SLA van 99,95% en 24/7-support de controller-werklast zonder de last van een wachtdienst. De controller zelf is licht omdat hij alleen coördinatie afhandelt; het eigenlijke mesh-verkeer is peer-to-peer.

Netmaker

Netmaker is een alternatieve coördinatielaag die bovenop WireGuard draait in plaats van Tailscale opnieuw te implementeren. Het architecturale verschil is betekenisvol: wanneer direct peer-to-peer mislukt, kan Netmaker routeren via zelfgehoste relay-nodes zonder de throttle van 5 Mbps die Tailscales DERP oplegt. Voor team-meshes die consistente throughput nodig hebben bij NAT-storingen, maakt dit uit.

De ontwikkelaarservaring van Netmaker is ruwer dan die van Tailscale. De community-editie draait op één VPS en ondersteunt de use cases die de meeste kleine teams hebben. De commerciële editie van Netmaker voegt enterprisefuncties toe, maar maakt geen deel uit van deze bespreking.

Onze Netmaker VPS met één klik wordt geleverd met snelle installatie op snelle infrastructuur.

Use case 3: censuur omzeilen

Snel oordeel: Hiddify Manager voor omgevingen met actieve censuur. Outline voor eenvoudigere regio's. WireGuard en OpenVPN overleven deep packet inspection niet. Implementeer ze niet als anticensuurtools.

WireGuards verkeer is identificeerbaar aan zijn UDP-pakketstructuur, dus het kan geblokkeerd worden. Het probleem is niet dat WireGuards encryptie zwak is. De encryptie is prima. Het probleem is dat de versleutelde pakketten op een VPN lijken, en moderne censuur inspecteert pakketvorm, timing en protocol-fingerprints, niet alleen de payload-inhoud.

Een zelfgehoste VPN als je enige anticensuurtool zal falen in elke omgeving met actieve deep packet inspection. De juiste aanpak is een andere categorie tool: verkeer dat gewoon surfen goed genoeg nabootst zodat de censor het niet kan onderscheiden van echt HTTPS-verkeer naar een echte website.

Deze categorie veroudert sneller dan de rest van deze gids. Censors passen zich aan. Protocollen worden geblokkeerd. Nieuwe obfuscatiemethoden, zoals REALITY en Hysteria2, doken de afgelopen twee jaar op en de komende twee zullen er meer brengen. De selectielogica, namelijk het niveau van obfuscatie afstemmen op de censuuromgeving, is duurzaam. De specifieke tool die vandaag in jouw land werkt, werkt over zes maanden misschien niet meer. Hiddify's GitHub-repository en issue tracker is de plek om de huidige status te controleren voordat je implementeert.

Hiddify Manager: het beste antwoord van dit moment

Hiddify Manager is een meta-tool. Het is zelf geen enkel VPN-protocol; het is een beheerlaag die meer dan 20 onderliggende anticensuurprotocollen op één VPS implementeert, beheert en roteert. De Hiddify v12-release van februari 2026 ondersteunt:

• Reality (XTLS over VLESS)
• Hysteria2
• Shadowsocks-2022 met de TLS-varianten
• V2Ray en Xray met WS-, gRPC- en H2-transports
• WireGuard als fallback

Het webbeheerpaneel handelt gebruikersbeheer, verkeerslimieten en protocolroutering per gebruiker af.

De protocolrotatiefunctie is het onderdeel dat in de praktijk telt: wanneer één protocol in een bepaald land begint te falen, schakelt de beheerder gebruikers over naar een ander zonder de server opnieuw te implementeren. Dit is het operationele verschil tussen Hiddify en een stack met één protocol.

Twee protocolnotities die de moeite waard zijn om te begrijpen vóór implementatie. Reality is op dit moment de state-of-the-art voor het ontwijken van TLS-fingerprints. Het bootst een echte HTTPS-verbinding na met een echte publieke website (die de operator kiest, doorgaans een site met veel verkeer zoals cloudflare.com), en een censor die de handshake inspecteert ziet wat lijkt op een gewone verbinding met die site. Hysteria2 is een UDP-gebaseerd protocol met ingebouwde obfuscatie dat goed presteert op netwerken met veel verlies; het is sneller dan TCP-gebaseerde alternatieven wanneer het netwerk onstabiel is, wat de meeste consumentenverbindingen in restrictieve omgevingen beschrijft.

De marketplace van Cloudzy biedt ook een Hiddify-image met één klik op dezelfde Linux VPS-infrastructuur, binnen enkele minuten te implementeren.

Locatieselectie voor deze use case verschilt van privacy-use-cases. Vermijd US en grote EU-exitpunten wanneer je gebruikers bedient in regio's met veel detectie. Goede opties zijn Dubai, Frankfurt, Amsterdam en Singapore, die brede geografische dekking bieden.

V2Ray, Xray, Shadowsocks: de laag eronder

V2Ray en zijn fork Xray vormen de protocolfamilie die Hiddify omhult. Als Hiddify te veel abstractie is en je een enkel protocol met handmatige configuratie wilt implementeren, is V2Ray of Xray direct de weg. De afweging is operationeel: je beheert de daemon, het TLS-certificaat, de obfuscatie-opstelling en de faalmodi in je eentje. De meeste lezers zijn beter af met Hiddify.

Shadowsocks is ouder. Het originele protocol werkt nog steeds in veel omgevingen, maar wordt steeds vaker gedetecteerd door moderne DPI. Shadowsocks-2022 voegde stream-cipher-upgrades toe die enkele detectieklassen afsluiten, maar pakt protocol-fingerprinting-aanvallen op zichzelf niet aan. Het is redelijk als één optie binnen een Hiddify-implementatie, minder redelijk als zelfstandige tool in 2026.

Outline: eenvoudigere regio's

Outline is Jigsaws wrapper rond Shadowsocks met een vriendelijke beheer-UI. Het ging in 2026 over naar de Outline Foundation als onafhankelijk project. Outline is een redelijke keuze voor gebruikers in omgevingen waar de censuur minder agressief is, waar eenvoudige obfuscatie van Shadowsocks-klasse nog werkt, en waar degene die implementeert niet-technisch is en een kant-en-klare ervaring wil. Hiddify dekt in de meeste omgevingen meer terrein.

Vergelijking naast elkaar

Kies eerst de use case

De beslissing ligt stroomopwaarts van de tool.

• Implementeer WireGuard wanneer je use case persoonlijke privacy als je eigen exit node is.
• Gebruik Tailscale als je use case het verbinden van de machines van een team is, tenzij het bezitten van de control plane deel uitmaakt van je threat model, in welk geval je voor Headscale of Netmaker gaat.

De tools zijn niet uitwisselbaar; de faalmodus van de ene voor een andere use case gebruiken is reëel.

Welke weg ook van toepassing is, het moeilijke deel van implementatie en onderhoud blijft bestaan. De marketplace van Cloudzy heeft één-klik-implementaties voor elke hierboven behandelde tool. Het moeilijke deel is het afstemmen van de tool op het threat model. Dat deel ligt stroomopwaarts van elke deploy-knop.

Veelgestelde vragen

Moet ik WireGuard of OpenVPN gebruiken voor mijn zelfgehoste VPN?

WireGuard voor bijna elk geval. Het is sneller, heeft lagere latentie, zit in de Linux-kernel en is veel eenvoudiger te configureren. Gebruik OpenVPN alleen wanneer je door firewalls die UDP blokkeren heen moet (geconfigureerd op TCP port 443) of wanneer je brede ondersteuning voor legacy clients nodig hebt die WireGuard nog niet als doel heeft.

Is Tailscale echt zelfgehost?

Nee. Tailscales data plane is peer-to-peer, maar de control plane (sleuteldistributie, identiteitscoördinatie) wordt gehost door Tailscale. Voor veel teams is Tailscales gehoste control plane acceptabel; de vraag is of je threat model het behandelt als een afhankelijkheid die je kunt accepteren.

Wat is de minimale VPS-grootte om een zelfgehoste VPN te draaien?

512 MB of RAM and one virtual CPU is enough for personal WireGuard or OpenVPN. For team mesh controllers like Headscale or Netmaker, 1 GB of RAM is comfortable. For anti-censorship multi-user setups like Hiddify, 1 to 2 GB of RAM handles a small group of users. None of these workloads need a CPU-optimised plan.

Kan ik WireGuard draaien als mijn thuis-ISP CGNAT gebruikt?

Niet als een server waarmee je van buitenaf verbindingen initieert. Carrier-Grade NAT verhindert inkomende verbindingen naar je thuis-IP volledig. Twee manieren hieromheen: huur een kleine VPS als publiek bereikbare relay, waarbij je thuisapparaat er uitgaand mee verbindt; of gebruik Tailscale of Headscale, die NAT-traversal automatisch via hole-punching afhandelen. Beide werken; de VPS-aanpak geeft je een stabiel IP, de Tailscale-aanpak geeft je een mesh.