OpenVPN-client instellen op een GL.iNet travel router

Wanneer kies je voor OpenVPN?

OpenVPN is een open-source VPN-protocol dat al jaren breed wordt gebruikt. Op GL.iNet-routers is het standaard aanwezig in firmware 4.x. In de praktijk kies je er vooral voor in deze situaties:

• Je VPN-dienst of werkgever biedt alleen OpenVPN-configuraties aan.
• Je hebt thuis al een OpenVPN-server draaien, bijvoorbeeld op een NAS of een andere router.
• Je zit op een netwerk waar UDP-verkeer wordt geblokkeerd en je via TCP verbinding wilt maken.

Kun je kiezen, dan is WireGuard meestal de betere keuze: sneller, eenvoudiger en zuiniger met de processor. GL.iNet geeft zelf aan dat WireGuard aanzienlijk beter presteert dan OpenVPN.

Wat heb je nodig?

• Een GL.iNet-router met firmware 4.x, zoals de GL-E5800 Mudi 7, GL-MT3000 Beryl AX of GL-AXT1800 Slate AX.
• Een of meer .ovpn-bestanden. Grote zipbestanden met honderden servers kunnen te groot zijn om te uploaden; GL.iNet adviseert dan om alleen de servers die je nodig hebt in de zip te laten, of één los .ovpn-bestand te uploaden.
• Eventuele inloggegevens. Veel diensten gebruiken voor handmatige OpenVPN-verbindingen aparte 'service credentials' die je in je accountomgeving vindt. Dat zijn dus niet je e-mailadres en gewone wachtwoord.

Waar zit de OpenVPN-client?

• Firmware 4.8 en ouder: VPN > OpenVPN Client.
• Firmware 4.9 en nieuwer: OpenVPN en WireGuard zijn samengevoegd in VPN > VPN Client Profile. Rechtsboven wissel je naar OpenVPN. Volgens GL.iNet is alleen de indeling veranderd; de werking is gelijk gebleven.

Voor één dienst heeft GL.iNet een ingebouwde OpenVPN-koppeling, waarbij je met je service-inloggegevens inlogt en de router de configuraties zelf ophaalt. Voor alle andere diensten en voor je eigen server gebruik je Add Manually.

Stap voor stap handmatig instellen

Bestand uploaden

Klik op Add Manually. De router maakt links een nieuwe groep aan. Geef die een herkenbare naam, bijvoorbeeld de naam van je dienst of 'thuis'. Upload daarna het .ovpn-bestand of een zip met meerdere bestanden.

De juiste authenticatie

GL.iNet ondersteunt vier varianten:

• Geen authenticatie: alle sleutels en certificaten zitten in het bestand.
• Alleen gebruikersnaam en wachtwoord: gebruikelijk bij commerciële diensten.
• Alleen passphrase: als de private key in het bestand met een wachtwoord is beveiligd.
• Gebruikersnaam, wachtwoord en passphrase: een combinatie van beide.

Vul in wat je bestand vraagt en klik op Apply. Het profiel verschijnt in de lijst.

Verbinden

Klik op de drie puntjes rechts naast het profiel en start de verbinding. Een groene stip naast de configuratie betekent dat de tunnel actief is. In VPN > VPN Dashboard zie je de details: server, virtueel IP-adres, verkeer en een log.

UDP of TCP?

Een OpenVPN-configuratie gebruikt UDP of TCP. GL.iNet legt het verschil zo uit: UDP is sneller maar minder betrouwbaar, TCP is betrouwbaarder maar trager. UDP past beter bij streaming, bellen en gamen; TCP bij e-mail, browsen en bestandsoverdracht. Het advies van GL.iNet is om eerst UDP te proberen en alleen naar TCP te gaan als je last hebt van instabiele verbindingen of pakketverlies. Op sommige hotel- en bedrijfsnetwerken komt alleen TCP-verkeer naar buiten; dan is een TCP-profiel de enige optie.

Controleren of het verkeer door de tunnel gaat

Open op een apparaat dat met de router verbonden is een IP-checkwebsite. Zie je het IP-adres en de locatie van de VPN-server, dan werkt het. Zie je nog het adres van het hotel of je mobiele provider, controleer dan of je in het VPN Dashboard een policy hebt ingesteld die dit apparaat uitsluit. Met VPN policy routing kun je bewust kiezen welke apparaten of domeinen via de tunnel gaan.

Let ook op DNS: standaard gebruikt verkeer door de tunnel de DNS-servers die de VPN meegeeft. Wil je zelf versleutelde DNS gebruiken, lees dan DNS over HTTPS.

Kill switch en lekken voorkomen

Een VPN die onverwacht wegvalt, mag je verkeer niet onbeschermd laten doorlopen. Sinds firmware 4.8 heeft elke tunnel een eigen kill switch, die volgens GL.iNet standaard aanstaat zodra je een tunnel activeert. Daarnaast kun je met de Enhanced Kill Switch al het verkeer blokkeren dat niet door een VPN gaat. Alle details lees je in VPN kill switch instellen.

Veelvoorkomende problemen

• Geen verbinding na het uploaden: controleer de inloggegevens. Gebruik je per ongeluk je gewone accountwachtwoord in plaats van de service credentials, dan weigert de server.
• Bestand te groot: haal overbodige .ovpn-bestanden uit de zip of upload één bestand.
• Trage verbinding: OpenVPN vraagt veel van de processor. GL.iNet noemt 30 tot 50 procent van de testsnelheid normaal met een VPN. Kies een dichterbij gelegen server, probeer UDP in plaats van TCP, of stap over op WireGuard. Bij mobiele verbindingen kan een lagere MTU helpen.
• Captive portal werkt niet: zet de VPN uit, log in op de hotelwifi en zet de VPN daarna weer aan.
• Netwerk blokkeert VPN: sommige netwerken en landen blokkeren VPN-verkeer. Een TCP-profiel helpt soms; respecteer wel de regels van het netwerk en de lokale wetgeving.

Je eigen OpenVPN-server

Heb je twee GL.iNet-routers, dan kun je er één thuis als OpenVPN-server inzetten en de andere als client onderweg. Daarvoor heb je thuis een publiek IP-adres nodig. Op de server kies je een van drie authenticatiemodi, en die bepaalt wat je straks op de client invult:

• Certificate Only: de server maakt certificaten en sleutels aan en zet ze in het clientbestand. Op de client hoef je niets extra's in te vullen.
• Username/Password Only: het bestand bevat geen certificaatsleutels. Je maakt eerst een gebruiker aan op het tabblad Users en vult die gegevens op de client in.
• Username/Password and Certificate: eerst wordt het certificaat gecontroleerd en daarna gebruikersnaam en wachtwoord. Dit is de strengste optie.

Op de server kies je ook tussen Tun en TAP-S2S als apparaatmodus en tussen UDP en TCP. Voor gewoon reizen is Tun met UDP de gebruikelijke keuze. Hoe dat werkt en waarom WireGuard daar meestal handiger voor is, lees je in eigen VPN-server thuis. Kom je achter CGNAT te zitten, dan is Tailscale een alternatief.

Gebruik je de router voor werk, kijk dan ook naar thuiswerken vanuit het buitenland: veel bedrijven hebben eigen regels voor VPN-gebruik.