WireGuard VPN instellen op je GL.iNet travel router

Waarom WireGuard op je travel router?

WireGuard is een modern VPN-protocol met weinig code, sterke cryptografie en een snelle verbindingsopbouw. GL.iNet omschrijft het zelf als sneller en eenvoudiger dan IPsec en duidelijk beter presterend dan OpenVPN. Op een travel router heeft dat een groot voordeel: de router doet het versleutelen, en al je apparaten die met de router verbonden zijn profiteren ervan. Je laptop, telefoon, tablet en zelfs een tv-stick of gameconsole gaan dan via dezelfde beveiligde tunnel het internet op.

Dat is vooral handig op plekken waar je het netwerk niet vertrouwt, zoals hotelwifi of een hotspot op het vliegveld. Lees ook onze gids over veilig internetten op openbare wifi voor de bredere context.

Wat heb je nodig?

• Een GL.iNet-router met firmware 4.x, bijvoorbeeld de GL-E5800 Mudi 7, de GL-MT3000 Beryl AX of de GL-BE3600 Slate 7.
• Een werkende internetverbinding op de router, bijvoorbeeld via hotelwifi in repeater-modus of een 5G-simkaart.
• Een WireGuard-configuratie. Die krijg je van een VPN-dienst die handmatige WireGuard-configuraties aanbiedt, of je maakt hem zelf aan op een eigen VPN-server thuis.

Zit de router achter een hotspot met inlogpagina, log dan eerst in op die captive portal en zet pas daarna de VPN aan. Een actieve VPN kan het inloggen namelijk blokkeren.

Welke firmwareversie heb je?

De menunamen verschillen per firmwareversie. Dat zie je zo:

• Firmware 4.7 en 4.8: het menu heet VPN > WireGuard Client. Daarnaast is er een apart menu voor de OpenVPN-client.
• Firmware 4.9 en nieuwer: WireGuard en OpenVPN zijn samengevoegd in VPN > VPN Client Profile. Rechtsboven wissel je tussen de protocollen. De werking is volgens GL.iNet verder hetzelfde gebleven.

Twijfel je, kijk dan op de startpagina van het admin panel welke versie draait, of lees onze gids over firmware updaten. Een recente firmware is ook verstandig omdat VPN-functies met elke versie verbeteren.

Twee manieren om WireGuard in te stellen

1. Via een ingebouwde aanbieder

GL.iNet heeft voor een aantal VPN-diensten een ingebouwde koppeling. Je logt dan in met je accountgegevens of een token, en de router haalt zelf de serverlijst op. Je kiest een server en start de verbinding via het pictogram met drie puntjes. Met Update Servers ververs je de lijst als servers zijn verdwenen. Welke diensten precies ondersteund worden, verschilt per firmwareversie; je ziet ze direct op de clientpagina.

2. Handmatig met een configuratiebestand

Gebruik je een dienst zonder ingebouwde koppeling, of je eigen server, dan kies je Add Manually. De router maakt dan een nieuwe groep aan in de linkerkolom. Geef die een duidelijke naam en upload je bestand. Ondersteund worden zip, tar, gz, conf en txt. Je kunt ook Manually Add Configuration kiezen en de configuratietekst plakken. In de zogenoemde Item-modus controleer je daarna elk veld afzonderlijk, zoals de private key, het adres, de DNS-server, het endpoint en de AllowedIPs.

Wat staat er in zo'n bestand?

Een WireGuard-configuratie bestaat uit twee delen. In het blok [Interface] staan de private key van jouw kant, het tunneladres en meestal een DNS-server. In het blok [Peer] staan de public key van de server, het endpoint (adres en poort van de server) en de AllowedIPs. Staat daar 0.0.0.0/0, dan gaat al het IPv4-verkeer door de tunnel. Deel dit bestand nooit met anderen: wie de private key heeft, kan zich als jouw apparaat aanmelden. Maak liever per apparaat of router een apart profiel aan.

Na Apply staat het profiel in de lijst. Klik op de drie puntjes rechts en start de verbinding. Zie je een groene stip, dan is de tunnel actief.

Controleren of het werkt

Ga naar VPN > VPN Dashboard. Daar zie je de verbonden server, het virtuele IP-adres, de hoeveelheid verkeer en een log. Controleer daarnaast op een aangesloten apparaat je publieke IP-adres via een willekeurige IP-checkwebsite. Komt dat overeen met de VPN-server en niet met het hotel of je provider, dan gaat het verkeer door de tunnel.

Let ook op DNS. Standaard gebruikt verkeer door de tunnel de DNS-server uit je WireGuard-configuratie. Wil je zelf versleutelde DNS instellen, lees dan onze gids over DNS over HTTPS.

Kill switch: niet overslaan

Valt de VPN onverwacht weg, dan kan verkeer ongemerkt via de gewone verbinding lopen. Daarom heeft GL.iNet een VPN kill switch. Vanaf firmware 4.8 is er een kill switch per tunnel, die volgens de documentatie standaard aanstaat wanneer je een tunnel activeert, plus een Enhanced Kill Switch die al het verkeer buiten de VPN blokkeert. Hoe je dat precies instelt, lees je in de gids VPN kill switch instellen.

Alleen bepaalde apparaten of sites via de VPN

In het VPN Dashboard kun je met VPN policy routing bepalen wat er door de tunnel gaat. Vanaf firmware 4.9 voeg je een tunnel toe en kies je de bron (alle clients, bepaalde verbindingstypen, specifieke apparaten op basis van MAC-adres of juist alle apparaten behalve een paar) en het doel (alles, of een lijst domeinen of IP-adressen). Zo kan je werklaptop via de VPN gaan en de tv-stick niet.

Snelheid en problemen

Een VPN kost rekenkracht. GL.iNet noemt 30 tot 50 procent van de maximale (lab)snelheid normaal in de praktijk. Bepalend zijn onder meer:

• De processor van de router: een snellere router haalt hogere WireGuard-snelheden. De testsnelheden per model staan op de productpagina's van GL.iNet en in onze vergelijking.
• Afstand en drukte van de server: een verre of overbelaste server geeft meer latency en minder snelheid.
• Uploadsnelheid thuis: gebruik je je eigen server, dan bepaalt de upload van je thuisverbinding je downloadsnelheid onderweg.
• MTU: vooral mobiele providers beperken soms de pakketgrootte. GL.iNet adviseert dan de MTU in de tunnelopties te verlagen van 1420 naar 1380 of 1280.

Komt er helemaal geen verbinding tot stand, controleer dan de datum en tijd van de router, of het netwerk VPN-verkeer blokkeert (sommige landen en netwerken doen dat) en of je configuratiebestand nog geldig is. Meer hulp vind je in problemen oplossen.

WireGuard combineren met andere functies

• Tailscale: GL.iNet raadt af om Tailscale tegelijk met een WireGuard-client te gebruiken, omdat beide op WireGuard draaien en routeringsconflicten kunnen ontstaan.
• AdGuard Home: dit werkt naast een VPN, maar als AdGuard Home alle DNS-verzoeken afhandelt, kunnen er DNS-problemen ontstaan. Zie AdGuard Home instellen.
• Eigen server: met twee GL.iNet-routers maak je je eigen WireGuard-verbinding naar huis, zonder abonnement. Zie eigen VPN-server thuis.