Wat is WireGuard?

WireGuard draait binnen de Linux-kernel (en elders als user-space modules), en gebruikt state-of-the-art cryptografische primitieven in plaats van de brede algoritmekeuzes van oudere protocollen. Het resultaat is een tunnel die in milliseconden tot stand komt en pakketten verplaatst met zeer weinig overhead.

De gehele codebase is ongeveer 4.000 regels code — klein genoeg om onafhankelijk te worden geaudit. OpenVPN is ter vergelijking ruwweg 100 keer groter.

WireGuard gebruikt een vaste, moderne cijferreeks:

Drie redenen: het zit dichter bij de kernel (minder context switches), het gebruikt UDP met een minimale handshake (één retourvlucht), en de cijferkeuzes zijn geoptimaliseerd voor moderne CPU's en mobiele chips.

In onze tests is WireGuard consequent 20–40% sneller dan OpenVPN op dezelfde server, en schakelt het tussen Wi-Fi en mobiel zonder de verbinding te verbreken.

Standaard WireGuard slaat client-IP's statisch op de server op, wat een privacyprobleem is voor een commerciële VPN. Providers omzeilen dit met een shim-laag:

Bijna elke grote provider biedt nu WireGuard standaard aan: NordVPN (als NordLynx), Surfshark, ProtonVPN, Mullvad, IVPN, Private Internet Access, CyberGhost en TorGuard. ExpressVPN gebruikt hun interne Lightway, dat architectonisch vergelijkbaar is.

In netwerken die UDP volledig blokkeren (sommige restrictieve bedrijfs- of overheidsfirewalls), kan WireGuard onbereikbaar zijn. In die gevallen val je terug op OpenVPN via TCP 443, of gebruik je het obfuscatieprotocol van je provider.