Een privétunnel met een duidelijk doel.

Definieer de route

Bepaal of de tunnel alleen privé-serviceverkeer of al het internetverkeer vervoert. Configureer toegestane routes bewust en houd rekening met zowel IPv4 als IPv6. Een split-tunnel- en een full-tunnelopstelling hebben verschillende overwegingen voor lekken en bereikbaarheid.

Houd één sleutel per apparaat

Genereer waar praktisch privésleutels op het apparaat zelf en publiceer ze nooit. Gebruik afzonderlijke peer-identiteiten zodat een verloren apparaat kan worden ingetrokken zonder elke client te vervangen. Bewaar serverconfiguratie met beschermde machtigingen.

Configureer doorsturen en DNS

Stel doorstuur- en firewallregels bewust in. Controleer naamresolutie, MTU en het retourpad. Test het effectieve openbare adres en het DNS-gedrag vanaf de client in plaats van aan te nemen dat een geslaagde handshake betekent dat al het verkeer de bedoelde route gebruikt.

Begrijp de verschuiving van vertrouwen

Een zelfgehoste VPN kan verkeer op het lokale netwerk beschermen, maar de VPS en upstream zien nog steeds metadata en eventueel onversleuteld verkeer. Het maakt een browsersessie niet anoniem en gaat niet boven het beleid van diensten die je gebruikt.

Gebruik een expliciete listener en inspecteer de handshake

UDP 51820 is een gangbare WireGuard-configuratiekeuze, geen verplicht of gegarandeerd hostbeleid. Open alleen de gekozen UDP-poort en houd beheer apart beperkt. Het commando wg show kan informatie over peer-handshakes en -overdrachten rapporteren zonder dat je privésleutels hoeft te publiceren.

• Controleer een recente handshake
• Test de beoogde privédienst
• Test internet- en DNS-routes alleen als een volledige tunnel is bedoeld

wg show

Officiële documentatie: Snelstart met WireGuard

Gebruik keepalives alleen wanneer het netwerk ze nodig heeft

Een peer achter NAT kan periodiek keepalive-verkeer nodig hebben om een mapping voor inkomende pakketten te behouden. De juiste instelling hangt af van het netwerk. Houd de configuratie bewust; kopieer geen volledig-tunnelrecept als het doel alleen toegang tot één privé-applicatie is.

Kies split tunnelling of een volledig-tunnelontwerp

Begin met het werkelijke doel. Een split tunnel kan alleen een privé-subnet of beheerdersdienst vervoeren; een volledige tunnel vereist ook internet-forwarding, egress-regels en een DNS-plan. Kies niet-overlappende tunneladressen en bepaal hoe IPv6 wordt afgehandeld. UDP51820 is een gangbare poort, geen vereiste. Bevestig het beleid van de gekozen host en houd console-/beheerderstoegang beschikbaar tijdens het wijzigen van routes of firewallregels.

• Geef elk apparaat een uniek sleutelpaar en een nauwe peer-identiteit.
• Houd privésleutels op de bedoelde apparaten en buiten openbare bestanden of QR-deling.
• Behandel publieke endpoints en client-roaming als onderdeel van het netwerkontwerp.

Officiële documentatie: Snelstart met WireGuard

Start een kleine tunnel voordat je internetroutering toevoegt

Volg de ondersteunde OS-installatie en genereer sleutels met beperkende bestandsrechten. Configureer de serverinterface, één peer en de gekozen UDP-listener. Een server-side peer hoort normaal gesproken een eigen tunneladres in AllowedIPs te hebben in plaats van een overlappende catch-all die aan meerdere clients is toegewezen. Begin met toegang tot het tunneladres en voeg daarna goedgekeurde forwarding- en bestemmingsroutes toe. Een geslaagde handshake bewijst peercontact, niet dat DNS of internetuitgang correct is.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Officiële documentatie: WireGuard-interface- en peer-configuratie

Test het verwachte pad en een verboden pad

Controleer vanaf de client een recente handshake en een toegestane privédienst. Probeer een bestemming die geweigerd zou moeten worden. Als u een volledige tunnel gebruikt, controleer dan de effectieve openbare route, de DNS-resolver en het IPv6-gedrag vanaf die client; split-tunnelverkeer moet het beoogde lokale pad behouden. Herhaal dit na een netwerkwijziging aan de clientzijde. Gebruik een NAT-keepalive alleen wanneer het netwerk van de peer dat nodig heeft, en houd het interval consistent met het gedocumenteerde ontwerp.

• Geen handshake: inspecteer endpoint DNS, UDP-bereikbaarheid, sleutels en peertoewijzing.
• Handshake maar geen service: controleer AllowedIPs, firewall, forwarding en de retourroute.
• Sommige sites blijven hangen: onderzoek path-MTU voordat je een willekeurige permanente waarde toepast.

Maak intrekking en herstartgedrag herhaalbaar

Verwijder de peersleutel van een verloren apparaat en bevestig dat het de beoogde toegang niet meer kan opzetten. Bewaar versleutelde configuratieback-ups en een inventaris van welke publieke sleutel bij welk apparaat hoort. Test of de interface en vereiste routeringsregels terugkeren na een normale herstart. Een VPN verschuift vertrouwen naar de VPS en zijn upstream; het verwijdert geen applicatie-identificatoren, accountcookies of de noodzaak van HTTPS naar de eindbestemming.

Officiële documentatie: WireGuard wg-quick handleiding