Hoe het werkt

Geen magie. Wel een stukje routering dat je provider je niet wil verkopen.

Wat er precies gebeurt

Je zet één WireGuard-tunnel op naar één van onze concentratoren. Die tunnel vertrekt vanaf jou, dus je provider hoeft niets door te sturen — daarom werkt dit ook achter CGNAT, achter een 4G-router en achter Starlink.

Aan onze kant koppelen we een publiek adres of een heel blok aan jouw tunnel. Dat blok zit in adresruimte die wij zelf bij RIPE beheren en die we via BGP aankondigen op onze internetknooppunten. Voor de rest van het internet lijkt het dus alsof jouw toestellen gewoon in ons datacentrum staan.

Waarom niemand jouw adres kan misbruiken

WireGuard werkt met cryptokey routing: elke publieke sleutel heeft een lijst van bronadressen die hij mag gebruiken. Een pakket met een ander bronadres wordt niet "geweigerd door de firewall" — het wordt simpelweg niet als geldig herkend. Dat maakt adresvervalsing structureel onmogelijk, niet configureerbaar onmogelijk.

Eén adres of een blok?

Met één adres (/32) zet je dat adres rechtstreeks op je tunnelinterface. Simpel, en genoeg voor de meeste mensen.

Met een blok (/29 en groter) routeren wij het hele blok naar jouw tunnel. Je zet het op je LAN en verdeelt de adressen zelf over je toestellen. Netwerk- en broadcastadres vallen weg; bij een /29 hou je er dus zes over, waarvan je router er meestal één gebruikt.

De MTU — lees dit even

Een WireGuard-tunnel voegt bytes toe aan elk pakket. Zet je de MTU niet lager, dan krijg je het klassieke beeld: pingen werkt, kleine websites werken, maar grote pagina's en downloads blijven hangen. Onze configuraties zetten de MTU standaard op 1420. Laat dat staan tenzij je weet wat je doet.

Welke poorten open staan

Inkomend staat alles open. Het is jouw adres; wat je binnenlaat bepaal je zelf op je eigen firewall. Wij filteren niets weg en houden geen lijst bij van wat je mag draaien.

Uitgaand sluiten we een handvol poorten. Niet om je te beperken, maar omdat verkeer naar die poorten in de praktijk vrijwel altijd afkomstig is van een besmet toestel — en één incident zet het volledige adresblok op zwarte lijsten. Daar heeft dan ook de klant last van die alleen zijn camera wil bereiken.

Wat we bewust níet dichtzetten

Telnet (23) is een grote besmettingsvector voor IoT-botnets, maar wordt nog dagelijks gebruikt voor oude netwerkapparatuur en DX-clusters. SSH, RDP, IRC, DNS en NTP laten we ook open: te nuttig om weg te nemen. Misbruik vangen we op met een snelheidsbegrenzing en met de abusemeldingen die binnenkomen.

Wat we wél vragen in de gebruiksvoorwaarden: draai geen open resolver, open relay of open NTP-server. Dat is ook in je eigen belang — zoiets wordt binnen de dag gevonden en misbruikt.

En ons eigen netwerk

Je tunnel komt uit in ons netwerk, dus we blokkeren ook het verkeer van klanten naar onze eigen infrastructuur en naar private adresreeksen. Dat merk je niet, maar het is de reden dat een klant nooit per ongeluk — of expres — bij onze servers of bij het netwerk van een ander terechtkomt.

Twee tunnels, één adres

Je krijgt geen keuze van locatie — je krijgt ze allemaal. We zetten je tunnel op in élke concentrator, elk met een eigen sleutelpaar. Op een router zet je ze allebei op met een verschillende afstand: de laagste wint, en valt die weg dan neemt de andere het over. Je publieke adres verandert daarbij niet, want beide concentratoren routeren het.

Op een telefoon of laptop gebruik je er één tegelijk — daar heb je gewoon twee profielen en kies je zelf welke je aanzet.

Als je provider WireGuard blokkeert

Sommige bedrijfs- en instellingsnetwerken filteren UDP agressief. Daarom luistert elke concentrator ook op UDP/3478 — de poort die WebRTC gebruikt voor videogesprekken. Die dichtzetten breekt Teams en Zoom, dus dat doet vrijwel niemand. In het portaal vink je gewoon aan dat je de alternatieve poort wil.

Wat je nodig hebt

• Een internetverbinding die naar buiten mag — meer niet.
• Een toestel dat WireGuard spreekt: een MikroTik, OPNsense, OpenWrt, een Synology, of gewoon je laptop of telefoon.
• Vijf minuten.