De meeste VPN-problemen komen neer op een handvol oorzaken, en als je ze in de goede volgorde controleert, scheelt dat je een avond. Voer de commando's uit op de server, tenzij een stap iets anders zegt. De voorbeelden gebruiken WireGuard op de standaardpoort 51820/udp; vul voor OpenVPN of Xray je eigen dienstnaam en poort in.
Laatst gecontroleerd op 2026-11-13.
1. Staat de server op een pakket met een eigen IPv4?
Een VPN-client maakt naar je server verbinding. Een NAT-pakket laat van buitenaf maar één poort binnen, je persoonlijke SSH-poort, dus daar kan geen enkele VPN werken. Toont het dashboard een adres met een poort zoals 20xxx, dan zit je op NAT. Overstappen op een eigen IPv4 behoudt je gegevens en vereist geen herinstallatie; zie Je IP-adres wijzigen.
2. Draait de dienst?
systemctl status wg-quick@wg0
journalctl -u wg-quick@wg0 -n 30 --no-pager
Bij OpenVPN heet de unit meestal openvpn-server@server, bij Xray xray. Een dienst die niet is gestart, noemt de reden bijna altijd in de laatste regels van zijn log: een typfout in de configuratie, een ontbrekend sleutelbestand, een poort die al in gebruik is.
3. Luistert hij op de poort die je verwacht?
ss -ulpn | grep 51820 # UDP: WireGuard, OpenVPN via UDP
ss -tlpn | grep 443 # TCP: Xray / VLESS, OpenVPN via TCP
Geen uitvoer betekent dat de dienst daar niet luistert, wat de configuratie ook zegt. Vergelijk de poort met die in je client.
4. Laat de firewall hem door?
ufw status verbose
Als de firewall actief is en je poort niet in de lijst staat, open hem dan:
ufw allow 51820/udp
Let op het protocol: WireGuard heeft UDP nodig, en een regel voor 51820/tcp doet er niets voor. Laat je SSH-regel staan voordat je de firewall inschakelt of herlaadt, anders sluit je jezelf buiten. Gebeurt het toch, dan kom je via de browserconsole in het dashboard weer binnen.
5. Bereikt de client de server wel?
Bij WireGuard vertelt de handshake het je:
wg show
latest handshake: N seconds ago bij een peer betekent dat de client de server heeft bereikt en dat de sleutels kloppen. Helemaal geen handshake-regel betekent dat hij er nooit is aangekomen. Controleer dan in deze volgorde: het endpoint-IP en de poort in de clientconfiguratie, de firewall uit stap 4 en of de publieke sleutel van de client in het [Peer]-blok van de server staat (en andersom).
6. Verbonden, maar er opent niets?
De tunnel werkt, maar de server stuurt het verkeer niet door naar internet. Controleer het doorsturen:
sysctl net.ipv4.ip_forward
Dit moet 1 geven. Zo niet, zet het dan permanent aan:
echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-vpn.conf
sysctl --system
Controleer daarna de NAT-regel. In een WireGuard-configuratie is dat de PostUp-regel met MASQUERADE, en de interfacenaam daarin moet de echte naam van de interface van je server zijn:
ip -br addr
Staat er -o eth0 in de regel, maar heet je interface anders, pas dan de configuratie aan en herstart de dienst.
7. Test vanaf een ander netwerk
Maak verbinding via mobiele data in plaats van de wifi thuis, of vraag iemand in een ander land het te proberen. Werkt de VPN daar wel, maar niet vanaf je gewone netwerk, dan is de server in orde en blokkeert iets ertussen de verbinding.
- Om te zien of je server überhaupt bereikbaar is vanuit een bepaald land: Zo controleer je of het IP van je VPS bereikbaar is vanuit Rusland en Iran.
- Waar WireGuard en OpenVPN worden herkend en geblokkeerd, lijkt VLESS + Reality op gewoon HTTPS en is het veel moeilijker te blokkeren.
8. Lukt het nog steeds niet?
Open een ticket en vermeld wat je hebt gecontroleerd: de uitvoer van stap 2–5 en de naam van je VPN-client. Daarmee kunnen we je meestal in één antwoord vertellen waar het misgaat.
Reacties
Nog geen reacties. Wees de eerste.