OpenVPN over 5G: waarom u de tunnel over UDP configureert en niet over TCP

Belangrijkste punten

• OpenVPN werkt over UDP en over TCP. De makers raden UDP aan voor de prestaties; TCP is er voor netwerken die UDP blokkeren.
• Een VPN over TCP vervoert TCP-verkeer in een TCP-verbinding. Raakt er een pakket zoek, dan gaan twee lagen tegelijk opnieuw verzenden. Dat heet TCP-meltdown en het laat de tunnel vastlopen.
• Op 4G en 5G wisselt de vertraging sterker dan op een vaste lijn en raakt af en toe een pakket zoek. Juist daar merkt u het verschil tussen UDP en TCP.
• Met UDP, poort 1194, een keepalive en een passende mssfix-waarde loopt een OpenVPN-tunnel over 5G in de regel stabiel.
• Staat de VPN-server op de 4G/5G-locatie, dan heeft u een vast IP-adres nodig. Een gewone simkaart zit achter CGNAT en is van buitenaf niet bereikbaar.
• Internet via de Mast levert een vast IP-adres voor € 30,00 per maand bovenop uw bundel, of inbegrepen in Sim Only en zakelijk 5G met vast IP-adres vanaf € 75,00 per maand.

Waarom een VPN over 5G anders is dan over een vaste lijn

Op glasvezel of kabel denkt u zelden na over het transportprotocol van uw VPN. De lijn is stabiel, de vertraging ligt vast en pakketverlies is zeldzaam. Een tunnel over TCP valt daar niet op, omdat er vrijwel niets te herstellen valt.

Een 4G- of 5G-verbinding gedraagt zich anders. Het laatste stuk van de route gaat door de lucht, en de kwaliteit van dat stuk verandert van seconde tot seconde. Een passerende vrachtwagen, een drukke cel of een wisseling naar een andere mast: het radiogedeelte vangt veel daarvan op door frames opnieuw te sturen. Dat voorkomt pakketverlies, maar het zorgt wel voor wisselende vertraging. Een pakket dat normaal in 25 milliseconden aankomt, doet er bij zo'n hapering bijvoorbeeld 80 over.

De gemiddelden zijn goed. In de nPerf-barometer over 2026 lag de gemiddelde latency op het netwerk van KPN op 28,49 milliseconden en die van Odido op 5G op 26,49 milliseconden. Voor Teams, cloudopslag en terminalwerk is dat ruim voldoende. Het punt is niet het gemiddelde, maar de uitschieters. Een VPN-protocol dat op elke uitschieter reageert alsof het netwerk overbelast is, maakt het probleem groter dan het is.

Daar komen twee eigenschappen van mobiele netwerken bij. Ten eerste deelt een gewone simkaart het publieke IP-adres met andere gebruikers, via Carrier Grade NAT. Ten tweede houdt dat NAT-systeem per verbinding een tabel bij, en een verbinding die een tijd stil is, verdwijnt uit die tabel. Beide zaken hebben gevolgen voor hoe u de tunnel inricht. Daarover verderop meer.

TCP en UDP: twee manieren om pakketten te versturen

Internetverkeer reist in pakketten. TCP en UDP zijn de twee manieren om die pakketten af te leveren, en ze maken een tegengestelde keuze.

TCP, het Transmission Control Protocol, belooft dat alles aankomt en in de juiste volgorde. De ontvanger bevestigt elk stuk, en blijft een bevestiging uit, dan verstuurt de zender het opnieuw. Komt er veel niet aan, dan gaat TCP langzamer zenden, omdat het pakketverlies leest als een teken van overbelasting. Websites, e-mail en bestandsoverdracht gebruiken TCP.

UDP, het User Datagram Protocol, belooft niets. Het verstuurt een pakket en kijkt niet om. Geen bevestiging, geen herhaling, geen volgorde. Dat klinkt slordig, maar het is precies wat u wilt voor verkeer waarbij een oud pakket geen waarde meer heeft, zoals spraak, video en gaming. En het is precies wat u wilt voor een VPN-tunnel.

Nu de kern van de zaak. Een VPN-tunnel vervoert zelf weer verkeer, en het meeste daarvan is TCP. Kiest u voor een tunnel over TCP, dan stopt u TCP in TCP. Twee lagen die allebei beloven dat alles aankomt, en allebei ingrijpen als dat niet lukt.

De TCP-meltdown: wat er gebeurt bij TCP in TCP

De makers van OpenVPN noemen het verschijnsel TCP meltdown. Het treedt op wanneer TCP-verkeer door een tunnel over TCP gaat en er onderweg een pakket zoekraakt. De documentatie van OpenVPN beschrijft het als overcompenserende herverzendingen: de onderste laag probeert het verlies te herstellen, en de laag erboven compenseert nog eens, omdat die het verlies ook ziet.

Zo gaat dat in de praktijk. De buitenste TCP-verbinding, de tunnel zelf, merkt dat een pakket niet is bevestigd en verstuurt het opnieuw. Ondertussen wacht de TCP-verbinding binnenin, bijvoorbeeld uw bestandsoverdracht, ook op een bevestiging. Die komt niet, want het pakket zit nog in de wachtrij van de tunnel. Dus verstuurt de binnenste verbinding het pakket ook opnieuw, door dezelfde tunnel die al bezig is met herstellen. De tunnel krijgt het drukker, de vertraging loopt op, en beide lagen concluderen dat het netwerk overbelast is. Beide gaan langzamer zenden.

Olaf Titz, de ontwikkelaar van de VPN-software CIPE, beschreef dit mechanisme ruim twintig jaar geleden al. De bovenste laag zet herverzendingen sneller in de wachtrij dan de onderste laag ze kan verwerken, en elke herverzending maakt het probleem groter. Hij noemde het een intern meltdown-effect en koos daarom voor UDP als drager. Dat is nog altijd de reden waarom OpenVPN standaard op UDP staat en waarom WireGuard TCP helemaal niet ondersteunt.

Over een vaste lijn ziet u dit zelden, omdat er zelden iets zoekraakt. Over 4G of 5G ziet u het wel. Niet omdat het netwerk slecht is, maar omdat de wisselende vertraging TCP op het verkeerde been zet. Een pakket dat 80 milliseconden onderweg is in plaats van 25, lijkt voor een ongeduldige tunnel al verloren. Het resultaat kent iedereen die het heeft meegemaakt: de tunnel staat, ping werkt, maar een bestand van 50 MB komt niet door en Teams hakkelt.

Vijf redenen om op 5G voor UDP te kiezen

1. Geen dubbele herverzending. Over UDP verzendt de tunnel zelf niets opnieuw. Raakt er een pakket zoek, dan merkt alleen de TCP-verbinding binnenin dat, en die herstelt het één keer. Precies zoals TCP is ontworpen om over gewoon internet te werken.

2. De toepassing bepaalt zelf hoe zij op verlies reageert. Een videogesprek wil een verloren pakket niet terug; dat beeld is al voorbij. Over UDP houdt de toepassing die keuze. Over TCP dwingt de tunnel elke toepassing tot wachten op een herhaling, ook als die zinloos is.

3. Minder overhead. TCP voegt per pakket meer kopgegevens toe en vraagt meer rekenwerk dan UDP. Op een verbinding waar de upload beperkt is, telt dat mee.

4. Een wisselend adres hoeft de sessie niet te breken. Op een mobiel netwerk kan het publieke adres of de poort van uw router veranderen, bijvoorbeeld na een wisseling van mast of een vernieuwing van de NAT-tabel. OpenVPN kent daarvoor de optie float, die de andere kant toestaat van adres te wisselen zonder opnieuw aan te melden. De documentatie is duidelijk: die optie werkt alleen met UDP.

5. De gereedschappen voor het mobiele pad werken alleen met UDP. Ook fragment, waarmee OpenVPN te grote pakketten zelf in stukken knipt, heeft volgens de documentatie alleen zin bij UDP. Wie TCP kiest, zet een deel van de gereedschapskist op slot.

Fabrikanten van 4G/5G-routers geven hetzelfde advies. GL.iNet, bekend van reisrouters met ingebouwde OpenVPN-client, schrijft in zijn documentatie: probeer eerst UDP en stap alleen over op TCP als u problemen ondervindt.

Wanneer kiest u toch voor TCP?

Er is één goede reden: het netwerk waar u op zit, laat UDP niet door. Denk aan een gastnetwerk in een hotel, een bedrijfsnetwerk met een strenge firewall of openbare wifi die alleen web en e-mail toestaat. Dat verkeer loopt vrijwel volledig over TCP, en UDP komt er niet doorheen. OpenVPN ondersteunt daarom TCP op poort 443, dezelfde poort als beveiligd webverkeer, omdat die bijna overal open staat. De makers zeggen er eerlijk bij dat dit minder ideaal is vanwege het meltdown-risico, maar beter iets dat redelijk werkt dan niets.

Op uw eigen 5G-verbinding speelt dat niet. Mobiele netwerken laten UDP gewoon door, anders zouden videobellen en online gamen er ook niet werken, en de router is van u. Er is dus geen reden om de tunnel op TCP te zetten. Doet u het toch, bijvoorbeeld omdat een oude handleiding dat voorschrijft, dan betaalt u daar bij elke uitschieter in de vertraging voor.

Een goede middenweg voor laptops die ook buiten de deur komen: zet in het clientprofiel twee remote-regels, eerst UDP 1194 en daaronder TCP 443. OpenVPN probeert ze op volgorde. Thuis en op kantoor loopt de tunnel over UDP, en alleen op een netwerk dat UDP blokkeert valt hij terug op TCP.

Zo stelt u OpenVPN in voor een 5G-verbinding

Een werkende basis voor de client ziet er zo uit. Vervang de servernaam door uw eigen adres en voeg de certificaten toe zoals u gewend bent.

client
dev tun
proto udp
remote vpn.uwbedrijf.nl 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
mssfix 1400
explicit-exit-notify 1

En op de server, naast de gebruikelijke regels voor certificaten en het adresbereik:

proto udp
port 1194
keepalive 10 60
mssfix 1400

Wat elke regel doet, en waarom die juist op 5G telt:

proto udp en poort 1194. UDP is de standaard van OpenVPN, en 1194 is de poort die de IANA er officieel voor heeft toegewezen. Staat de server achter een firewall, zet dan UDP 1194 open naar de server. Meer poorten zijn niet nodig.

keepalive 10 60. Dit is een hulpregel die twee instellingen tegelijk zet. Elke 10 seconden stuurt OpenVPN een klein levensteken, en komt er 60 seconden niets terug, dan start de verbinding opnieuw. Op de server volstaat deze ene regel: de server geeft de waarden door aan de client en gebruikt zelf een dubbele wachttijd van 120 seconden, zodat de client een onderbreking eerder opmerkt dan de server. Het levensteken heeft op een mobiel netwerk nog een tweede taak. De NAT-tabel van de operator en elke tussenliggende firewall onthouden een UDP-verbinding alleen zolang er verkeer over gaat. De norm voor NAT-apparatuur, RFC 4787, schrijft minimaal twee minuten voor, maar wat uw operator precies hanteert, ziet u niet. Met een levensteken elke 10 seconden blijft de doorgang in elk geval open.

mssfix 1400. Een pakket dat door de tunnel gaat, krijgt er versleuteling en kopgegevens bij en wordt dus groter. Past het resulterende pakket niet meer op het mobiele pad, dan moet het onderweg in stukken, en dat gaat op veel netwerken mis. Het symptoom is herkenbaar: de tunnel komt op, ping werkt, maar zodra er echt data doorheen moet, loopt het vast. De documentatie van OpenVPN noemt dat vrijwel altijd een MTU-probleem en raadt aan om mssfix aan te passen in plaats van de MTU van de netwerkadapter. OpenVPN 2.6 rekent standaard met 1492; werkt dat niet, probeer dan 1400, 1300 of 1200. Eén kant instellen is genoeg. Wilt u meten in plaats van proberen, stuur dan zonder VPN een ping met de vlag die fragmentatie verbiedt en een oplopende pakketgrootte. De grootste waarde die aankomt, plus 28 bytes voor de kopgegevens, is de ruimte waarbinnen u moet blijven.

explicit-exit-notify 1. UDP kent geen formeel afscheid. Met deze regel meldt de client bij een herstart netjes dat hij weggaat, zodat de server de sessie direct opruimt in plaats van te wachten tot de keepalive verloopt.

persist-key en persist-tun. Start de tunnel opnieuw na een haperende radioverbinding, dan blijven de sleutels en de virtuele netwerkadapter staan. De herstart gaat sneller en de toepassingen erachter merken er minder van.

Niet doen: fragment zonder noodzaak. De optie fragment laat OpenVPN te grote pakketten zelf opknippen. Dat helpt als niets anders werkt, maar het kost volgens de documentatie prestaties en moet aan beide kanten staan. Begin met mssfix; dat lost het in de meeste gevallen op.

WireGuard: alleen UDP, met reden

Gebruikt uw router of firewall WireGuard in plaats van OpenVPN, dan is de keuze al voor u gemaakt. WireGuard werkt uitsluitend over UDP. De ontwikkelaars schrijven in hun overzicht van bekende beperkingen dat WireGuard bewust geen tunnel over TCP ondersteunt, vanwege de klassiek slechte netwerkprestaties van TCP over TCP. Wie het toch over TCP wil, moet daar een aparte laag voor bouwen.

WireGuard past bovendien goed bij mobiele verbindingen omdat het de andere kant herkent aan de sleutel, niet aan het IP-adres. Verandert het adres van uw 5G-router, dan antwoordt de server naar het nieuwe adres. Ook hier geldt het advies voor de NAT-tabel: zet op de kant achter het mobiele netwerk PersistentKeepalive = 25. De documentatie van WireGuard noemt 25 seconden een verstandige waarde die met een brede reeks firewalls werkt.

In een testopstelling met 5G-netwerksegmenten, beschreven door onderzoekers op arXiv, haalde WireGuard een hogere doorvoer en een lagere vertraging dan OpenVPN. Dat zegt iets over de software, niet over de radioverbinding. Voor beide geldt dezelfde les: de tunnel hoort over UDP te lopen.

Wie zet de tunnel op? Dan pas komt het vaste IP-adres

Alles hierboven gaat over hoe de tunnel zich gedraagt als hij eenmaal staat. Of hij überhaupt kan worden opgezet, hangt af van één vraag: welke kant begint?

De kant die de verbinding start, hoeft niet vindbaar te zijn. Belt uw 5G-router of laptop in op een VPN-server op kantoor of in een datacenter, dan werkt dat op een gewone simkaart. De kant die de verbinding ontvangt, moet een adres hebben dat van buitenaf bereikbaar is en niet verandert. En daar wringt het op mobiele netwerken.

Een gewone simkaart krijgt geen eigen publiek IPv4-adres. De operator zet veel gebruikers achter één adres, een techniek die Carrier Grade NAT heet. Voor het adresbereik dat operators daarvoor gebruiken, 100.64.0.0 tot en met 100.127.255.255, is in 2012 een aparte norm vastgelegd, RFC 6598. Ziet u in uw router een WAN-adres in dat bereik, of wijkt het af van het adres dat een website u toont, dan zit u achter CGNAT. Verbindingen van buitenaf komen dan niet bij uw router aan, hoe goed uw OpenVPN-configuratie ook is. Hoe u dat controleert, leest u in port forwarding werkt niet op 4G of 5G.

In drie situaties heeft u daarom een vast IP-adres op de 4G/5G-verbinding nodig:

• De VPN-server staat op de 5G-locatie. U wilt onderweg bij uw NAS, camera's of het netwerk van een vakantiehuis, loods of kantoorunit. Uw telefoon zoekt de server op, dus de server moet bereikbaar zijn op UDP 1194.
• Een vaste tunnel tussen locatie en hoofdkantoor. De firewall op kantoor wil weten met wie hij praat en herkent de locatie aan het adres. Met een vast adres aan beide kanten kan de tunnel bovendien vanaf beide kanten worden opgezet en hersteld.
• De andere kant laat alleen bekende adressen toe. Vraagt de IT-afdeling van uw werkgever of opdrachtgever om uw IP-adres, dan moet dat adres vast zijn. Zie IP-whitelisting met mobiel internet.

Met een vast IP-adres van Internet via de Mast krijgt uw verbinding een eigen publiek adres dat niet verandert. Uw router is dan van buitenaf bereikbaar, u zet UDP 1194 open naar de VPN-server en de rest van dit artikel is van toepassing alsof u op een vaste lijn zit. Het vaste adres zelf heeft geen invloed op de snelheid.

Bij Sim Only met vast IP-adres plaatst u de simkaart in uw eigen 5G-router of firewall met simkaartsleuf. Bij zakelijk 5G-internet met vast IP-adres krijgt u er een 5G-router in bruikleen bij, ter waarde van 275 euro, met voorrang op het netwerk. Die router is geschikt voor bridgemodus, zodat uw eigen firewall het publieke adres krijgt en de VPN-server daar draait. Heeft u al een bundel bij ons, dan voegt u een vast IP-adres toe voor € 30,00 per maand via support@internetviademast.nl. Alle bundels zijn maandelijks opzegbaar.

Een VPN-server op uw 5G-locatie bereikbaar maken? Zakelijk 5G-internet met vast IP-adres is er vanaf € 75,00 per maand exclusief btw, inclusief router in bruikleen. Op een werkdag voor 16:00 uur besteld, dezelfde dag verzonden. Bekijk zakelijk 5G met vast IP-adres

Stappenplan: OpenVPN over 5G in zes stappen

1. Bepaal wie de tunnel opzet. Start uw 5G-locatie de verbinding, dan volstaat een gewone bundel. Moet de locatie verbindingen ontvangen, kies dan een bundel met vast IP-adres.
2. Stel de APN in. Een vast IP-adres werkt alleen met de juiste APN in uw router. Op het netwerk van Odido is dat one.public. Zie APN instellen voor een vast IP-adres.
3. Controleer het adres. Vergelijk het WAN-adres in uw router met het adres dat een website u toont. Zijn ze gelijk en vallen ze buiten 100.64.0.0 tot en met 100.127.255.255, dan is uw router van buitenaf bereikbaar.
4. Zet de tunnel op UDP 1194. Gebruik de configuratie uit dit artikel en open alleen die poort in de firewall.
5. Stel keepalive en mssfix in. Begin met keepalive 10 60 op de server en mssfix 1400. Test met een groot bestand, niet alleen met ping.
6. Test van buitenaf. Gebruik een andere verbinding dan die van de locatie zelf, bijvoorbeeld uw telefoon op 4G/5G met de wifi uit.

Veelgestelde vragen over OpenVPN over 5G

Is UDP niet onbetrouwbaar voor een VPN?

Nee. UDP geeft zelf geen garantie, maar het verkeer binnen de tunnel wel. Een bestandsoverdracht over TCP binnen de tunnel komt compleet aan, omdat die TCP-verbinding verloren pakketten zelf opnieuw verstuurt. Het verschil met een tunnel over TCP is dat dit maar één keer gebeurt, en niet door twee lagen tegelijk.

Welke poort gebruik ik voor OpenVPN over UDP?

Poort 1194 over UDP, de officieel toegewezen poort voor OpenVPN. Staat de VPN-server op uw 5G-locatie, open dan in de firewall alleen UDP 1194 naar die server. Eén open poort voor de VPN is veiliger dan een open poort per apparaat.

De tunnel komt op en ping werkt, maar grote bestanden blijven hangen. Wat nu?

Dat is bijna altijd een MTU-probleem: de versleutelde pakketten passen niet op het mobiele pad. Verlaag mssfix naar 1400, en lukt het dan nog niet, naar 1300 of 1200. Eén kant instellen is voldoende.

Heb ik een vast IP-adres nodig voor OpenVPN over 5G?

Alleen als de 5G-locatie verbindingen moet ontvangen: een VPN-server op die locatie, een vaste tunnel met het hoofdkantoor of een tegenpartij die alleen bekende adressen toelaat. Belt de locatie zelf in op een server elders, dan werkt een gewone bundel. Een vast IP-adres kost € 30,00 per maand bovenop uw bundel, of is inbegrepen in Sim Only met vast IP-adres vanaf € 75,00 per maand.

Werkt WireGuard ook over 5G?

Ja, en WireGuard werkt alleen over UDP, dus de protocolkeuze is al gemaakt. Zet op de kant achter het mobiele netwerk een PersistentKeepalive van 25 seconden, zodat de NAT-tabel van de operator de verbinding onthoudt. Ook voor WireGuard geldt: wilt u de server op de 5G-locatie bereiken, dan heeft die een vast IP-adres nodig.

Wordt mijn 5G-verbinding trager door de VPN?

Versleutelen kost rekenkracht, en hoeveel snelheid u inlevert hangt af van uw router en de gekozen software. Over UDP is dat verlies kleiner dan over TCP, omdat er minder overhead per pakket is en er geen dubbele herverzendingen zijn. Het vaste IP-adres zelf verandert niets aan de snelheid.

Eén protocol, één poort, één vast adres

Een OpenVPN-tunnel over 5G is geen compromis, zolang u hem inricht voor het netwerk waar hij over loopt. Dat betekent UDP in plaats van TCP, een keepalive die de NAT-tabel wakker houdt, een mssfix die past op het mobiele pad, en een vast IP-adres aan de kant die verbindingen ontvangt. Kies zakelijk 5G met vast IP-adres inclusief router, of Sim Only met vast IP-adres voor uw eigen router. Liever eerst overleggen over uw router of firewall? Bel 085 - 029 05 81, onze specialisten denken mee.