Hoe je kunt testen of je VPN daadwerkelijk werkt (IP, DNS, WebRTC & Kill Switch)

Een VPN-app die 'Verbonden' aangeeft, is geen bewijs dat je verkeer beschermd is. In een paar minuten kun je vier belangrijke zaken verifiëren: je publieke IP, je DNS-opzoekingen, het WebRTC-gedrag van je browser en wat er gebeurt als de tunnel wegvalt.

Waarom 'Verbonden' niet genoeg is

Een moderne VPN versleutelt het verkeer tussen je apparaat en een externe server, en zou het publieke IP dat websites zien moeten veranderen. Dat is de basis. Netwerken in de echte wereld zijn rommeliger: Wi-Fi-fluctuaties, mobiele overdrachten, OS DNS-snelkoppelingen en browsers die zelfstandig met het netwerk communiceren, kunnen allemaal gaten achterlaten.

Die gaten vallen meestal in twee categorieën:

1. Terwijl de tunnel actief is: een deel van het verkeer gaat eromheen (klassieke DNS- of WebRTC-lekken).
2. Wanneer de tunnel wegvalt: je apparaat valt kort terug op het pad van de ISP en onthult je echte IP (waarvoor een kill switch bedoeld is).

Je hebt geen laboratoriumapparatuur nodig om beide gevallen te controleren. Gratis, openbare testpagina's plus één opzettelijke ontkoppeling zijn voldoende.

1. Bevestig dat je publieke IP is veranderd

Wat het controleert: Of websites een VPN-uitgangs-IP zien in plaats van je ISP-adres.

Hoe je het doet:

1. Ontkoppel de VPN. Open een eenvoudige IP-opzoekpagina (bijvoorbeeld de statuspagina van je ISP, of een betrouwbare 'wat is mijn IP'-site) en noteer het IPv4-adres, en IPv6 als dat wordt weergegeven.
2. Verbind de VPN met een server die je dagelijks wilt gebruiken.
3. Vernieuw dezelfde pagina (of open deze in een privévenster).

Geslaagd: Het publieke IP is anders dan je ISP-IP, en het komt overeen met de regio die je verwacht voor die server (globaal, niet tot op de stad).

Mislukt / onderzoek: Het IP is onveranderd, of je ziet nog steeds je thuis IPv6-adres terwijl IPv4 is veranderd. Veel lekken zijn alleen IPv6: de VPN tunnel IPv4 maar laat IPv6 op het open pad. Geef de voorkeur aan een client die IPv6 voor de sessie tunnel of blokkeert; als tijdelijke OS-niveau workaround schakelen sommige mensen IPv6 uit, maar dat is een bot hulpmiddel en kan netwerken breken die het nodig hebben.

Herhaal dit op elk apparaat dat je belangrijk vindt (telefoon, laptop, tablet). Eén abonnement dekt vaak meerdere apparaten (het Standaardplan van BetterVPN omvat tot 10 apparaten, en de Dedicated Server tot 30), dus controleer de platforms die je daadwerkelijk gebruikt.

2. Voer een DNS-lektest uit

Wat het controleert: Of domeinopzoekingen (de "wat is het IP van example.com?"-vragen) via de VPN gaan of nog steeds naar de resolvers van je ISP.

Dit is de val die valse zekerheid creëert. Je IP-test kan slagen terwijl je provider nog steeds een lijst ziet van elke hostnaam die je oplost.

Hoe je het doet:

1. Blijf verbonden met de VPN.
2. Open een DNS-lektestpagina en voer de uitgebreide / multi-server test uit als deze wordt aangeboden.
3. Vergelijk de getoonde resolveradressen en organisaties met de gebruikelijke DNS van je ISP.

Geslaagd: Resolvers behoren tot de VPN (of een resolver die de VPN opzettelijk door de tunnel leidt). Geen enkele zou duidelijk tot je thuis ISP moeten behoren.

Mislukt / onderzoek:

• Zet eventuele opties "gebruik VPN DNS", "forceer VPN DNS" of "blokkeer DNS buiten de tunnel" aan in de client.
• Op Windows kan Smart Multi-Homed Name Resolution parallelle DNS-vragen buiten de tunnel verzenden. VPN-zijde DNS-vergrendeling is de schonere oplossing dan het jagen op registervlaggen.
• Controleer of je browser DNS over HTTPS (DoH) heeft ingesteld op een openbare resolver die het DNS-pad van de VPN omzeilt. Als de VPN DoH niet in de tunnel kan binden, schakel dan browser DoH uit tijdens het testen, en test opnieuw.

Een kill switch lost geen DNS-lek op terwijl de VPN nog steeds verbonden is. DNS-bescherming en kill switch lossen verschillende foutmodi op; je wilt beide.

3. Controleer op WebRTC-lekken in de browser

Wat het controleert: Of de WebRTC-stack van de browser een lokaal of publiek IP kan onthullen, zelfs wanneer de systeem-VPN er goed uitziet.

WebRTC is nuttig voor videogesprekken; het is ook spraakzaam. Sommige sites kunnen de browser vragen om kandidaat-adressen die je echte publieke IP bevatten.

Hoe je het doet:

1. Verbind de VPN.
2. Open een WebRTC-lektestpagina in de browser die je het meest gebruikt.
3. Vergelijk eventuele publieke IP's die worden vermeld met het VPN-uitgangs-IP van stap 1.

Geslaagd: Geen publiek IP komt overeen met je ISP-adres. Lokale/LAN-adressen alleen zijn meestal minder kritisch voor "wie ben ik op het internet?" maar het is nog steeds het vermelden waard.

Mislukt / onderzoek: Werk de VPN-client bij, probeer een andere browser of verscherp de WebRTC-/privacy-instellingen in de browser. Test opnieuw na elke wijziging. Neem niet aan dat een desktopoplossing ook geldt voor mobiele browsers.

4. Stress-test de kill switch

Wat het controleert: Fail-closed gedrag wanneer de versleutelde tunnel uitvalt.

Zonder een kill switch betekent een verbroken VPN vaak dat je apps onmiddellijk verdergaan op het open ISP-pad. Zelfs een seconde of twee kan je echte IP, DNS-vragen en sessiecookies blootstellen op open Wi-Fi.

Hoe je het doet (veilige, opzettelijke test):

1. Verbind de VPN met de kill switch (soms aangeduid als netwerkvergrendeling / altijd aan / blokkeer niet-VPN-verkeer) ingeschakeld.
2. Open een pagina die je IP toont en laat deze klaar staan om te vernieuwen.
3. Dwing de VPN op een gecontroleerde manier naar beneden: gebruik alleen de ontkoppelingsfunctie van de client als dat opzettelijk de kill switch omzeilt; beter nog, simuleer een onderbreking door het VPN-proces te beëindigen, de VPN-interface om te schakelen, of de netwerkadapter kort uit te schakelen terwijl de kill switch ingeschakeld blijft. Volg de gedocumenteerde testmethode van je client.
4. Probeer onmiddellijk een nieuwe site te laden of de IP-pagina te vernieuwen.

Geslaagd: Uitgaand internet stopt (pagina's laden niet / time-outs). Je echte ISP-IP verschijnt niet opnieuw totdat je opzettelijk de kill switch uitschakelt of de VPN opnieuw verbindt.

Mislukt: Verkeer hervat op je ISP-IP terwijl de VPN beweert dat het geblokkeerd zou moeten zijn. Beschouw dat als een ernstige tekortkoming voor privacygevoelige werkzaamheden.

Systeemniveau kill switches (OS-firewall / routeringsregels) zijn over het algemeen sterker dan "blokkeer alleen deze apps"-modi, omdat een app-niveau switch kan falen als het VPN-proces crasht. Geef de voorkeur aan de strengere modus wanneer je meer om privacy geeft dan om ononderbroken browsen.

Wat een kill switch niet doet

• Het versleutelt het verkeer niet op zichzelf.
• Het vervangt geen DNS- of IPv6-lekbescherming terwijl het verbonden is.
• Het onderbreekt downloads en gesprekken wanneer de tunnel fluctueert. Dat ongemak is de bedoeling.

Een praktische checklist van 10 minuten

Gebruik dit telkens wanneer je een client installeert, apparaten verandert of na een grote OS-update:

Stap	Actie	Goed resultaat
A	IP voor en na verbinden	Exit IP is niet je ISP IP; IPv6 niet blootgesteld thuis
B	DNS-lektest	Geen ISP-resolvers vermeld
C	WebRTC-test	Geen ISP-publiek IP in kandidaten
D	Kill switch drop test	Internet stopt; ISP IP blijft verborgen
E	Herhaal op telefoon + pc	Zelfde slaagcriteria op elk

Bewaar schermafbeeldingen van geslaagde resultaten met de datum. Als de ondersteuning ooit om diagnostiek vraagt, helpen die meer dan "het voelde traag aan."

Kopen met helderdere ogen

Marketingpagina's houden van functiechecklists. Jouw tests maken die claims bewijs. Wanneer je aanbieders vergelijkt, vraag dan:

• Is er een kill switch die daadwerkelijk fail-closed is op mijn OS?
• Dwingt de client DNS door de tunnel?
• Zijn er native apps beschikbaar voor de apparaten die ik gebruik (telefoon, desktop, TV)?
• Zijn apparaatslimieten eerlijk en voldoende voor het huishouden?

BetterVPN is gebouwd rond die dagelijkse bescherming (inclusief een kill switch en flexibele split tunneling) op native apps voor iPhone, Android, Windows, macOS en TV-platforms. Als je de limieten van plannen en betalingsopties in duidelijke taal wilt zien, begin dan op bettervpn.com/pricing. Om zelf dezelfde vier tests uit te voeren, download de client van bettervpn.com/download.

Geen enkele VPN kan perfecte anonimiteit op elk netwerk beloven. Wat je wel kunt eisen is meetbaar gedrag: een ander publiek IP, schone DNS, geen casual WebRTC-ontdekkingen, en een kill switch die de voorkeur geeft aan stilte boven een lek. Voer deze checklist deze week nog een keer uit. Dan weet je of 'Verbonden' iets reëels betekent.