Internet Key Exchange uitgelegd: wat is IKE en waarom is het belangrijk voor jouw VPN-verbinding?

Je klikt op ‘verbinden’ in je VPN-app, ziet een bevestiging verschijnen en gaat verder met wat je aan het doen was. Maar in die paar seconden daarvoor hebben je apparaat en de VPN-server al bepaald welke encryptie er gebruikt wordt, hoe sleutels worden uitgewisseld en hoe lang die afspraken geldig blijven. Dat hele proces draait op Internet Key Exchange, afgekort als IKE. De meeste gebruikers kennen de naam niet, maar het protocol beslist rechtstreeks hoe betrouwbaar en hoe veilig jouw VPN-tunnel daadwerkelijk is, net als het geval is met de beveiliging van je thuisrouter.

Wat je ziet versus wat er achter de schermen gebeurt

Aan de oppervlakte ziet een VPN-verbinding er simpel uit: app open, knop indrukken, klaar. Wat je niet ziet, is dat je apparaat en de VPN-server elkaar eerst moeten vertrouwen voordat er ook maar één byte privédata doorheen gaat. Ze moeten het eens worden over welke versleuteling ze gebruiken, wie wie is, en hoe de sleutels van die versleuteling worden uitgewisseld zonder dat iemand ze kan onderscheppen. Dat hele proces heet de IKE-handshake.

Vraag 1: Wat doet Internet Key Exchange precies?

Internet Key Exchange is het protocol dat zorgt voor de beveiligde ‘handdruk’ aan het begin van een VPN-sessie. Het regelt drie dingen: authenticatie (zijn jullie allebei wie je zegt te zijn?), het onderhandelen over cryptografische instellingen, en het veilig uitwisselen van sleutelmateriaal. Pas als dat geregeld is, gaat de eigenlijke VPN-tunnel open.

Je ziet het woord ‘IKE’ zelden in je VPN-app omdat het altijd samenwerkt met IPsec. In de instellingen staat dan ‘IKEv2/IPsec’ of gewoon ‘IPsec’. De sleuteluitwisseling is als het ware verpakt in een groter geheel, vandaar dat de naam IKE voor de meeste gebruikers onzichtbaar blijft.

Vraag 2: Wat is het verschil tussen IKEv1 en IKEv2?

IKEv1 stamt uit de late jaren negentig en was voor zijn tijd heel goed. Maar de wereld is veranderd. IKEv1 heeft bekende kwetsbaarheden, ondersteunt bepaalde oudere configuraties die makkelijker te kraken zijn, en herstelt een verbroken verbinding niet automatisch. Dat laatste is in 2026, nu we continu wisselen tussen wifi, 4G en 5G, gewoon niet meer acceptabel.

IKEv2 is sneller, stabieler en fundamenteel veiliger ontworpen. Het ondersteunt MOBIKE (Mobility and Multihoming Protocol), wat het automatisch herstel bij netwerkwisselingen mogelijk maakt. Wij van Tech1.nl raden je dan ook af om nog een VPN te gebruiken die alleen IKEv1 aanbiedt. Dat is eigenlijk een teken dat de software al een tijdje niet serieus is bijgehouden.

Vraag 3: Hoe werkt IKE samen met IPsec?

IKE en IPsec zijn twee losse onderdelen die samen één systeem vormen. IPsec is het raamwerk dat de data daadwerkelijk versleutelt en beschermt tijdens transport. Maar IPsec heeft sleutels nodig om te werken, en die sleutels moet je veilig uitwisselen zonder dat een aanvaller ze ziet. Daar is IKE voor.

Vergelijk het met een kluis (IPsec) en de procedure om veilig de code ervan te delen (IKE). Zonder die procedure is de kluis nutteloos, want je kunt hem niet openen. Zonder de kluis heeft de procedure niets om te beveiligen. Ze zijn van elkaar afhankelijk, maar doen elk hun eigen ding.

Vraag 4: Wat zijn de twee fases van een IKE-handshake?

Een IKEv2-handshake verloopt in twee fases, en het helpt om die te kennen als je problemen met je VPN wilt begrijpen.

• Fase 1 (IKE SA): Je apparaat en de VPN-server bouwen een veilig kanaal op waarbinnen ze verder kunnen praten. Ze wisselen publieke sleutels uit via het Diffie-Hellman-algoritme, verifiëren elkaars identiteit en kiezen welke versleutelingsmethoden ze gebruiken. Dit kanaal heet de IKE Security Association.
• Fase 2 (Child SA): Via het beveiligde kanaal uit fase 1 worden de eigenlijke sleutels voor de VPN-datatunnel aangemaakt. Dit gaat veel sneller, omdat de zware cryptografische onderhandeling al achter de rug is.

In de praktijk duurt dit alles een fractie van een seconde. Maar als fase 1 mislukt door een firewall of een verkeerde configuratie, zie je geen VPN-verbinding maar ook geen nuttige foutmelding. Dan helpt het om te weten dat het probleem waarschijnlijk in de IKE-fase zit.

Vraag 5: Waarom herstelt IKEv2 je verbinding automatisch?

Dit is het punt waarop IKEv2 echt uitblinkt voor mobiel gebruik. Dankzij MOBIKE kan een actieve VPN-sessie van het ene netwerk naar het andere mee verhuizen zonder dat de tunnel opnieuw opgebouwd hoeft te worden. Je stapt de trein in, verliest wifi, schakelt over naar 5G, en je VPN is er gewoon nog. Geen herverbinding, geen tijdelijk onbeschermde verbinding.

OpenVPN heeft dit niet standaard. Als je netwerk wisselt, moet OpenVPN opnieuw verbinden, wat even kan duren en in de tussentijd een lek laat. Voor een kantoormedewerker die de hele dag op één netwerk zit maakt dat weinig uit, maar voor iemand die pendelt of regelmatig van locatie wisselt is IKEv2 op dit punt gewoon beter.

Vraag 6: Maakt IKEv2 je VPN sneller of langzamer?

Vergeleken met OpenVPN is IKEv2 doorgaans sneller, omdat het minder overhead heeft en de handshake efficiënter is. OpenVPN werkt via TCP of UDP maar heeft meer configuratielagen, wat de doorvoersnelheid kan vertragen, zeker op snelle verbindingen.

Vergeleken met WireGuard is IKEv2 langzamer. WireGuard is het modernste protocol van de drie, heeft een fractie van de codebase en is ontworpen met kernelintegratie in gedachten. In benchmarks haalt WireGuard op dezelfde hardware consequent hogere snelheden.

Maar snelheid is niet alles. IKEv2 heeft een veel langere staat van dienst, wordt breed ondersteund door bedrijfsnetwerken, routers en mobiele besturingssystemen, en is uitgebreid geaudit. Voor de meeste gebruikers is het verschil in de praktijk nauwelijks merkbaar.

Vraag 7: Welk protocol kies je op je telefoon?

Ons advies is vrij direct. Kies IKEv2 als je mobiel en snel wilt, op een iPhone of Android-toestel, en veel van netwerk wisselt. Het is natiefonder steund door iOS en is stabiel op vrijwel elke server. Kies WireGuard als snelheid en privacy je topprioriteit zijn en je een VPN-app gebruikt die het goed heeft geïmplementeerd, zoals Mullvad of ProtonVPN. OpenVPN is solide maar voor telefoongebruik in 2026 eigenlijk de derde keuze geworden, tenzij compatibiliteit met een specifiek bedrijfsnetwerk het vereist.

Vraag 8: Hoe weet je of jouw VPN écht IKEv2 gebruikt?

Veel VPN-apps claimen IKEv2 te ondersteunen, maar schakelen stilletjes terug naar een andere modus als dat handiger is. Zo check je het:

• Op iOS ga je naar Instellingen, vervolgens Algemeen, dan VPN en apparaatbeheer. Hier zie je het type verbinding dat actief is. Als het ‘IKEv2’ toont, ben je goed.
• Op Android verschilt dit per fabrikant, maar in de netwerkstatistieken of in de VPN-app zelf onder ‘Verbindingsinfo’ of ‘Protocol’ staat het vermeld.
• Op Windows open je PowerShell en typ je Get-VpnConnection. In de uitvoer zie je onder ‘TunnelType’ wat er werkelijk gebruikt wordt.

Wil je het echt zeker weten, dan kun je tijdens een actieve VPN-sessie met een tool als Wireshark kijken naar UDP-poort 500 en 4500. Dat zijn de vaste poorten van IKE-verkeer. Zie je verkeer op die poorten lopen terwijl je VPN actief is, dan klopt de claim.

Snelle beslisboom: IKEv2 wel of niet?

IKE regelt de sleuteluitwisseling en onderhandeling die je VPN-verbinding draaiende houdt, nog voordat er één datapakket verstuurd wordt. IKEv2 is voor de meeste gebruikers een solide keuze: stabiel bij wisseling van netwerk en breed ondersteund op zowel telefoons als laptops. WireGuard haalt het op snelheid, maar IKEv2 heeft de track record en compatibiliteit die in zakelijke omgevingen telt. Wij van Tech1.nl raden aan om even in de instellingen van je VPN-app te kijken welk protocol er daadwerkelijk actief is. Wat er op de productpagina staat en wat er standaard ingesteld is, zijn namelijk niet altijd hetzelfde.