Een eigen router achter je provider: wat je moet weten

Met een eigen router bepaal je zelf je firewall, je vpn, je netwerkindeling en wat je van buitenaf bereikbaar maakt. De modem of router van je provider is daar meestal te beperkt voor. Dit artikel legt uit waar je op moet letten, ongeacht wie je provider is. Daarna zijn er aparte gidsen voor KPN, Ziggo, Odido en Delta en Freedom.

Wat voor aansluiting heb je?

Dat bepaalt wat mogelijk is. Bij glasvezel kun je bij de meeste providers je eigen router rechtstreeks op het glasvezelmodem of de media-converter aansluiten. Bij kabel (coax, zoals Ziggo) blijft de modem van de provider nodig, maar die kun je vaak in bridge-modus zetten, zodat hij alleen nog het signaal doorgeeft. Bij dsl heb je een eigen modem nodig of laat je de modem van de provider staan.

Publiek IPv4-adres of CGNAT?

Dit is het belangrijkste om te weten als je iets van buitenaf bereikbaar wilt maken, zoals een server, een vpn of Home Assistant. Veel providers delen steeds vaker één IPv4-adres met meerdere klanten. Dat heet CGNAT of DS-Lite. Je krijgt dan geen eigen publiek IPv4-adres, en poorten openzetten werkt niet.

Zo controleer je het:

1. Kijk in je router naar het WAN-adres.
2. Vraag je openbare adres op in je terminal: curl https://geekstation.nl/ip. Meer commando’s staan bij Tools in je terminal.
3. Zijn die twee gelijk, dan heb je een publiek IPv4-adres. Zijn ze verschillend, of begint het WAN-adres met 100.64 tot en met 100.127, dan zit je achter CGNAT.

Heb je CGNAT, dan kun je bij sommige providers een publiek adres aanvragen, soms tegen betaling. Een alternatief is een vpn-dienst zoals WireGuard of Tailscale, waarbij je geen poorten hoeft open te zetten.

IPv6

Bijna alle Nederlandse providers geven je IPv6. Daarbij krijgt elk apparaat een eigen publiek adres. Dat is handig, maar het betekent ook dat je firewall binnenkomend verkeer moet tegenhouden, zodat je apparaten niet zomaar vanaf internet bereikbaar zijn. Controleer dat bij een eigen router. Reken adressen en reeksen uit met de IPv6-calculator.

Poorten openzetten

1. Geef het apparaat een vast IP-adres of een vaste lease.
2. Maak in je router een port forward van de poort naar dat adres.
3. Controleer van buitenaf, niet vanaf je eigen netwerk: curl https://geekstation.nl/poort/443.

Zet alleen open wat echt nodig is, en zet alles wat een inlogscherm heeft achter een reverse proxy met https. Welke poort bij welke dienst hoort, staat in het spiekbriefje poorten.

Wat kan er misgaan

• Tv of telefonie werkt niet meer. Bij sommige providers lopen tv en telefonie over aparte netwerken (VLAN’s). Die moet je in je eigen router apart instellen.
• Geen verbinding na de overstap. Sommige providers koppelen de aansluiting aan het MAC-adres van je apparaat. Start de modem of het glasvezelmodem opnieuw op, of bel de provider.
• Trage verbinding. Controleer de MTU. Bij PPPoE is dat vaak 1492.

Instellingen van providers veranderen. Zie dit artikel als een uitleg, en vraag bij twijfel de actuele gegevens bij je provider op. Wil je daarna je netwerk indelen? Lees VLAN voor je smart-home.