Hoe we VPN's testen: dit is hoe het werkt

Het beoordelen van een VPN kan lastig zijn. Er is veel te overwegen, een reeks factoren en functies om af te wegen, en iedereen heeft zijn eigen mening over wat belangrijk is en wat echt niet.

Als gevolg hiervan zijn definitieve uitspraken moeilijk te vinden. Het maakt niet uit hoe vaak of hoe zorgvuldig iemand de verbindingssnelheden van het VK naar Duitsland meet op een Windows-laptop - dit zal je niet veel vertellen of je geïnteresseerd bent om verbinding te maken van Australië naar New York op je Android-mobiel.

Lees meer: CyberGhost VPN

Wat we kunnen doen, is veel verschillende aspecten van de service bekijken en u er meer over vertellen. Je bent misschien niet in al deze geïnteresseerd - misschien gebruik je bijvoorbeeld alleen dezelfde locatie, dus het kan me niets schelen hoe de serverlijst is georganiseerd, of dat er een favorietensysteem is - maar hopelijk behandelen we genoeg grond om u een idee te geven van hoe een aanbieder is.

In deze functie gaan we de belangrijkste kwesties uitleggen die we overwegen, hoe we ze evalueren en testen, en hoe we uiteindelijk beslissen dat een dienst als ExpressVPN bovenaan komt te staan. Houd er echter rekening mee dat hoewel volledige beoordelingen van de beste VPN-providers alles zullen behandelen wat we hier gaan bespreken, kortere beoordelingen zich eenvoudig zullen concentreren op de belangrijkste punten.

Maar het is evenzeer vermeldenswaard dat wat we hier hebben uiteengezet slechts een fractie is van wat er mogelijk zou kunnen gebeuren in een echte recensie. Als we nieuwsgierig zijn naar wat een VPN-app precies doet - misschien vragen we ons bijvoorbeeld af of het kwaadaardig is - kunnen we het uitvoerbare bestand voorbij een beveiligingsscanner laten lopen (probeer Ostorlab), de code van een browserextensie onderzoeken of gebruik zoiets als dnSpy om een .NET-client te decompileren en door te bladeren. Maar als je op dat soort details ingaat, zou je een heel boek nodig hebben om het goed te bedekken!

Wil je gewoon weten welke je moet downloaden? Dit zijn de beste VPN-providers

Functies verzamelen

Het proces van het evalueren van een VPN begint op zijn website door details over de service en zijn functies te verzamelen.

De netwerkgrootte is van belang, hoewel niet zoveel als providers soms beweren (zolang een VPN de locaties heeft die u nodig heeft, maakt het niet uit of er 20 of 2000 meer zijn). Naast de cijfers kijken we om te zien hoe wijdverspreid de locaties zijn, of ze landen omvatten die je niet altijd met de concurrentie zult krijgen, of dat ze elders hiaten in de dekking achterlaten.

Het is net zo belangrijk om de services te begrijpen die door elke server worden ondersteund. Ondersteunen ze allemaal P2P, streaming, OpenVPN en al het andere dat door de provider wordt aangeboden? Dit is niet altijd gemakkelijk te achterhalen, maar het is de moeite waard (die lijst met 300 locaties ziet er misschien veel minder indrukwekkend uit als je je realiseert dat je P2P alleen met drie kunt gebruiken).

Een goede VPN zou aangepaste desktop- en mobiele VPN-apps moeten bieden, omdat dit de gemakkelijkste manier is om de service te gebruiken. Wees echter voorzichtig wanneer u dit op een website controleert. Aanbieders geven u soms een lange lijst met platforms, maar hoewel sommige hiervan tot downloads leiden, kunnen andere u misschien verwijzen naar een zelfstudie waarin wordt uitgelegd hoe u de service handmatig kunt instellen. Volg elke link om er zeker van te zijn.

Het identificeren van ondersteunde VPN-protocollen zegt u veel over de service. Als het de belangrijkste standaarden dekt - OpenVPN, L2TP / IPSec, IKEv2 - is de kans groot dat je het op de meeste apparaten en platforms (routers, gameconsoles enzovoort) kunt gebruiken, zelfs als ze niet rechtstreeks worden ondersteund. door provider-apps.

We besteden ook veel aandacht aan alle details van hoe elk protocol wordt geïmplementeerd, inclusief de details van eventuele coderings- en authenticatiemethoden die kunnen worden gebruikt. Deze zijn niet altijd van tevoren zichtbaar, maar er is meestal wat informatie weggestopt op de ondersteuningssite.

Heeft de VPN interessante bonusfuncties? Veelvoorkomende voorbeelden zijn het blokkeren van advertenties, trackers en schadelijke URL's; het eigen DNS-systeem van de provider; Uien ondersteuning; split tunneling, zodat u kunt kiezen welke applicaties de VPN gebruiken en welke niet; en misschien Bitcoin-ondersteuning voor betalingen, waardoor uw anonimiteit wordt verbeterd wanneer u zich aanmeldt.

Als we de prijs bekijken, kunnen we begrijpen of de service een goede prijs is, maar er is meer aan de hand dan alleen naar een enkele kop te kijken. Sommige goedkope VPN's bieden niet hun laagste prijs, tenzij je je voor meerdere jaren aanmeldt, dus het is belangrijk om te kijken naar het aanbod aan abonnementen en prijzen.

Als het verzamelen van al deze gegevens klinkt alsof het een langdurig en vervelend proces kan zijn, dan heb je gelijk; het is inderdaad. Maar het gaat niet alleen om het vinden van cijfers en functielijsten. Alleen al de ervaring van het zoeken naar de relevante informatie geeft u een goed idee van hoe een VPN eruit ziet.

Een dubieuze provider kan bijvoorbeeld te weinig details hebben, met een slecht georganiseerde website waardoor het moeilijk is om te vinden wat u zoekt. Informatie kan inconsistent of verouderd zijn, en u zult soms een klein marketingtrucje tegenkomen, zoals onrealistische beloftes over snelheid of het deblokkeren van websites waarvan u vermoedt dat het bedrijf deze niet kan waarmaken.

Maar een professionele provider zal een goed ontworpen website hebben die alle belangrijke informatie vooraf zichtbaar maakt, met veel technische details weggestopt als je dat wilt. Oververkoop wordt tot een minimum beperkt en eerlijkheid en transparantie zijn waarschijnlijk aan de orde van de dag.

Privacy

Het beoordelen van het privacyniveau dat door een VPN wordt geboden, is moeilijk, omdat u erop vertrouwt dat de provider u eerlijk vertelt wat ze doen en hoe de service werkt. Toch is er vaak genoeg informatie om u in de goede richting te wijzen.

Dit begint met de technische gegevens die u eerder hebt verzameld over de ondersteunde protocollen, de codering en authenticatie. OpenVPN-ondersteuning is het beste, IKEv2 niet ver achter, L2TP / IPSec is acceptabel, maar de verouderde en onveilige PPTP kan het beste volledig worden vermeden.

We zouden kunnen zoeken naar AES-256-gegevensversleuteling, RSA-2048 of 4096 om handshaking te dekken, en Perfect Forward Secrecy om nieuwe sleutels voor elke sessie te genereren - maar de waarheid is dat VPN's niet altijd volledig beschrijven wat ze doen.

Het is soms nodig om op de ondersteuningssite te bladeren voor aanwijzingen, of u kunt voorbeeld OpenVPN-configuratiebestanden downloaden om u een idee te geven van hoe de service werkt. Als de dienst live chat heeft, vraag het dan aan iemand; de agenten kunnen meestal pre-salesvragen beantwoorden.

App-functies zijn de sleutel. Kwaliteits-VPN's gebruiken hun eigen DNS-servers en implementeren DNS-lekbescherming (IPv4 en IPv6) om de kans te verkleinen dat uw internetactiviteiten zichtbaar worden voor anderen. U wilt ook een kill-schakelaar hebben om automatisch internettoegang te blokkeren als de VPN-verbinding wegvalt.

Pas op: alleen omdat een service een 'kill-schakelaar' heeft op een lijst met functies van een website, wil dat nog niet zeggen dat deze mogelijkheid op elk platform beschikbaar zal zijn. Mobiele apps hebben bijvoorbeeld vaak minder kenmerken en functies dan hun desktop-broers en zussen, dus we controleren ze allemaal om volledig te begrijpen wat ze doen.

Om te bevestigen dat een VPN uw IP-adres correct verbergt, maakt u verbinding met een willekeurige VPN-locatie en gaat u met uw browser naar ipleak.net. Als u uw echte IP-adres ziet, of een adres dat eigendom is van uw internetprovider, is er een probleem dat u verder moet onderzoeken. Resultaten kunnen variëren afhankelijk van de browserinstellingen, dus herhaal dit in elke browser en op elk apparaat dat u gebruikt.

We testen kill-switches op Windows VPN-clients door een aangepaste tool te gebruiken om onze VPN-verbinding geforceerd te sluiten, vervolgens kijken we hoe lang het internet toegankelijk blijft en of ons reguliere externe IP-adres zichtbaar is voor de buitenwereld.

Om iets soortgelijks handmatig te doen, gebruikt u Taakbeheer om het proces OpenVPN.exe te sluiten en te controleren of uw internettoegang onmiddellijk wordt verbroken, of dat er een paar seconden vertraging is en of het automatisch opnieuw verbinding maakt.

Als de kill-schakelaar niet lijkt te werken, controleer dan Instellingen om er zeker van te zijn dat deze is ingeschakeld (soms is deze standaard uitgeschakeld). Zoek naar alternatieve instellingen die ook kunnen helpen. Sommige clients bevatten een functie 'opnieuw kiezen als de verbinding wordt verbroken' die niet zo effectief is, maar toch enige anonimiteitsbescherming biedt.

Logboekregistratie

VPN-providers, met name gratis diensten, worden er regelmatig van beschuldigd de browsegeschiedenis van hun gebruikers te verkopen. De meesten zullen proberen terug te vechten, meestal door te schreeuwen 'Geen houtkap!' op de voorpagina van hun website, maar jarenlange recensie-ervaring heeft ons geleerd dat dit niet altijd waar is. Daarom kijken we altijd wat dieper.

Het privacybeleid kan je veel vertellen over een aanbieder, nog voordat je het leest. 5.000 woorden van slecht opgemaakt juridisch taalgebruik vol jargon is een slecht teken, en dat geldt ook voor een document van 100 woorden dat je bijna niets vertelt. Waar we naar op zoek zijn, is een duidelijk opgemaakt, goed georganiseerd en leesbaar document waarin iedereen de belangrijkste details kan vinden die ze nodig hebben.

Die details moeten expliciet zijn en alle logging-mogelijkheden omvatten. Een enkele regel met de tekst 'we leggen onder geen enkele omstandigheid vast wat u online doet', sluit bijvoorbeeld niet uit dat de service sessiegegevens vastlegt: de datum en tijd waarop u inlogt, uw inkomende IP-adres, het VPN IP-adres dat je hebt toegewezen, de datum en tijd waarop je de verbinding verbreekt en de bandbreedte die je gebruikt. Dat detailniveau kan voldoende zijn om anderen in staat te stellen een internetactie aan uw account te koppelen.

Een beter beleid zal deze mogelijkheid uitsluiten door uit te leggen dat het geen verbinding of verbroken tijden, inkomende en uitgaande IP-adressen, enzovoort registreert.

Het beste beleid zal u ook vertellen wat ze registreren, waarom ze dat doen en wat er met die gegevens gebeurt. Een provider zou bijvoorbeeld kunnen zeggen dat hij de laatste verbindingstijd en de gebruikte bandbreedte in die sessie registreert, maar geen inkomende of uitgaande IP-adressen registreert. Het zou kunnen verklaren dat deze gegevens nuttig zijn om het bedrijf te helpen het servicegebruik te controleren en inactieve accounts te identificeren (is logisch), maar niemand kan erachter komen wat u online doet (helemaal waar). En het zou u kunnen vertellen dat als u de service niet langer gebruikt, u ondersteuning kunt e-mailen en zij uw oude accountgegevens volledig zullen verwijderen.

Het is belangrijk om dit in het juiste perspectief te zien. Hoe goed een privacybeleid ook wordt gepresenteerd, er is geen garantie dat iets in het document ook echt waar is. Het is allemaal gebaseerd op vertrouwen.

Het bekijken van de kleine lettertjes kan soms echter aangeven dat er wordt geregistreerd dat een VPN plaatsvindt. En als er niets anders is, kan het u aanwijzingen geven over hoe eerlijk en open een provider kan zijn.

We hebben eerder dubieuze gratis VPN's gevonden die het privacybeleid van iemand anders hebben gekopieerd en geplakt, bedrijfsnamen in de tekst hebben gewijzigd en bijvoorbeeld hebben gedaan alsof het van hen is. Dat is eigenlijk lui, incompetent en frauduleus - meer dan genoeg om u te vertellen dat dit geen provider is die u zou moeten gebruiken.

Beveiligingsaudits

VPN-providers weten dat er een gebrek aan vertrouwen is in het bedrijf, maar sommigen proberen dit tegen te gaan door zichzelf aan onafhankelijke beveiligingsaudits te onderwerpen.

Het idee is dat een provider een team van experts uitnodigt om diepgaand naar beveiligings- of privacyproblemen met zijn systemen te kijken en daarover verslag uit te brengen.

Elke VPN die dit proces doorloopt, verdient enige eer omdat hij de moed heeft om zijn innerlijke werking aan de wereld bloot te stellen. Maar alle audits zijn niet hetzelfde, en hun werkelijke waarde hangt af van een reeks factoren.

Wat is bijvoorbeeld de reikwijdte van de audit - waar probeerden de auditors naar te kijken? Als het een klein aspect van de service is, zoals de browserextensies, zal dat niet veel betekenen. Het is nuttiger om het volledige scala aan apps te inspecteren en de beste audits gaan zelfs nog verder. De beveiligingsaudit van TunnelBear omvat de infrastructuur en zelfs de website). Terwijl NordVPN nu PricewaterhouseCoopers inschakelt om een onafhankelijk van zijn no-logs-beleid te voltooien.

Bekijk ook waarvoor de audit is ontworpen. Soms controleren audits gewoon of de service bijvoorbeeld de regels voor niet-loggen in het privacybeleid volgt. Dat is goed, maar anderen gaan verder, misschien door apps diepgaand te testen om bugs en privacyproblemen te identificeren.

Welk toegangsniveau hadden de auditors tot de dienst? Een app kunnen testen is goed, maar toegang hebben tot de broncode en echte VPN-servers is veel, veel beter.

Is het eindrapport volledig beschikbaar voor het publiek? Idealiter zou iedereen ernaar moeten kunnen kijken. Sommige rapporten zijn alleen beschikbaar voor betalende klanten - niet zo handig, maar daar kunnen we mee leven. Een paar zijn echter helemaal niet openbaar beschikbaar, waardoor u de VPN's eigen samenvatting van het vonnis moet vertrouwen. (Wat ironisch is, aangezien audits bedoeld zijn om deze behoefte aan vertrouwen te verminderen.)

Tot slot, hoe lang geleden heeft de audit plaatsgevonden? Een kwaliteits-VPN breidt zijn systemen altijd uit en verbetert zijn systemen, dus een rapport van twee jaar geleden zal vandaag lang niet zo veel waarde hebben. We zoeken leveranciers die niet alleen al hun diensten ter inzage leggen, maar ook bedrijven die zich ertoe verbinden dit volgend jaar te doen.

Test server selectie

Om goed te begrijpen hoe een VPN presteert, gebruiken we geautomatiseerde tools om verbinding te maken met meerdere servers en om de belangrijkste aspecten van de service te testen: serverbeschikbaarheid, locatie, verbindingstijd, latentie en downloadsnelheden.

Onze tools maken verbinding met elke server via OpenVPN, en dus begint het testproces met het downloaden van de configuratiebestanden van de VPN-provider. (Als een service ons vraagt om ze zelf te genereren, specificeren we UDP-gebaseerde verbindingen).

Deze bestanden zijn onderverdeeld in vier locatiegebaseerde groepen (het VK, Europa, Noord-Amerika en de rest van de wereld), die we vervolgens verder opsplitsen om de servers te kiezen die in onze tests zullen worden opgenomen.

Sommige VPN-tests gebruiken grotendeels vaste locaties: een in Londen, een in Amsterdam, een andere in New York, enzovoort. Dit is goed om de consistentie tussen VPN-providers te behouden, maar het hoeft niet per se een eerlijke vergelijking te zijn.

Als SmallVPN.com bijvoorbeeld een enkele locatie in New York heeft en BigVPN.com 10, dan houdt het testen van één server van elke provider het leven eenvoudig. Maar er is geen manier om te weten of de enkele server van BigVPN.com de goede of de slechte punten van de service nauwkeurig zal weergeven.

Om een realistischer beeld te krijgen van hoe een VPN presteert, testen we tot 30 locaties binnen een groep, zelfs als dit betekent dat ze allemaal binnen een relatief klein gebied liggen (bijvoorbeeld 10 servers in Londen). Bij testen in de echte wereld krijgt u af en toe een van deze servers toegewezen, dus we moeten ze allemaal zelf proberen, al was het maar om te zien hoe (en of) ze variëren.

Als er aanzienlijk meer dan 30 locaties zijn, kiezen we een subset die het beste het geografische gebied van de groep weergeeft. De Noord-Amerikaanse groep omvat bijvoorbeeld locaties aan de oostkust, het midden van de Verenigde Staten, de westkust en Canada.

Dit betekent natuurlijk dat we misschien ook enkele van de beste (of de langzaamste) servers missen, maar we denken dat het voldoende is om ons een representatief beeld te geven van de prestaties in die groep.

Lees verder: