VPN maakt geen verbinding of je krijgt fout 809 of 691 in Windows? Zo controleer je netwerk, poorten, inloggegevens, tijd, certificaten en DNS na het verbinden.
Met een VPN (virtueel privénetwerk) maak je via internet een versleutelde tunnel naar je kantoornetwerk of naar een VPN-dienst. Lukt dat niet, dan ligt het meestal aan een van drie dingen: het VPN-verkeer komt niet aan bij de server, de server accepteert je inloggegevens of certificaat niet, of de tunnel komt wel tot stand maar het verkeer erdoorheen werkt niet.
In de ingebouwde VPN van Windows zie je dat terug aan de foutcode. Fout 809 betekent dat de server niet reageert: het verkeer komt niet aan. Bij L2TP/IPsec en IKEv2 gaat het om UDP-poort 500 en 4500, die door een router, hotelnetwerk of firewall geblokkeerd kunnen worden. Ook NAT (meerdere apparaten achter één internetadres) speelt bij L2TP/IPsec een rol: zitten de server of de pc achter NAT, dan moet NAT-T werken. Fout 691 betekent dat de verbinding wel aankwam, maar dat de combinatie van gebruikersnaam en wachtwoord of de gekozen aanmeldmethode is geweigerd. Fout 720 wijst er vaak op dat de verbinding tot stand kwam maar de pc geen netwerkinstellingen of adres van de server kreeg.
Bij programma’s als WireGuard, OpenVPN of de VPN-app van je werkgever zijn de meldingen anders, maar de oorzaken vergelijkbaar: een netwerk dat VPN-verkeer blokkeert, een verkeerde klok waardoor certificaten of codes niet kloppen, een verlopen certificaat of profiel, of een tweestapsverificatie (MFA) die niet wordt bevestigd.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Maak verbinding via de hotspot van je telefoon en probeer de VPN opnieuw. Werkt hij daar wel, dan blokkeert het netwerk waar je eerst op zat het VPN-verkeer. Dat gebeurt vaak op gastnetwerken, in hotels, op scholen en bij sommige bedrijfsnetwerken. Op een gastnetwerk moet je soms eerst op een inlogpagina akkoord geven voordat iets anders werkt.
Bij fout 691 of een vergelijkbare weigering: typ je gebruikersnaam opnieuw, soms in de vorm DOMEIN\naam of als volledig e-mailadres, afhankelijk van de server. Is je wachtwoord onlangs veranderd, sla dan het nieuwe op in de VPN-instellingen. Gebruikt de VPN tweestapsverificatie, let dan op de melding in je authenticator-app en bevestig die binnen de tijd. Zie ook tweestapsverificatie.
Certificaten en eenmalige codes werken alleen met de juiste tijd. Ga naar Instellingen › Tijd en taal › Datum en tijd, zet Tijd automatisch instellen aan en klik op Nu synchroniseren. Een afwijking van een paar minuten kan al genoeg zijn om een verbinding te laten weigeren.
Gebruik je WireGuard, OpenVPN of een zakelijke VPN-app, installeer dan de nieuwste versie. Controleer of je profiel of configuratiebestand nog geldig is: certificaten in zo’n profiel kunnen verlopen, en na een wijziging aan de serverkant heb je soms een nieuw profiel nodig van je beheerder. Herstart na het bijwerken de pc.
Een firewall of antivirus van derden kan VPN-verkeer of de virtuele netwerkadapter blokkeren. Zet hem tijdelijk uit en test. Kijk ook in Apparaatbeheer › Netwerkadapters of de adapter van je VPN-programma er staat zonder geel uitroepteken; anders installeer je het programma opnieuw.
Bij fout 809 met L2TP/IPsec of IKEv2: zorg dat UDP 500 en 4500 bij de server aankomen en dat het IPsec-verkeer niet door de firewall wordt tegengehouden. Zit de Windows-pc of de server achter NAT, dan accepteert Windows standaard geen L2TP/IPsec-verbinding naar een server achter NAT. Microsoft documenteert daarvoor de registerwaarde AssumeUDPEncapsulationContextOnSendRule (DWORD, waarde 2) onder de sleutel hieronder; herstart na het toevoegen. Bij een TCP-protocol, zoals SSTP of een OpenVPN over TCP, test je de poort met Test-NetConnection in PowerShell. WireGuard gebruikt UDP, vaak op poort 51820, maar dat is instelbaar.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
AssumeUDPEncapsulationContextOnSendRule = 2 (DWORD)
Test-NetConnection vpn.voorbeeld.nl -Port 443Komt de VPN wel tot stand maar openen interne namen niet, kijk dan met ipconfig /all welke DNS-servers de VPN-adapter heeft gekregen. Test een interne naam met nslookup. Werkt een intern IP-adres wel en de naam niet, dan stuurt de VPN de DNS-instellingen niet goed mee; dat moet aan de serverkant worden opgelost. Leeg na het verbinden ook de cache met ipconfig /flushdns.
ipconfig /all
nslookup server.intern.voorbeeld.nl
ipconfig /flushdnsLet op: Vermijd PPTP als VPN-protocol. Het is verouderd en wordt als onveilig beschouwd. Gebruik IKEv2, SSTP, WireGuard of OpenVPN, of de oplossing die je organisatie aanbiedt.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Dat de VPN-server niet reageert: het verkeer komt niet aan. Vaak blokkeert het netwerk de benodigde UDP-poorten, of speelt NAT een rol bij L2TP/IPsec.
Dat de server je inloggegevens of de gekozen aanmeldmethode weigert. Controleer gebruikersnaam, wachtwoord en schrijfwijze, en vraag je beheerder of je account actief is.
Veel gast- en hotelnetwerken blokkeren VPN-verkeer of laten alleen webverkeer door. Een telefoonhotspot is dan vaak een snelle oplossing.
Meestal krijgt je pc via de VPN niet de juiste DNS-servers of routes. Test met een intern IP-adres; werkt dat wel, dan is het DNS.
Hulp nodig van een mens? Computerhulp aan huis · Hulp op afstand · IT-support in jouw plaats · Alle oplossingen