OpenWrt op je eigen router in 2026

OpenWrt is jarenlang het domein geweest van mensen die thuis gingen zitten met een seriescherm en een RS-232-kabel. Dat klopt in 2025 niet meer. Met het officiële OpenWrt One-bord, een stabiele 24.10-release en een LuCI-interface die eindelijk oogcontact kan houden met een moderne browser, is de drempel om je eigen router volledig in handen te nemen aanzienlijk gedaald.

OpenWrt One: het officiële bord

Voor het eerst in zijn twintigjarige geschiedenis heeft het OpenWrt-project een eigen referentiehardware uitgebracht. De OpenWrt One, ontwikkeld in samenwerking met Banana Pi, is eind 2024 verschenen en kost $89,99 inclusief behuizing, antennes en voeding. Je bestelt hem via de AliExpress-shop van Banana Pi of bij wederverkopers als YouYeeToo.

De specs zijn bewust gekozen voor duurzaamheid en debuggemak, niet voor papiernummers. Op het bord zit een MediaTek MT7981B SoC — een dual-core Cortex-A53 op 1,3 GHz — met 1 GB DDR4 RAM. Opslag bestaat uit 256 MB SPI NAND plus een apart 16 MB NOR-flash die uitsluitend als systeemback-up dient. Een toggle-schakelaar laat je NOR en NAND onafhankelijk flashen: zelfs als je mainline-firmware volledig verknalt, start de router altijd op vanuit de NOR-fallback.

Netwerk: één 2,5 GbE WAN-poort en één 1 GbE LAN-poort. Draadloos: Wi-Fi 6 dual-band (2,4 + 5 GHz), 3×3 op 2,4 GHz en 2×2 op 5 GHz. Verder een USB-A 2.0-poort en een mikroBUS-uitbreidingssokkel voor extra hardware zoals een LTE-module. Een M.2 2230/2242 NVMe PCIe 2×1 slot maakt externe opslag mogelijk.

Voor wie OpenWrt wil draaien zonder uren door de Table of Hardware te scrollen, is de OpenWrt One de meest logische keuze van 2025. Volledig mainline ondersteund, documentatie up-to-date, community kent het bord door en door.

Ondersteunde routers die nog steeds zin hebben

Heb je al hardware of wil je minder dan $90 uitgeven? De Table of Hardware op toh.openwrt.org telt meer dan tweeduizend apparaten, maar het overgrote deel is verouderd, draait op 4 MB flash of 32 MB RAM — officieel te weinig voor OpenWrt — of is niet meer leverbaar. Drie toestellen die in 2025 nog concreet aan te raden zijn:

De GL.iNet GL-MT6000 (Flint 2) is populair als je meer poorten wil: MediaTek MT7986A, Wi-Fi 6, vier 1 GbE LAN-poorten plus twee 2,5 GbE-poorten, voor ongeveer €80. GL.iNet levert met een aangepaste OpenWrt-build; upgraden naar mainline is één flashstap. De Netgear R7800 (Snapdragon IPQ8065, Wi-Fi 5 dual-band) heeft een uitstekende communitytrackrecord en is tweedehands voor onder de €40 te vinden. De AVM FRITZ!Box 4040 is één van de makkelijkst te flashen toestellen op de Belgisch-Nederlandse markt — alle hardware ondersteund, debricken eenvoudig.

Controleer altijd de hardwareversie voor je koopt. Een TP-Link Archer AX21 v1.0 en v3.0 zien er identiek uit maar gebruiken andere Wi-Fi-chips met een totaal andere driver-situatie. Zoek het model exact op in de Table of Hardware inclusief versienummer.

"De Table of Hardware telt 2000+ apparaten — maar voor de meeste zijn ze óf uitverkocht, óf hebben ze te weinig RAM. Hou je aan de shortlist."

Stable versus SNAPSHOT: welke firmware kies je?

OpenWrt heeft twee downloadkanalen. De stabiele releases verschijnen elke zes tot twaalf maanden en worden actief onderhouden met security-updates. De huidige reeks is 24.10, uitgebracht in februari 2025 met 24.10.5 als meest recente service-release. Stabiele firmware is uitgebreider getest, bevat vaste kernelversies en krijgt beveiligingspatches zolang de reeks niet end-of-life is (voor 24.10 is dat september 2026). Dit is wat je gebruikt op een router die dag en nacht online is.

SNAPSHOT-builds worden nachtelijks automatisch gecompileerd uit de ontwikkelbranche. Ze bevatten de nieuwste drivers, de meest recente kernel en ondersteuning voor gloednieuwe hardware die nog niet in een stabiele release zit. Het nadeel is dat de opkg-pakketrepositories gesynchroniseerd zijn met de kernelversie van de build — een SNAPSHOT van gisteren heeft andere kmod-pakketten nodig dan een SNAPSHOT van volgende week. Gebruik SNAPSHOT als je een nieuw apparaat wil flashen dat nog niet in de stabiele release staat, of als je actief meewerkt aan ontwikkeling. Gebruik stable voor alles wat gewoon moet werken.

Eerste configuratie: LAN, Wi-Fi en firewall

Na het flashen open je 192.168.1.1 in je browser. LuCI vraagt meteen een wachtwoord — stel dat in. Ga daarna naar Network → Interfaces en controleer je WAN-interface. Belgische en Nederlandse providers leveren doorgaans DHCP of PPPoE; voor PPPoE pas je het protocol aan en vul je de inloggegevens van je provider in.

Basisnetwerk via UCI — handig als je via SSH werkt of scripts schrijft:

uci set network.lan.ipaddr='192.168.10.1'
uci set network.lan.netmask='255.255.255.0'
uci commit network
/etc/init.d/network restart

Wi-Fi staat na een verse installatie standaard uit — een bewuste veiligheidskeuze. Schakel het in via Network → Wireless of via UCI:

uci set wireless.radio0.disabled='0'
uci set wireless.default_radio0.ssid='MijnNetwerk'
uci set wireless.default_radio0.encryption='psk2'
uci set wireless.default_radio0.key='MijnWachtwoord'
uci commit wireless
wifi reload

De firewall werkt standaard met drie zones: lan, wan en loopback. Verkeer van lan naar wan is toegestaan, van wan naar lan geblokkeerd — klassiek NAT. Voor een IoT-VLAN maak je een nieuwe interface met VLAN-tag, wijs je die aan een nieuwe firewallzone toe en voeg je een reject-regel toe richting lan.

Plugins die je écht wilt

Het ecosysteem van opkg-pakketten is een van de grootste troeven van OpenWrt. Alles wat je installeert via opkg install past in het beschikbare flash-geheugen — op de OpenWrt One met 256 MB NAND is dat ruim. Op oudere routers met 8 MB flash moet je keuzes maken.

luci-app-sqm + sqm-scripts — Smart Queue Management voor bufferbloat. Installeer het pakket, ga naar Network → SQM QoS, selecteer je WAN-interface, stel de download- en uploadsnelheid in op 85% van wat je provider levert en kies cake als queue discipline. CAKE (Common Applications Kept Enhanced) is de meest effectieve algoritme voor thuisgebruik en handelt asymmetrische verbindingen beter af dan fq_codel. Na activering daalt je latentie tijdens downloads van soms 200 ms naar enkele milliseconden.

opkg update && opkg install luci-app-sqm

luci-proto-wireguard + luci-app-wireguard — WireGuard VPN ingebakken in de kernel. Installeer beide pakketten, herstart LuCI en maak onder Network → Interfaces een nieuwe interface aan met protocol WireGuard VPN. Via UCI genereer je een sleutelpaar met wg genkey | tee /tmp/privkey | wg pubkey > /tmp/pubkey, stel je de interface in met uci set network.wg0.proto='wireguard' en voeg je peers toe met hun publieke sleutel en allowed IPs. uci commit network gevolgd door /etc/init.d/network restart activeert alles.

luci-app-attendedsysupgrade — de meest onderschatte tijdsbesparing. Zonder dit pakket flasht sysupgrade een kale image en moet je alle extra pakketten opnieuw installeren. Met Attended Sysupgrade verzoekt de tool een build op de OpenWrt-buildservers met exact jouw pakketlijst erin, downloadt die en flasht hem automatisch.

adblock — DNS-gebaseerde advertentie- en trackerblokkering voor het volledige netwerk zonder per toestel iets te configureren. Pakketlijsten worden automatisch bijgewerkt. Minder agressief dan Pi-hole, werkt met nul extra hardware.

Flashen via sysupgrade

Heb je al een oudere OpenWrt-versie draaien, dan is een update eenvoudig. Download de sysupgrade.bin voor jouw apparaat van downloads.openwrt.org naar /tmp op de router en voer het commando uit:

# Flash met behoud van configuratie
sysupgrade -v /tmp/firmware.bin

# Flash zonder configuratie (schone lei)
sysupgrade -n /tmp/firmware.bin

Standaard blijven configuratiebestanden uit /etc bewaard. Twijfel je of je config compatibel is met de nieuwe versie, gebruik dan -n en herstel handmatig. Wil je zekerheid over welke bestanden bewaard worden, kijk in /lib/upgrade/keep.d/. Na de flash zijn extra pakketten weg tenzij je Attended Sysupgrade gebruikt hebt.

Veelgestelde vragen

Kan ik mijn bestaande consumentenrouter blijven gebruiken als access point?

Ja. Zet de router die je vervangt in bridge mode of schakel DHCP uit. OpenWrt neemt de routing over, de oude router doet alleen nog Wi-Fi. Zo combineer je betere firmware met vertrouwde Wi-Fi-dekking.

Werkt OpenWrt met mijn glasvezelaansluiting van Proximus, Telenet of Odido?

Meestal wel. Proximus Fiber (FttH) gebruikt standaard DHCP op de WAN-poort. Telenet gebruikt ook DHCP. Odido (voorheen T-Mobile NL) ook. Controleer of je provider VLAN-tagging op het WAN-signaal vereist — dat is per regio anders. De OpenWrt-wiki heeft per provider een pagina met exacte instellingen.

Is OpenWrt 24.10 veilig voor een router die direct aan het internet hangt?

Ja, mits je een sterk root-wachtwoord instelt en LuCI niet via WAN bereikbaar laat. Het standaard firewallprofiel blokkeert alle inkomende verbindingen op WAN. De 24.10-reeks krijgt beveiligingspatches tot september 2026.

Wat als ik mijn router brick tijdens het flashen?

Op de OpenWrt One is dat praktisch onmogelijk dankzij de NOR-fallback. Op andere hardware helpt de failsafe-modus: houd de reset-knop ingedrukt tijdens het opstarten tot het ledje anders knippert, verbind met 192.168.1.1 en herstel via SSH of TFTP.

Hoeveel geheugen heb ik nodig voor SQM + WireGuard + adblock?

Reken op minstens 64 MB RAM en 16 MB flash. Met 128 MB RAM en 32 MB flash werk je comfortabel. De OpenWrt One met 1 GB RAM en 256 MB NAND heeft aan die afwegingen geen enkele last.