Alternatief voor Cloudflare Tunnel

[S-1-5-7]

Ik ben op zoek naar een Europees en/of open-source alternatief voor mijn Cloudflare-tunnel. Momenteel gebruik ik een Cloudflare-tunnel om interne webservices extern toegankelijk te maken. In Cloudflare beperk ik de toegang met behulp van security-regels.

Tijdens mijn zoektocht naar een alternatief kwam ik deze GitHub-pagina en dit Reddit-topic tegen. Beide noemen Pangolin [website, GitHub] als alternatief. Daarnaast werd in het Reddit-topic de Webapplicatie Front-dienst van DutchIS genoemd. Ik ken DutchIS zelf niet en vind ook geen resultaten als ik ernaar zoek op Tweakers.

Mijn vraag: zijn er Tweakers met ervaring met DutchIS? Zo ja, is dit een goed alternatief voor mijn Cloudflare-tunnel? Of is Pangolin (of een ander alternatief) een betere keuze?
Persoonlijk neig ik meer naar een oplossing als Pangolin, omdat je daar alles in eigen beheer hebt. Bij een dienst als DutchIS geef je alsnog een deel van de controle uit handen en ben je afhankelijk van hun betrouwbaarheid. Maar ik vraag me af of deze aanname terecht is...

[ Voor 3% gewijzigd door S-1-5-7 op 21-01-2026 11:17 ]

[Flans]

Ik ben hetzelfde aan het zoeken en heb tot op heden nog geen echte oplossing gevonden. DutchIS was nieuw voor mij maar dat loopt snel op als je een aantal domeinen wilt inrichten. En je kunt, voor zover ik kan zien de boel niet zelf hosten.

S-1-5-7 schreef op woensdag 21 januari 2026 @ 11:15:

Mijn vraag: zijn er Tweakers met ervaring met DutchIS? Zo ja, is dit een goed alternatief voor mijn Cloudflare-tunnel? Of is Pangolin (of een ander alternatief) een betere keuze?
Persoonlijk neig ik meer naar een oplossing als Pangolin, omdat je daar alles in eigen beheer hebt. Bij een dienst als DutchIS geef je alsnog een deel van de controle uit handen en ben je afhankelijk van hun betrouwbaarheid. Maar ik vraag me af of deze aanname terecht is...

Ik denk dat dat je aanname terecht is. Ik ben er nog niet aan toegekomen om Pangolin eens te proberen maar het lijkt aardig in de buurt te komen. Hoewel ik DDos bescherming en wat andere standaard cloudflare zaken mis.

[S-1-5-7]

Ik denk dat dat je aanname terecht is. Ik ben er nog niet aan toegekomen om Pangolin eens te proberen maar het lijkt aardig in de buurt te komen. Hoewel ik DDos bescherming en wat andere standaard cloudflare zaken mis.

Afgelopen weekend ben ik er even voor gaan zitten. Het heeft uiteindelijk wat meer tijd gekost dan verwacht, vooral omdat ik meteen mijn Proxmox-netwerk heb omgegooid en op zoek ben gegaan naar een geschikte partij voor mijn VPS.

Eerst had ik Pangolin lokaal draaien. Omdat ik alsnog een site moest uitrollen, heb ik besloten om toch een VPS in te richten. Uiteindelijk heb ik voor UpCloud gekozen.

De installatie en configuratie van Pangolin verliepen soepel en de documentatie is erg duidelijk.
Mijn eerste indruk: het ziet er goed uit en kan een serieus alternatief zijn voor Cloudflare. Publieke resources kunnen via de Pangolin Community afgeschermd worden door geoblocking en ASN-blocking regels. Naast IP-(range)blokkering is er niet veel mogelijk op het gebied van het afschermen van publieke resources d.m.v. regels. Ik hoop dat Pangolin op korte termijn meer opties krijgt, zoals filtering op user agent.

[ Voor 12% gewijzigd door S-1-5-7 op 02-02-2026 09:36 ]

[GarBaGe]

Je zou ook naar het Duitse Hertzner kunnen kijken.
Alhoewel deze geen losse tunnel of WAF oplossing bieden, hebben ze wel diverse cloud diensten waaronder opslag en hosting

[S-1-5-7]

GarBaGe schreef op maandag 2 februari 2026 @ 09:50:
Je zou ook naar het Duitse Hertzner kunnen kijken.
Alhoewel deze geen losse tunnel of WAF oplossing bieden, hebben ze wel diverse cloud diensten waaronder opslag en hosting

Daar heb ik afgelopen weekend inderdaad ook nog naar gekeken voor mijn VPS. Van de providers waar ik het e.e.a. over had ingelezen bleven zowel Hertzner als UpCloud over. Het is UpCloud geworden omdat ik met een promo code voor een X bedrag gratis credits kreeg die één maand te gebruiken waren. Uiteindelijk heb ik hier geen gebruik van gemaakt omdat ik de firewall regels voor mij VPS niet kon aanpassen met de trail versie.
Alsnog was het een prima keuze. Dit is mijn eerste VPS (ik draai verder alles lokaal) en het opzetten ervan via de portal was vrij eenvoudig.

Maar de VPS is enkel een middel om mijn doel te bereiken; het beschikbaar stellen van lokale services via het internet, en deze toegang zoveel mogelijk beperken/dichttimmeren zonder daarvoor gebruik te maken van client VPN. Geo/ip blokking kan ik ook nog wel op mijn firewall inregelen. De combinatie met user agent filtering maakte Cloudflare voor mij een krachtige oplossing.

Om hierop niet "in te leveren", zal ik in Pangolin moeten overstappen naar private resources. Om dit bruikbaar te maken voor services die via een app werken, zal ik de Pangolin client ook op mijn telefoon moeten installeren. Buiten dat ik het jamer vind dat deze app (voor Android) enkel via de Play Store te installeren is, kan ik dan beter gebruik maken van mijn WireGuard VPN.
Dit is dan denk ik ook toch maar de weg die ik ga inslaan: buitenshuis op de mobiele telefoon enkel via WireGuard, en de zaken die ik via mijn werklaptop nog wel eens benader; direct beschikbaar stellen via de firewall en beperken tot enkel de IP-reeks van kantoor.

[ Voor 38% gewijzigd door S-1-5-7 op 02-02-2026 14:27 . Reden: Laatste stuk toegevoegd ]

[AgeOfPanic]

Ik ken zelf Cloudflare tunnel niet zo goed. Wil je zaken publiekelijk toegangelijk maken of alleen voor jezelf buitenshuis? Voor dat laatste kan je ook kijken naar Netbird. Dat heb ik nu draaien met precies dat doel en werkt erg fijn. Is Duits en open source. Je zou het zelfs helemaal zelf kunnen draaien, maar kan ook via een centrale server. Voordeel van Netbird is dat je een heel overzichtelijk dashboard hebt waar je een heleboel zaken kunt instellen.

[S-1-5-7]

AgeOfPanic schreef op dinsdag 3 februari 2026 @ 20:09:
Ik ken zelf Cloudflare tunnel niet zo goed. Wil je zaken publiekelijk toegangelijk maken of alleen voor jezelf buitenshuis? Voor dat laatste kan je ook kijken naar Netbird. Dat heb ik nu draaien met precies dat doel en werkt erg fijn. Is Duits en open source. Je zou het zelfs helemaal zelf kunnen draaien, maar kan ook via een centrale server. Voordeel van Netbird is dat je een heel overzichtelijk dashboard hebt waar je een heleboel zaken kunt instellen.

Het gaat inderdaad om toegang voor het huishouden buitenshuis en daarnaast voor kortere periodes ook aan anderen.

Ik heb de documentatie van Netbird even bekeken; interessante software ook! Het het lijkt erg op Pangolin. Helaas biedt Netbird, net als Pangolin, enkel de Android app via de Play Store aan, en wordt de APK niet via Github beschikbaar gesteld zodat die via (bijvoorbeeld) Obtainium geïnstalleerd en geüpdatet kan worden.

Om de "publieke" (zonder app) toegang te beperken kan je zo te zien gebruik maken van Posture Checks. Maar enkel Geo en IP werkt "out of the box", voor andere checks is de cliënt app vereist.

[The Eagle]

Weet niet wat je thuis hebt staan qua netwerk apparatuur, maar waarom thuis niet gewoon een wireguard server draaien? Desnoods koop je een Ubiquiti cloud gateway, zit het standaard ingebouwd. Wireguard app op je foon en gaan

[S-1-5-7]

The Eagle schreef op dinsdag 3 februari 2026 @ 23:47:
Weet niet wat je thuis hebt staan qua netwerk apparatuur, maar waarom thuis niet gewoon een wireguard server draaien? Desnoods koop je een Ubiquiti cloud gateway, zit het standaard ingebouwd. Wireguard app op je foon en gaan

Dat is inderdaad de oplossing waar ik nu voor heb gekozen. Ik draaide WireGuard al, maar ik merkte dat dit storingsgevoeliger is, wanneer de mobiele internetverbinding slecht is, dan wanneer er "direct" (HTTPS) toegang is.
Dat heb ik nu maar voor lief genomen.

Daarnaast mag/kan/wil ik geen privé VPN-verbinding installeren op m'n zakelijke laptop. Maar dit heb ik nu ook anders opgelost.

Ik denk dat ik wel tevreden ben met mijn huidige configuratie/oplossing. Dank allemaal voor jullie input

Edit:
Ik had ik gedachte verschillende porten te gebruiken voor de zaken die ik beschikbaar wil stellen vanaf mijn zakelijke laptop, maar was even vergeten dat enkel porten 80 en 443 naar buiten open staan en dus op deze manier maar twee webservers beschikbaar kan stellen.

Ik ga toch Pangolin inzetten om resources beschikbaar te stellen vanaf mijn zakelijke laptop.

[ Voor 24% gewijzigd door S-1-5-7 op 04-02-2026 13:10 ]

[jurroen]

DutchIS roept mixed feelings op. Ze hadden tot eind vorig jaar ook VPS'en, maar zijn daarmee gestopt omdat ze vol voor de Front dienst zijn gegaan. Die VPS draaide altijd super goed (geen belangrijk spul in mijn geval) - kreeg een maand van te voren een mail dat ze de stekker eruit gingen trekken. Definitief. Bij zo'n relatief korte termijn gaan bij mij de haren overeind staan en heb je het vertrouwen ook permanent gebroken. Ook al raakte die actie mij inhoudelijk niet eens.

Maar goed - naar je inhoudelijke vraag. Ik zou zoiets zelf oplossen door zelf een tunnel te bouwen met bijvoorbeeld Wireguard, Headscale of Tailscale.

Dat kun je vervolgens op een proxy VPS exposen, met nginx (al dan niet met ModSecurity, Suricata) of als je wat meer begeleiding / wizards zoekt iets als Bunkerweb.

Het is vooral een keuze. Bij DutchIS / Pangolin / CF tunnels betaal je iemand om hoofdpijn te hebben. Als je het zelf wil doen heb je meer controle, betaal je misschien minder maar heb je ook de hoofdpijn van het "moeten" ingrijpen als het breekt.

Persoonlijk zou ik zelf overigens altijd dat laatste kiezen, maar ben dan ook een sysop dino

[S-1-5-7]

jurroen schreef op woensdag 4 februari 2026 @ 23:32:
Ik zou zoiets zelf oplossen door zelf een tunnel te bouwen met bijvoorbeeld Wireguard, Headscale of Tailscale.

Ik heb Headscale en Tailscale ook nog voorbij zien komen en even naar gekeken, maar die werken zover ik kon zien enkel met een client app. Iets wat dus niet mogelijk is op mijn werklaptop.

Ik heb gisteravond Pangolin weer ingeschakeld en ik ben nog even aan de slag gegaan met het opzetten van een Basic WireGuard Site i.p.v. een Newt Site. Een Basic WireGuard site kan niet worden gebruikt voor Private resources, maar daarvoor gebruik ik Pangolin ook niet. Daarnaast werkt ook Health checking niet, maar ook dat mis ik niet.
De WireGuard heb ik geconfigureerd op mijn OPNsense firewall, die bouwt dus zelf een verbinding op naar Pangolin die op een VPS draait. Voor mij een prima oplossing zo!

[jurroen]

S-1-5-7 schreef op donderdag 5 februari 2026 @ 07:39:
[...]

Ik heb Headscale en Tailscale ook nog voorbij zien komen en even naar gekeken, maar die werken zover ik kon zien enkel met een client app. Iets wat dus niet mogelijk is op mijn werklaptop.

Dan heb ik mijzelf niet helder (genoeg) uitgedrukt of begrijp je mij verkeerd. De intentie was om een WG tunnel op te zetten tussen jou thuis en een VPS, daarvoor hoeft jouw device echt geen client te draaien of peer te zijn.

Vervolgens kun je op de VPS een reverse proxy draaien zoals verder uitgewerkt in mijn oorspronkelijke reply. Echterrr:

Ik heb gisteravond Pangolin weer ingeschakeld en ik ben nog even aan de slag gegaan met het opzetten van een Basic WireGuard Site i.p.v. een Newt Site. Een Basic WireGuard site kan niet worden gebruikt voor Private resources, maar daarvoor gebruik ik Pangolin ook niet. Daarnaast werkt ook Health checking niet, maar ook dat mis ik niet.
De WireGuard heb ik geconfigureerd op mijn OPNsense firewall, die bouwt dus zelf een verbinding op naar Pangolin die op een VPS draait. Voor mij een prima oplossing zo!

Heb je hiermee dus hetzelfde concept gerealiseerd

Last but not least, ik lees tussen de regels door dat de intentie van dit alles is om je selfhosted services beschikbaar te maken op je werklaptop (vanaf welke locatie dan ook), die alleen HTTP en HTTPS outbound toestaat.

Hou er rekening mee dat zo'n MDM / managed device betekent dat je werkgever in principe met alles kan meekijken wat je doet. Of een keylogger kan pushen naar de laptop. Wil daarmee zeker niet zeggen dát ze dat doen - maar wel dat ze de mogelijkheid daartoe hebben.

[S-1-5-7]

jurroen schreef op donderdag 5 februari 2026 @ 07:58:
Dan heb ik mijzelf niet helder (genoeg) uitgedrukt of begrijp je mij verkeerd. De intentie was om een WG tunnel op te zetten tussen jou thuis en een VPS, daarvoor hoeft jouw device echt geen client te draaien of peer te zijn.

Ah check! Je was wel duidelijk, ik heb zelf niet goed gelezen

Wat betreft mijn werklaptop; hier ben ik mij zeker van bewust. De EDR-oplossing die we gebruiken ziet inderdaad erg veel, maar geen toetsaanslagen.