Waarom kiezen voor CYV

3x-ui, Amnezia, Remnawave en CreateYourVPN helpen allemaal om een VPN op je eigen server te draaien. Daar houdt de gelijkenis ongeveer op: de producten zijn gemaakt voor verschillende doelen en voor heel verschillende hoeveelheden handwerk van de eigenaar.

3x-ui en Remnawave zijn zelfgehoste panelen. Je installeert ze op je eigen infrastructuur, krijgt veel instelmogelijkheden en zorgt zelf voor domeinen, updates, beveiliging, monitoring en reparaties. Amnezia Self-hosted is vooral een applicatie voor een eenvoudige persoonlijke VPN: het zet zonder terminal een VPN op één VPS op en laat je toegang delen. CreateYourVPN, of CYV, is een beheerd platform: de servers blijven van jou, het dagelijkse beheer neemt de dienst over.

De echte vraag is dus niet «welk paneel heeft meer schakelaars», maar hoeveel handwerk er na de eerste start overblijft. Wil je Xray, Docker en Linux leren kennen, dan geeft een zelfgehost paneel alle ruimte. Wil je een werkende VPN voor jezelf, je naasten of je klanten zonder er systeembeheerder bij te worden, dan dekt CYV veel meer af uit de doos.

Hieronder vergelijken we ingebouwde mogelijkheden. Een extra script, een externe bot of eigen ontwikkeling kan in theorie bijna alles aan elk paneel toevoegen, maar dat wordt een apart systeem dat je moet kiezen, koppelen, bijwerken en onderhouden.

Kort: het belangrijkste verschil

CYV begint eerder te werken dan een gewoon VPN-paneel. Het installeert niet alleen de VPN-component, maar bereidt de VPS zelf voor: het maakt een aparte gebruiker aan, zet SSH om naar sleutels, sluit overbodige poorten en zet firewall, fail2ban en beveiligingsupdates aan. Na de installatie blijft het platform de server in de gaten houden in plaats van hem met een handleiding aan de eigenaar over te dragen.

Valt een dienst of inbound uit, dan blijft het bij CYV niet bij een rood lampje. Automatische processen proberen de node te herstellen, de incidentgeschiedenis laat zien wat er gebeurd is, en een onbereikbaar toegangspunt wordt niet meer aan gebruikers uitgedeeld zolang de route een gezond alternatief heeft.

Voor netwerken met blokkades is er een aparte laag: de scanner voor maskeringssites, Reality-controles vanaf de node zelf, onderlinge controles tussen servers, een quorum om blokkades vast te stellen en het experimentele noodprotocol OLCRTC voor netwerken met een witte lijst.

En ten slotte is CYV niet alleen infrastructuur. In één systeem zitten al de klantomgeving, tarieven, betalingen, een white-label winkel, e-mails, een Partner API en MCP-integratie met AI-assistenten. Wat rond een zelfgehost paneel meestal als losse projecten in elkaar wordt gezet, werkt hier als één product.

1. Opzetten en dagelijks beheer

Beveiliging begint vóór de VPN-installatie

Op een verse VPS staat SSH meestal op de standaardpoort, is inloggen met een wachtwoord toegestaan en hangen de netwerkregels af van het image van de hoster. Een paneelinstaller voegt het paneel zelf toe, maar dat betekent niet dat het hele besturingssysteem daarmee veilig is.

Bij het koppelen van een server voert CYV een aparte voorbereidingsfase uit:

• maakt een servicebeheerder aan en zet inloggen met SSH-sleutel aan;
• schakelt wachtwoordlogin en direct inloggen als root uit;
• verplaatst SSH naar een niet-standaard poort;
• zet UFW aan met de regel «alles verboden behalve wat nodig is»;
• beperkt servicepoorten tot de adressen van het besturingsvlak;
• zet fail2ban aan en installeert beveiligingsupdates automatisch;
• regelt rotatie en korte bewaring van systeemlogboeken.

Het root-wachtwoord dat je bij het toevoegen van de server invult, wordt alleen voor de eerste verbinding gebruikt en niet opgeslagen. Na de voorbereiding werkt CYV met een eigen sleutel. Het hele proces staat in de les over servers en in de gids voor de eerste start.

Het paneel is niet nog een server om te onderhouden

3x-ui en Remnawave moeten geïnstalleerd worden, via een veilig adres op internet komen, TLS krijgen, bijgewerkt en geback-upt worden. Bij Remnawave worden bovendien paneel, nodes, een domein en een reverse proxy uitgerold. Voor een zelfgehost product is dat een normaal model, maar samen met de controle krijgt de eigenaar er een productiedienst bij.

CYV is al gehost en wordt als één platform bijgewerkt. De eigenaar koppelt zijn VPS-machines, terwijl de versies van servercomponenten en service-agents centraal worden uitgerold. Je hoeft niet op elke server in te loggen en de update handmatig te herhalen.

Monitoring moet de vraag «wat nu» beantwoorden

CPU-belasting en een groen procesicoon zijn nuttig, maar verklaren op zichzelf niet waarom een bepaalde gebruiker geen verbinding krijgt. In CYV koppelt de diagnose de status van server, inbound, route en abonnement aan elkaar en beschrijft het probleem in gewone taal.

Is de storing al voorbij, dan blijft de geschiedenis van de laatste zeven dagen: wanneer het probleem begon, hoe lang het duurde, of het eerder gebeurde, of er een reparatie liep, of het paneel herstart is en of er een melding uitging. Zo onderscheid je een toevallige netwerkhapering van een structureel probleem bij de hoster.

Meer hierover: monitoring en het controlenetwerk, servermetrieken en routes.

Support hoort bij het product

Een supportverzoek aan CYV stuur je op elk moment rechtstreeks vanuit het paneel. Voor een beginner is dat extra belangrijk: je hoeft niet eerst uit te zoeken welk onderdeel stuk is en in wiens GitHub Issues je moet schrijven. Opensourceprojecten hebben documentatie, communities en chats, maar hulp van de community is niet hetzelfde als een ingebouwd supportkanaal van een dienst.

2. Blokkadebestendigheid, routering en netwerk

CYV helpt om de maskeringssite niet te hoeven raden

VLESS + Reality laat de VPN-verbinding lijken op een gewoon HTTPS-bezoek aan een echte website. Hoe goed de vermomming werkt, hangt af van de gekozen site: die moet TLS 1.3 en HTTP/2 ondersteunen, bereikbaar zijn vanuit het land van de server en snel genoeg antwoorden.

In CYV scant de server zijn eigen netwerkomgeving automatisch en zoekt naburige sites die aan die eisen voldoen. Een nabije site geeft meestal minimale vertraging en een verkeerspatroon dat normaal is voor een datacenter. De gevonden kandidaten verschijnen in het paneel als kant-en-klare suggesties, en het gekozen adres wordt vanaf de node zelf gecontroleerd, niet vanuit de browser van de eigenaar in een ander land.

De scan start bij de installatie en kan op elk moment handmatig worden herhaald. Hoe hij werkt en waarom hij juist op TLS 1.3 + HTTP/2 controleert, legt de les over de maskeringsscanner uit.

Servers kijken van buitenaf naar elkaar

De zelfcontrole ziet dat Xray draait en dat de poort luistert. Ze ziet niet het geval waarin het IP-adres bij de provider van de gebruiker geblokkeerd is: de server vindt zichzelf gezond, maar van buitenaf bereikt niemand hem.

Daarom vormen de CYV-servers een controlenetwerk. Elke node controleert de andere servers en hun inbounds, en de beslissing volgt niet uit één toevallige time-out, maar uit een aanhoudende reeks mislukkingen en de stemmen van meerdere onafhankelijke controleurs. Een server in het land van je klanten kun je als vertrouwde controleur markeren: zijn blik komt dichter bij het echte gebruikersnetwerk.

Is de blokkade bevestigd, dan krijgt de eigenaar een e-mail en wordt de betreffende inbound niet meer uitgedeeld zolang dezelfde route nog een gezond toegangspunt heeft. Bij de volgende vernieuwing van het abonnement stapt de gebruiker over op een werkende server zonder een nieuwe link te krijgen. Het systeem belooft niet elk netwerk ter wereld te zien: de controle toont de blik van jouw servers, en juist daarom is een controleur in het juiste land zo nuttig.

Een route is een stabiele regel, niet één bepaalde server

In de app van de gebruiker ziet een route eruit als één locatie. Daarbinnen kunnen meerdere inbounds op verschillende servers zitten.

CYV verdeelt gebruikers over de servers. Het paneel bepaalt welke server op dit moment het minst belast is en stuurt de volgende gebruiker daarheen: de belasting wordt gemeten als vrije bandbreedte per verbonden gebruiker, dus een zwakke, drukke machine krijgt er geen nieuwe mensen bij. Er is ook eenvoudige verdeling om de beurt met coëfficiënten, voor als servers in kracht verschillen en je de verhouding met de hand wilt instellen.

Valt één server uit, dan blijft de route bestaan. Blijft er helemaal geen gezonde inbound over, dan verdwijnt de lege regel tijdelijk uit het abonnement en komt hij na herstel terug. Daardoor wordt het vervangen of repareren van één VPS geen verzendactie met nieuwe configuraties naar je hele publiek.

Voor complexere topologieën is er multi-hop: de gebruiker komt binnen via een server in het ene land en gaat het internet op via een ander. De keten wordt in het paneel samengesteld, zonder de Xray-configuratie met de hand te bewerken.

Split tunneling bereikt apps en routers

In CYV bepaal je welke domeinen, sitecategorieën en landen via de VPN gaan en welke rechtstreeks. De waarden geosite en geoip worden vóór het opslaan tegen een catalogus gecontroleerd: een typfout komt niet in de configuratie terecht en houdt de app van de gebruiker niet tegen bij het starten.

Kant-en-klare regels kun je importeren uit Clash, sing-box, Xray of een gewone lijst. De bron wordt maandelijks ververst, en een mogelijk gevaarlijke uitbreiding van de regels, die te veel verkeer buiten de VPN om zou sturen, vraagt om een nieuwe controle door de eigenaar.

Dezelfde regels krijgen compatibele apps en thuisrouters met OpenWrt en Nikki. Daarnaast kun je op de server torrent- en advertentieblokkering aanzetten: die omzeilt de gebruiker niet door zijn lokale configuratie aan te passen. Een goed beginpunt zijn de lessen over inbounds en het koppelen van OpenWrt.

OLCRTC is de reserveweg voor witte lijsten

Laat een netwerk alleen een korte lijst diensten toe, dan komen gewone VPN-protocollen soms helemaal niet tot een verbinding. Voor dat geval heeft CYV het experimentele noodprotocol OLCRTC.

De gebruiker maakt een verse videovergadering aan in een ondersteunde dienst, geeft de link door via de klantomgeving of per e-mail en krijgt een tijdelijke verbinding. Voor het beperkende netwerk lijkt het verkeer op deelname aan een toegestane videoconferentie. OLCRTC is langzamer dan een gewone VPN en hangt af van de beschikbaarheid van de videodienst, dus het is een reddingsboei en geen hoofdtransport. Bereid het liever vooraf voor volgens de instructies voor noodtoegang.

3. Gebruikers, winkel en geld

Niet alleen een link, maar een klantomgeving

Een abonnementslink en een QR-code bestaan in meerdere producten, en de tabel geeft dat eerlijk aan. Het verschil bij CYV is dat rond die link al de hele gebruikersreis is gebouwd.

De klant logt in met een eenmalige code uit zijn e-mail en ziet:

• zijn abonnement en de QR-code;
• installatieknoppen voor apps en instructies;
• looptijd, verkeer en status van de toegang;
• tarieven en een betaalknop;
• de supportcontacten van jouw dienst;
• de link en instructies voor OpenWrt met Nikki;
• noodtoegang, als die aanstaat.

De winkel kun je als PWA op het startscherm van de telefoon zetten, met je eigen naam en pictogram. Verandert er een server, route of regel, dan krijgt de gebruiker geen nieuw bestand: de app haalt de update via hetzelfde abonnement op. Dit staat uitgebreider in de lessen over gebruikers en aanpassen van de winkel.

Een apparaatlimiet die je kunt uitleggen en beheren

Een limiet van «één verbinding» wordt vaak een raadselachtige weigering, zonder informatie over welk apparaat de plek bezet. In CYV heeft de gebruiker apparaatplekken, en ziet de eigenaar de bezette plekken, het tijdstip van het laatste verzoek en een teller van weigeringen over 24 uur. Een inactieve plek komt na 14 dagen vrij; zo nodig maakt de eigenaar plekken handmatig leeg.

Lekt de link uit, dan kan de gebruiker hem zelf opnieuw laten uitgeven vanuit zijn omgeving, binnen een frequentielimiet. Het oude geheim en de oude sleutels werken niet meer, en de gebeurtenis blijft in het beveiligingslogboek staan. De eigenaar hoeft de klant niet op te zoeken en de handeling niet voor hem uit te voeren.

Remnawave ondersteunt ook HWID-beperkingen, daarom staat daar een ✅ in de regel over apparaatcontrole. Het is een voorbeeld van een vergelijkbare functie die producten verschillend oplossen.

De winkel wordt een dienst onder jouw merk

Op het basisniveau geeft CYV al de klantomgeving. Het Max-tarief voegt een publieke landingspagina, eigen domeinen en het volledige verkoopproces toe. Het logo wordt automatisch gebruikt als favicon, PWA-pictogram en afbeelding voor sociale netwerken; kleuren, naam en supportcontacten stelt de eigenaar in.

De winkel heeft drie aparte adressen: landingspagina, klantomgeving en abonnementen. Ze kunnen op verschillende domeinen staan, zodat een blokkade van de publieke pagina niet automatisch ook het inloggen van gebruikers en het bijwerken van configuraties meesleept. De klant ziet het merk van de eigenaar en niet CreateYourVPN, inclusief de interface van de klantomgeving en de e-mails.

Een betaling wordt meteen toegang

In CYV is een tarief een looptijd, een hoeveelheid verkeer, een apparaatlimiet, een prijs en registratieregels. Je kunt het handmatig toekennen of verkopen via een gekoppelde betaalprovider. Na een geverifieerde webhook vindt het systeem de gebruiker zelf, activeert of verlengt de toegang en voorkomt dat dezelfde betaling twee keer wordt toegekend.

Het geld gaat rechtstreeks naar de rekening van de eigenaar bij de provider; CYV treedt niet op als verkoper en houdt geen commissie op de omzet in. Het betaallogboek toont verwerkte gebeurtenissen, fouten en betalingen «zonder koppeling». Die laatste koppel je handmatig aan een gebruiker en een tarief, waarna de volgende betaling automatisch wordt herkend.

Het hele traject staat in drie lessen: tarieven, monetisatie en betaling van het platform.

4. Automatisering, integraties en behoud van gegevens

Met MCP bestuur je de infrastructuur in gesprek

3x-ui, Remnawave en CYV hebben alle drie een API, dus alle drie kun je aan je eigen automatisering koppelen. Bij CYV draait bovenop de Partner API al een externe MCP-server: een compatibele AI-assistent krijgt geen kale HTTP-API, maar begrijpelijke gereedschappen voor servers, inbounds, routes, gebruikers, diagnose en documentatie.

De koppeling loopt via OAuth. De eigenaar kiest het niveau: alleen bekijken, bekijken en instellen, of volledige toegang. Rechten worden bij elke aanroep gecontroleerd, riskante verwijderingen zijn bovendien beschermd met een code per e-mail, en de koppeling kun je vanuit het paneel intrekken. Het actielogboek laat zien welk gereedschap is aangeroepen en hoe de handeling afliep; geheimen en volledige e-mailadressen komen er niet in.

Je kunt ChatGPT, Claude, DeepSeek en andere MCP-clients koppelen. De architectuur en de grenzen van de toegang staan in de les over MCP, en een praktisch voorbeeld in de DeepSeek-gids. Voor gewone integraties is er het overzicht van de Partner API.

De back-up vertrekt al versleuteld naar de opslag van de eigenaar

Een back-up bewaart de gebruikers, hun looptijden, limieten, abonnementstokens en verbindingssleutels. CYV versleutelt het bestand vóór het uploaden en zet het in de Google Drive of de S3-compatibele opslag van de eigenaar: AWS S3, Cloudflare R2, Backblaze B2, Wasabi en andere.

De kopie kun je terugzetten in een CYV-cluster of in een schoon compatibel paneel. Dat is een principieel punt: de back-up blijft ook buiten het platform bruikbaar, en de al ingestelde apps van gebruikers kunnen na het terugzetten blijven werken. Frequentie en bewaartermijn bepaalt de eigenaar; details staan in de les over back-ups en de back-upinstructies.

In het Pro-tarief is ook de masterwissel van het cluster beschikbaar. De besturende rol verhuist naar een andere node zonder dat de abonnementslinks van gebruikers vervangen worden. In plaats van een handmatige noodmigratie krijg je een gecontroleerde handeling met voorcontroles en terugrol; meer daarover in de les over clusters.

5. Controleerbare beveiliging en privacy

Niet «vertrouw ons», maar beweringen die je kunt weerleggen

CYV publiceert een beveiligingsrapport. Het bestaat niet uit algemene beloften, maar uit genummerde beweringen: wat er met het eerste VPS-wachtwoord gebeurt, welke gegevens in logboeken terechtkomen, hoe accounts gescheiden zijn en wat er op de server wordt geïnstalleerd.

Daarnaast staan de bekende beperkingen. Een onderzoeker kan niet alleen een klassieke kwetsbaarheid vinden, maar ook bewijzen dat een van de beweringen uit het rapport onjuist is. Daarvoor bestaat een eigen bug bounty-programma. Bevestigde bevindingen en oplossingen komen in een openbaar logboek, en de melders in de Hall of Fame.

Die vorm is belangrijk voor een beheerd platform: een deel van het werk gebeurt automatisch, dus vertrouwen moet steunen op controleerbare technische beloften en op een geschiedenis van reageren op fouten.

Minimale logboeken

Op de VPN-servers wordt het toegangslogboek van Xray bij elke uitrol van de configuratie geforceerd uitgezet: de adressen die gebruikers bezoeken worden niet vastgelegd. Systeemlogboeken van de VPS worden een uur bewaard, de belastingsgeschiedenis 24 uur, en geanonimiseerde infrastructuurincidenten en diagnoseresultaten tot zeven dagen.

Een algemeen overzicht van deze principes staat in het beveiligingscentrum van CYV.

Wat het werkelijk kost

3x-ui, Amnezia Self-hosted en Remnawave kun je gratis gebruiken: dat is een van hun belangrijke voordelen. Maar een licentieprijs van nul maakt het beheer niet gratis. In de rekening zitten nog steeds de VPS voor het paneel, domeinen, back-ups, monitoring en vooral de tijd van de persoon die het systeem bijwerkt en op storingen reageert.

CYV kent geen abonnement per server. De eerste gebruiker is gratis; daarna kies je tussen € 0,10 per maand per gebruiker in de database of € 0,20 alleen voor een gebruiker die in de laatste 24 uur verbinding maakte. Pro kost € 0,99 per maand en voegt back-ups, OLCRTC en de masterwissel toe. Max kost € 4,99 per maand, bevat Pro en ontsluit de landingspagina, eigen domeinen, tarieven en verkoop.

De zinvolle vergelijking is dus niet «€ 0 tegen € 0,10», maar twee manieren van betalen: met je eigen tijd voor handmatig beheer, of met een klein voorspelbaar bedrag voor automatisering. Het actuele afschrijvingsmodel, de proefperiode en het gedrag van het saldo staan uitgebreid in de les over betaling.

Wat van jou blijft

CYV verkoopt geen kant-en-klare gedeelde VPN en neemt de infrastructuur niet over. De VPS'en huur je bij de hosters die je zelf kiest, de domeinen zijn van jou, betalingen van klanten gaan rechtstreeks naar jouw provider en de back-ups staan in jouw Google Drive of S3.

De gebruikersdatabase kun je regelmatig in je eigen opslag bewaren en vanuit een kopie buiten CYV terugzetten. Dat is niet alleen een noodfunctie, maar ook het antwoord op de vraag naar afhankelijkheid van het platform: de automatisering komt van de dienst, de belangrijkste bezittingen blijven van de eigenaar.

Voor wie is welke optie

3x-ui past bij wie een gratis, veelzijdig paneel wil met veel protocollen en elke instelling zelf wil beheren. Het heeft abonnementen, een REST API, multi-node, back-ups en bots voor beheerders.

Amnezia Self-hosted is een sterke optie voor een persoonlijke VPN op één VPS. De installatie verloopt zonder terminal, er zijn meerdere protocollen, en toegang deel je met naasten via sleutel, bestand of QR-code.

Remnawave is bedoeld voor de ervaren beheerder die een modern zelfgehost paneel wil, met meerdere nodes, flexibele Xray-profielen, een API, metrieken en een abonnementspagina met eigen merk.

CYV kies je wanneer niet het maximale aantal handmatige instellingen telt, maar een afgerond resultaat: servers veilig koppelen, ze automatisch draaiende houden, blokkades opmerken, mensen een prettige klantomgeving geven en er desgewenst een dienst onder je eigen merk van maken.

Veelgestelde vragen

Is CYV geschikt voor één persoonlijke VPN?

Ja. Je kunt in de vereenvoudigde modus met één server blijven en de zakelijke functies nooit aanzetten. De eerste gebruiker is gratis, dus voor persoonlijk gebruik betaal je alleen de huur van je VPS. Komen er later naasten of klanten bij, dan hoeft er niets opnieuw te worden opgebouwd.

Moet ik Linux kunnen beheren?

Nee. Voor de eerste start volstaat het om een geschikte VPS te huren en de verbindingsgegevens in de wizard in te vullen. CYV bereidt het besturingssysteem zelf voor en installeert de benodigde componenten. De terminal blijft beschikbaar voor de eigenaar, maar is niet de gebruikelijke manier van beheren.

Vervangt CYV een hostingprovider?

Nee. De VPS huur je rechtstreeks bij een geschikte provider, en CYV koppelt en beheert hem als VPN-server. De factuur voor de VPS betaal je apart aan de hoster.

Wat gebeurt er als een server geblokkeerd wordt?

Je andere servers merken de aanhoudende onbereikbaarheid, en een vertrouwde controleur helpt de richting van de blokkade te bepalen. CYV waarschuwt de eigenaar en deelt een bevestigd geblokkeerde inbound niet meer uit als de route een gezond alternatief heeft. Voor netwerken met witte lijsten is er het aparte noodscenario OLCRTC.

Moet ik een eigen VPN-app ontwikkelen?

Nee. Gebruikers verbinden met standaardapps: Happ, Streisand, v2rayN, v2rayNG, Hiddify en andere. De klantomgeving toont de passende app en geeft de link of QR-code. Begin bijvoorbeeld met de Happ-gids.

Registreert CYV welke sites gebruikers bezoeken?

Nee. Het toegangslogboek van Xray staat op de gekoppelde servers geforceerd uit. Het platform bewaart alleen beperkte technische telemetrie die nodig is voor de gezondheid van servers, diagnose en beveiliging; de bewaartermijnen staan in het rapport.

Kan ik mijn eigen bot of CRM aan CYV koppelen?

Ja. Voor gewone integraties zijn er de Partner API en een publieke Postman-collectie. Voor AI-assistenten is er MCP met OAuth en instelbare rechten. Met beide automatiseer je het werk zonder je paneelwachtwoord af te geven.

Wat gebeurt er met mijn gebruikers als ik wil vertrekken?

Servers en domeinen blijven van jou. Met Pro exporteer je de versleutelde gebruikersdatabase regelmatig naar je eigen opslag en zet je de kopie daarna terug in een schoon compatibel paneel.

Hoe we vergeleken hebben

We hebben niet alle functies van Xray vergeleken en ook niet het aantal velden in formulieren. Het criterium van dit artikel is wat de eigenaar krijgt als afgerond werkproces: installatie, beveiliging van de VPS, opsporen en herstellen van storingen, reageren op blokkades, toegang bij de gebruiker krijgen, verkoop en automatisering.

Voor de andere producten gebruikten we de officiële materialen die beschikbaar waren op de bijwerkdatum van het artikel:

• documentatie van 3x-ui en de onderdelen over installatie en abonnementen;
• documentatie van Amnezia over het opzetten van de Self-hosted VPN en het delen van toegang;
• documentatie van Remnawave over de eerste installatie, de omgevingsvariabelen en het officiële sjabloon van de abonnementspagina.

Producten ontwikkelen zich, dus de tabellen leggen de stand op de genoemde datum vast. Verschijnt er in de officiële uitgave van een concurrent een vergelijkbare ingebouwde functie, dan hoort de vergelijking te worden bijgewerkt.