DDoS-aanvallen zijn onder te verdelen in drie brede families: volumetrische floods die je verbinding verzadigen, protocolaanvallen die de connectiestatus uitputten, en aanvallen op applicatieniveau die op legitiem verkeer lijken. Elke vorm put een andere resource uit, dus elke vorm vraagt om een andere verdediging, en geen enkele laag stopt alle drie. Deze gids koppelt de veelvoorkomende aanvalsvormen aan de resource die ze uitputten en de mitigatie die daadwerkelijk werkt, legt uit wat een firewall op de server wel en niet kan tegenhouden, en eindigt met een praktisch incident-response-draaiboek voor wanneer je server onder vuur ligt.

WireGuard is het protocol waarop alle drie de producten zijn gebouwd, dus "WireGuard vs Tailscale" is het verkeerde uitgangspunt. De echte vraag is wie je control plane beheert: Tailscale's SaaS, een self-hosted Headscale, NetBirds volledig open stack, of niemand (kale WireGuard). Deze gids brengt de protocol-vs-control-plane-vs-relay-kaart helder in beeld, vergelijkt de vier op de dimensies waarop je daadwerkelijk kiest, legt uit waarom kernel- en userspace-WireGuard verschillend presteren, en geeft een oordeel vanuit infrastructuurperspectief, inclusief de invalshoek die de vendor-geschreven zoekresultaten negeren: mesh-toegang tot management- en out-of-band-netwerken.

Proxmox VE geeft je twee manieren om een server op te delen: volledige virtuele machines via KVM, en LXC-systeemcontainers die de kernel van de host delen. De juiste keuze per workload is meestal duidelijk zodra je de drie vragen kent die de doorslag geven: isolatie, kernel en migratie. Deze gids legt uit hoe beide daadwerkelijk werken, vergelijkt ze op de dimensies die operationeel tellen, beantwoordt de Docker-vraag met Proxmox' eigen actuele advies, en eindigt met een beslistabel die je per dienst kunt toepassen.

Headscale geeft je de helft van Tailscale die niet open source is: de coordinatieserver. Draai die zelf en de officiële Tailscale-clients (met hun uitstekende NAT-traversal en platformondersteuning) verbinden met infrastructuur die jij beheert, zonder prijs per gebruiker en zonder dat een derde partij de sleutels van jouw netwerk in handen heeft. Deze gids is de praktische doorloop: installeren vanuit de officiële packages, TLS op de simpele manier, gebruikers en ACL's, de ingebouwde DERP-relay op je eigen netwerk, en de eerlijke operationele grenzen van een bewust klein project.