Virtual private network

Een virtual private network (VPN) is een technologie die een versleutelde verbinding creert over een bestaand netwerk, zoals het internet. Door alle dataverkeer door een versleutelde tunnel te leiden, beschermt een VPN de vertrouwelijkheid en integriteit van communicatie tussen twee punten. Organisaties gebruiken VPN's om medewerkers veilig toegang te geven tot bedrijfsnetwerken vanuit externe locaties, kantoren onderling te verbinden en gevoelige communicatie te beschermen tegen afluisteren. De technologie is een kerncomponent van veilig thuiswerken en remote access-strategieen.

Het principe achter VPN is relatief eenvoudig: je verkeer wordt versleuteld voordat het je apparaat verlaat, verstuurd via een beveiligde tunnel naar een VPN-server en daar ontsleuteld voordat het naar de bestemming wordt doorgestuurd. Hierdoor kunnen derden zoals internetproviders, aanvallers op publieke wifi-netwerken en andere tussenpersonen je verkeer niet meelezen. Een VPN verbergt ook je werkelijke IP-adres, wat een extra laag privacy biedt. Voor organisaties gaat het echter primair om de beveiligde toegang tot interne systemen en niet om anonimiteit. De combinatie van encryptie en authenticatie maakt VPN tot een essentieel onderdeel van de netwerkbeveiliging.

Hoe werkt een VPN?

Een VPN maakt gebruik van tunneling-protocollen om een beveiligd kanaal over een onbeveiligd netwerk te creeren. De meest gebruikte protocollen zijn OpenVPN, WireGuard, IKEv2/IPsec en L2TP/IPsec. OpenVPN is een bewezen open-source protocol dat sterke encryptie biedt via AES-256 en breed wordt ondersteund. WireGuard is een moderner protocol met minder code, hogere snelheden en eenvoudiger configuratie. IKEv2 is populair op mobiele apparaten vanwege de stabiele verbinding bij netwerkwisselingen.

Bij een site-to-site VPN worden twee netwerken permanent met elkaar verbonden via een versleutelde tunnel, bijvoorbeeld een hoofdkantoor met een vestiging of een datacenter. De VPN-gateways aan beide kanten versleutelen en ontsleutelen het verkeer automatisch. Bij een remote-access VPN maakt een individuele gebruiker verbinding met het bedrijfsnetwerk via VPN-client software op een laptop of smartphone. De gebruiker authenticeert zich, waarna een versleutelde tunnel wordt opgezet.

Moderne VPN-oplossingen integreren aanvullende beveiligingsfuncties. Split tunneling stuurt alleen bedrijfsverkeer door de VPN-tunnel terwijl persoonlijk verkeer direct naar het internet gaat, wat de belasting op de VPN-concentrator vermindert. Kill switches onderbreken automatisch alle internetverbinding wanneer de VPN-tunnel onverwacht wegvalt, zodat er geen onversleuteld verkeer lekt. Multi-factor authenticatie bij het opzetten van de verbinding voorkomt dat gestolen inloggegevens volstaan om toegang te krijgen.

Bij de keuze van een VPN-protocol is het belangrijk om de afweging te maken tussen veiligheid, snelheid en compatibiliteit. WireGuard heeft met slechts 4.000 regels code een veel kleiner aanvalsoppervlak dan OpenVPN met meer dan 100.000 regels. Dit maakt WireGuard eenvoudiger te auditen op kwetsbaarheden. OpenVPN biedt daarentegen meer configuratiemogelijkheden en een langer trackrecord in enterprise-omgevingen. IPsec is diep geintegreerd in de meeste besturingssystemen en netwerkapparatuur, wat het geschikt maakt voor site-to-site verbindingen. Verouderde protocollen zoals PPTP en L2TP zonder IPsec bieden onvoldoende beveiliging en horen niet meer thuis in een professionele omgeving.

Wanneer heb je een VPN nodig?

Een VPN is onmisbaar wanneer medewerkers vanuit externe locaties toegang nodig hebben tot bedrijfsapplicaties en -data. Dit omvat thuiswerken, werken onderweg en toegang vanuit klantlocaties. Sinds de verschuiving naar hybride werken na 2020 is een VPN-oplossing voor vrijwel elke organisatie een basisvoorziening geworden. Ook bij het verbinden van kantoorlocaties onderling, het koppelen van on-premise infrastructuur aan cloudomgevingen en het beheren van systemen op afstand is een VPN de standaard.

Compliancevereisten maken een VPN in veel gevallen verplicht. AVG vereist passende technische maatregelen voor de bescherming van persoonsgegevens bij verwerking op afstand. NIS2 stelt eisen aan de beveiliging van netwerkcommunicatie. PCI-DSS schrijft versleutelde verbindingen voor bij de verwerking van betaalgegevens. Een correct geconfigureerde VPN helpt je aan deze eisen te voldoen.

Er zijn ook scenario's waarin een VPN niet de optimale oplossing is. Voor toegang tot individuele cloudapplicaties is Zero Trust Network Access (ZTNA) vaak een betere keuze, omdat het niet het volledige netwerk openstelt maar alleen de specifieke applicatie. Bij zeer latency-gevoelige toepassingen kan de overhead van VPN-encryptie een nadeel zijn. Evalueer per use case of een VPN de juiste oplossing is of dat alternatieven zoals ZTNA of software-defined perimeters beter passen.

Voordelen en beperkingen van een VPN

De voordelen van een VPN zijn helder: versleuteling van data in transit, bescherming tegen afluisteren op onveilige netwerken, veilige remote access voor medewerkers en de mogelijkheid om geografisch verspreide locaties te verbinden. Een VPN is een bewezen technologie met brede ondersteuning in hardware en software, en de implementatiekosten zijn relatief laag. Vergelijk beschikbare oplossingen via VPN & Secure Remote Access.

Er zijn ook beperkingen waarmee je rekening moet houden. Een VPN versleutelt het transport maar inspecteert niet de inhoud van het verkeer: malware die via de VPN-tunnel binnenkomt, wordt niet gestopt door de VPN zelf. De VPN-concentrator kan een single point of failure worden als er geen redundantie is ingericht. Bij veel gelijktijdige verbindingen kan de performance onder druk komen te staan. Daarnaast biedt een traditionele VPN brede netwerktoegang, wat haaks staat op het Zero Trust-principe van minimale rechten per applicatie.

Een VPN-verbinding is bovendien een interessant doelwit voor aanvallers. Kwetsbaarheden in VPN-appliances worden actief geexploiteerd door statelijke actoren en cybercriminelen. Het is essentieel om VPN-hardware en -software up-to-date te houden, sterke authenticatie af te dwingen en VPN-logs actief te monitoren op verdachte patronen. De combinatie van VPN met netwerksegmentatie beperkt de schade wanneer een VPN-account toch gecompromitteerd wordt.

Veelgestelde vragen over VPN

Is een gratis VPN veilig voor zakelijk gebruik?

Nee, gratis VPN-diensten zijn niet geschikt voor zakelijk gebruik. Ze financieren hun service vaak door gebruikersdata te verkopen, bieden beperkte encryptie en geven geen garanties over beschikbaarheid of privacy. Gebruik voor zakelijke doeleinden altijd een enterprise VPN-oplossing met sterke encryptie en contractuele garanties.

Wat is het verschil tussen een VPN en ZTNA?

Een VPN geeft na authenticatie brede toegang tot het volledige netwerk. ZTNA verleent alleen toegang tot specifieke applicaties op basis van identiteit, devicestatus en context. ZTNA biedt fijnmaziger controle maar is complexer te implementeren. Veel organisaties combineren beide technologieen tijdens hun migratie naar Zero Trust.

Vertraagt een VPN mijn internetverbinding?

Ja, een VPN introduceert enige latency door de encryptie en de extra route via de VPN-server. Met moderne protocollen zoals WireGuard is deze vertraging minimaal, doorgaans minder dan 10-15% snelheidsverlies. Voor de meeste zakelijke toepassingen is dit niet merkbaar.

Hoe beveilig je een VPN tegen aanvallen?

Implementeer multi-factor authenticatie, houd VPN-software en -firmware actueel, beperk toegang tot noodzakelijke netwerksegmenten, monitor VPN-logs actief en implementeer een kill switch. Gebruik sterke encryptieprotocollen zoals AES-256 en vermijd verouderde protocollen zoals PPTP.

Hoeveel kost een zakelijke VPN-oplossing?

Kosten varieren van 5 tot 15 euro per gebruiker per maand voor cloud-based VPN-diensten tot eenmalige investeringen van 5.000 tot 50.000 euro voor on-premise VPN-appliances, afhankelijk van het aantal gelijktijdige verbindingen en de gewenste features.

Vergelijk aanbieders van VPN-oplossingen op VPN & Secure Remote Access op IBgidsNL.