Zakelijke VPN voor kmo's en zelfstandigen: kiezen, instellen en beveiligen

Of: waarom één woord voor twee heel verschillende gangen staat

Wie als zelfstandige of zaakvoerder het woord VPN hoort, hoort het meestal uit twee hoeken tegelijk. Reclame op YouTube belooft privacy, vrijheid en een veilig gevoel op elke wifi. De IT-partner zegt dat de thuiswerkers „via de VPN” op de server moeten. Het zijn dezelfde drie letters, en het zijn twee verschillende producten. Wie dat niet uit elkaar houdt, koopt het ene terwijl hij het andere nodig had, of denkt beschermd te zijn tegen dingen waar geen van beide iets aan doet.

Een VPN voor je bedrijf: twee gangen met dezelfde naam

Een virtueel privénetwerk is in de kern eenvoudig: je toestel en een server spreken een sleutel af, en alles wat tussen die twee reist, is versleuteld. Wie onderweg meekijkt, op de wifi van een hotel, bij je internetprovider of op het netwerk van een coworking, ziet dat er verkeer is, maar niet wat erin zit en niet waar het uiteindelijk heen gaat. Het verschil tussen de twee soorten VPN zit niet in die techniek. Het zit in de vraag waar de server staat, en wie hem beheert.

Even belangrijk is wat een VPN niet is. Het is geen antivirus: een besmette bijlage komt net zo goed door de versleutelde verbinding. Het is geen firewall: wat je toestel zelf openzet, blijft open. En het is geen bescherming van je accounts: wie je wachtwoord van Microsoft 365 heeft, logt in van waar hij wil, met of zonder VPN. Voor veel kleine zaken leveren tweestapsverificatie en updates meer veiligheid op dan welk VPN-abonnement ook. Dat maakt een VPN niet overbodig. Het betekent dat je hem koopt voor een precieze taak, en niet als algemeen gevoel van veiligheid.

Een afgesloten gang, en wat er aan het einde staat

Denk aan een afgesloten gang onder de straat. Wie bovengronds wandelt, ziet je niet passeren. Dat is de versleuteling, en die werkt bij elke VPN op dezelfde manier. Wat telt, is waar de gang uitkomt.

• De privacydienst. De gang loopt van je laptop naar een gebouw van de VPN-aanbieder. Daar ga je weer de straat op, met het adres van dat gebouw in plaats van het jouwe. De websites die je bezoekt, zien de aanbieder, niet jou.
• De zakelijke VPN. De gang loopt van de laptop van je thuiswerker naar je eigen kantoor, of naar de firewall die ervoor staat. Daar komt hij binnen bij de server, de boekhouding en de printer, alsof hij aan zijn bureau zat.

Duw het beeld één stap verder. Wie aan het einde van de gang staat, ziet iedereen die eruit komt. Bij een privacydienst is dat de aanbieder: je verplaatst je vertrouwen van je internetprovider naar hem. Bij een zakelijke VPN ben jij het, of je IT-partner. En geen van beide gangen helpt als je zelf, eenmaal binnen, op een valse link klikt.

Kmo-Kristof: We hebben nu een VPN. Ik heb er een abonnement op genomen na een filmpje op YouTube.

Security-Sofie: Mooi. Kunnen je mensen er thuis mee op de server?

Kmo-Kristof: Nee, daarvoor moeten ze nog altijd naar kantoor komen.

Security-Sofie: Dan heb je een gang gekocht die naar Zwitserland loopt. Je kantoor staat in Aalst.

Hoe die techniek stap voor stap werkt, wanneer je er een nodig hebt en waar de bescherming stopt, staat in de gids over wat een VPN wel en niet doet. Begin daar als je twijfelt welke van de twee je zoekt: de rest van deze gids volgt die splitsing.

Een dienst kiezen zonder op de reclame te varen

Over VPN’s lees je vooral reclame. De lijstjes met „de beste VPN” zijn vaak geschreven door sites die per verkocht abonnement betaald worden. Kiezen gaat beter met een paar nuchtere vragen: waar zit de aanbieder, wie heeft zijn belofte gecontroleerd, hoeveel toestellen mag je verbinden, kun je een team beheren, en wat kost het na het eerste jaar. De criteria en de prijzen staan in de gids over de juiste VPN voor je zaak.

Gratis, met kleine lettertjes

Een VPN-server kost geld: bandbreedte, machines, mensen. Een gratis VPN betaalt dat dus op een andere manier. Soms is het een beperkte versie van een betalende dienst, wat een eerlijke ruil is. Soms is het reclame, of iets wat je liever niet weet. Daarnaast zijn er diensten die op een VPN lijken zonder er een te zijn: de VPN in je browser, Cloudflare WARP, iCloud Private Relay. Wat ze elk doen en wat ze kosten, lees je bij de gratis VPN-diensten.

Wie er aan het einde van de gang staat

Elke privacydienst belooft dat hij niets bijhoudt. Dat is een belofte, geen eigenschap van de techniek. Wat je wel kunt nagaan: of een onafhankelijk auditbureau die belofte heeft gecontroleerd, in welk land de aanbieder zit en welke wetten daar gelden, en welke groep er eigenaar van is. Voor een zakelijke VPN draait de vraag om: dan ben jij degene die logboeken van je medewerkers bijhoudt, en valt dat onder de GDPR. Beide kanten staan in de gids over vertrouwen in je VPN-dienst.

De gang naar je eigen kantoor

Voor de meeste kmo’s begint de echte VPN-vraag bij het thuiswerk. Moet een thuiswerker via een VPN binnen, of via remote desktop, of staat alles al in Microsoft 365 en heeft hij er geen nodig? En wat zet je op papier over de werklaptop, het gezinswifi en de printer in de living? De afwegingen staan in de gids over veilig thuiswerken met een VPN.

Zelf een gang graven

Wie een server, een NAS of een camerasysteem op kantoor heeft, kan zijn eigen VPN-server opzetten. Veel routers kunnen het al, net als een Synology-NAS of een Raspberry Pi van een paar tientjes. Het werk zit in de details: een poort openzetten bij je provider, een vast adres of DynDNS, en de vraag of je provider je wel een eigen publiek IP-adres geeft. Diensten als Tailscale omzeilen dat deels. De keuzes staan in de gids over zelf een VPN opzetten.

Als je meer dan één gebouw hebt

Een tweede vestiging, een magazijn, servers in Azure: dan verbind je niet langer personen met een netwerk, maar netwerken met elkaar. Daar horen site-to-site-VPN’s bij, de VPN in je firewall, SD-WAN, en zero trust, het idee dat niemand binnen het netwerk vanzelf te vertrouwen is. Het NIST, het Amerikaanse standaardeninstituut, beschreef die aanpak in 2020 in een referentiedocument dat nog altijd het vertrekpunt is. Wat dat voor een kmo betekent, staat bij vestigingen koppelen via VPN.

De deur aan het einde van de gang

Een zakelijke VPN is per definitie een deur naar je netwerk die openstaat naar het internet. Aanvallers weten dat. De lijst met actief misbruikte lekken van het Amerikaanse cyberagentschap CISA bevat keer op keer VPN-toestellen en firewalls van grote merken. Voor een kmo komt de verdediging neer op een paar saaie gewoontes: updates installeren zodra ze er zijn, tweestapsverificatie op elke account, oude accounts opruimen en de logboeken bewaren. Wie onder de Belgische NIS2-wet valt, moet er ook over rapporteren. De maatregelen staan in de gids over je VPN beveiligen.

Instellen, en als het hapert

Een VPN-app installeren is meestal een kwestie van minuten. Een profiel van je werkgever op een iPhone zetten, kiezen tussen WireGuard en OpenVPN, of begrijpen waarom de verbinding op de hotelwifi niet tot stand komt, vraagt iets meer. Per toestel en per probleem staat het uitgelegd in de gids over je VPN configureren.

Op de wifi van een ander

Onderweg is de plek waar een VPN het vaakst wordt aangeraden, en waar de reden het vaakst overdreven wordt. Bijna alle websites gebruiken vandaag HTTPS, waardoor een hotelnetwerk de inhoud van je verkeer al niet ziet. Een VPN blijft nuttig tegen valse hotspots, voor wat HTTPS niet verbergt, en om veilig bij het kantoornetwerk te komen. Op reis buiten de EU komen daar regels bij: sommige landen beperken VPN’s. Wat telt op een terras, in een hotel of op zakenreis, lees je bij veilig onderweg werken.

Waar begin je?

1. Bepaal welke gang je zoekt. Privacy op andermans wifi, toegang tot je eigen netwerk, of allebei.
2. Kijk wat er al is. Veel firewalls en routers hebben een VPN aan boord, en je antiviruspakket bevat misschien al een privacydienst.
3. Zet tweestapsverificatie aan op elke VPN-account, zakelijk of niet.
4. Lees wie er aan het einde van de gang staat: de aanbieder, zijn land, zijn audits, of je eigen IT-partner.

Voor een team dat een beheerde privacydienst zoekt, met accounts per medewerker en een Europese aanbieder, is Proton VPN for Business een van de opties. Proton is gevestigd in Genève, valt onder Zwitsers recht en laat zijn no-logs-beleid door een extern bureau controleren. Het staat hier omdat het aan die criteria voldoet; keek.be ontvangt een commissie als je via de knop een abonnement neemt, en de andere opties staan in de gids over het kiezen.