Vestigingen en cloud verbinden: site-to-site VPN, firewall en zero trust

13 november 2026 · door Ben · 5 min leestijd

Een VPN voor je bedrijfsnetwerk verbindt de plekken waar je zaak werkt: twee of drie vestigingen, de servers in Azure of AWS, en de laptops van wie thuis of onderweg werkt. Daarvoor bestaan drie bouwstenen. Een site-to-site VPN koppelt netwerken aan elkaar, meestal met IPsec tussen twee firewalls. Een VPN voor toegang op afstand verbindt één toestel met het netwerk. Zero trust en ZTNA geven toegang per toepassing in plaats van tot het hele netwerk. Deze gids zet de keuzes voor een kmo op een rij, van de VPN in je firewall tot SD-WAN en diensten in de cloud.

Of: waarom je netwerk niet meer ophoudt aan de voordeur van je kantoor

Wie aan een zakelijke VPN denkt, ziet meestal één laptop die verbinding maakt met één kantoor. Voor een kmo met een tweede vestiging, een firewall die een integrator beheert of een server in Azure is dat maar een deel van het verhaal. Een virtueel privénetwerk kan ook twee netwerken aan elkaar koppelen, of een kantoor aan een datacenter in de cloud. En steeds vaker luidt de vraag niet meer hoe je op het netwerk komt, maar hoe je bij die ene toepassing komt.

Je bedrijfsnetwerk verbinden: drie bouwstenen

Denk aan een bedrijf met drie gebouwen in dezelfde stad. Vroeger stond alles in het hoofdgebouw: de server, de printer, het archief. Wie in een ander gebouw werkte, stapte op de fiets of belde. Een VPN bouwt overdekte loopbruggen tussen die gebouwen, zodat je van het ene naar het andere gaat zonder buiten op straat te komen. Die straat is het internet.

Er zijn drie soorten loopbruggen, en ze lossen elk een ander probleem op.

Site-to-site. Een vaste tunnel tussen twee netwerken. De firewall of router op elke plek versleutelt het verkeer, meestal met IPsec. Medewerkers merken er niets van: de printer in Gent staat gewoon in de lijst op de computers in Kortrijk.
Toegang op afstand. Eén toestel maakt een tunnel naar het netwerk van de zaak, met een programma zoals FortiClient of met de VPN-functie van Windows of macOS. Dat is de klassieke VPN van de thuiswerker.
Toegang per toepassing. Geen tunnel naar het hele netwerk, maar een verbinding naar één toepassing, nadat de gebruiker en zijn toestel gecontroleerd zijn. Dat heet ZTNA, en het volgt het idee van zero trust.

Trek het beeld van de loopbruggen door. Een loopbrug is handig, tot je beseft dat wie in het ene gebouw binnen is, meteen ook in het andere binnen is. Dat is de zwakke kant van een klassieke VPN: hij verbindt netwerken, en dus ook hun problemen. Een virus op een laptop in de tweede vestiging ziet dezelfde server als de zaakvoerder. Zero trust draait dat om. Elke deur krijgt een eigen slot, ook binnen in het gebouw.

Kmo-Kristof: We openen een tweede winkel in Brugge. Ik neem voor iedereen een VPN-abonnement.
Security-Sofie: Waarvoor?
Kmo-Kristof: Zodat de kassa in Brugge bij de voorraad in Gent kan.
Security-Sofie: De kassa gaat geen abonnement nemen, Kristof. Die heeft een tunnel tussen twee gebouwen nodig.
Kmo-Kristof: En de mensen?
Security-Sofie: Die merken er niets van. Dat is net de bedoeling.

Vier vragen helpen om te kiezen, nog voor je met een leverancier praat:

Wat moet waar bij kunnen? Een kassa die de voorraad leest, een boekhouder die de server opent, of een thuiswerker die alleen Microsoft 365 gebruikt: dat zijn drie verschillende oplossingen.
Waar staan je toepassingen? Op een server op kantoor, in Azure of AWS, of al helemaal in de cloud.
Wat heb je al? Veel kmo’s hebben een firewall met een VPN-functie die al betaald is, maar nooit is ingesteld.
Wie beheert het? Een integrator, een collega die er verstand van heeft, of niemand. Dat laatste antwoord komt vaker voor dan je denkt, en het telt mee.

Nog één ding vooraf. Een VPN-toestel aan de rand van je netwerk is ook een deur die aanvallers zoeken; hoe je die afschermt, staat in een aparte gids van dit dossier.

Twee kantoren, één netwerk

Een site-to-site VPN maakt van twee vestigingen één netwerk, met een tunnel tussen twee toestellen die dag en nacht openstaat. Wat je daarvoor nodig hebt, waarom de adresreeksen van beide kantoren niet mogen overlappen en hoe het met drie vestigingen gaat, staat bij kantoren rechtstreeks met elkaar verbinden.

Niemand op zijn woord geloven, ook binnen niet

Zero trust is geen product dat je koopt, maar een manier van denken. Het Amerikaanse NIST beschreef het in augustus 2020 in SP 800-207: vertrouwen hangt niet af van de plek in het netwerk. Wat dat voor een zaak van tien mensen betekent, lees je bij het principe van zero trust.

Eén app in plaats van het hele netwerk

ZTNA, voluit zero trust network access, verbindt een gebruiker met één toepassing in plaats van met een heel netwerk. Wanneer dat een klassieke VPN vervangt en wanneer net niet, staat bij toegang per app via ZTNA.

Wat je firewall al kan

De meeste firewalls voor kmo’s hebben een VPN aan boord, voor vestigingen en voor thuiswerkers. Fortinet, Sophos, WatchGuard en DrayTek doen dat elk op hun manier, met een eigen client. Een overzicht, met de vragen voor je integrator, vind je bij de VPN-functies van je firewall.

De thuiswerker en zijn FortiClient

Werkt je werkgever met Fortinet, dan krijg je wellicht FortiClient op je laptop. Installeren, verbinden en de foutmeldingen die het vaakst terugkomen, staan bij verbinden met FortiClient VPN.

Een protocol op zijn retour

SSL-VPN was jarenlang de gewone manier om van buitenaf binnen te komen. Fortinet schrapte de tunnelmodus in april 2025, en het Noorse nationale cybersecuritycentrum raadde al in mei 2024 aan om over te stappen op IPsec met IKEv2. Wat de overstap naar IPsec voor je zaak verandert, lees je daar.

Meerdere lijnen, één netwerk dat zelf kiest

Met drie vestigingen en twee internetlijnen per vestiging wordt het beheer van losse tunnels een dagtaak. SD-WAN beheert ze centraal en kiest per toepassing de beste lijn. Wanneer dat de moeite loont, staat bij SD-WAN voor meerdere vestigingen.

Een tunnel naar de cloud

Staat je boekhoudprogramma of je ERP op een virtuele machine in Azure of AWS, dan kan het kantoor erbij via een site-to-site VPN, zonder dat de server open op internet staat. Hoe dat werkt, welke formule je bij Microsoft kiest en wat ze kost, lees je bij een VPN naar Azure.

Huren of zelf beheren

Een VPN kan in je eigen firewall zitten of als dienst komen, bij Cloudflare, NordLayer, Proton VPN for Business en anderen. Wat elke formule wel en niet doet, staat bij een VPN-dienst in de cloud.