De VPN in je firewall: Fortinet, Sophos, WatchGuard en DrayTek
De meeste firewalls voor kmo’s hebben een ingebouwde VPN. Met die VPN in je firewall verbind je vestigingen met elkaar en geef je thuiswerkers toegang op afstand. Fortinet, Sophos, WatchGuard en DrayTek bieden elk een site-to-site VPN met IPsec en een client voor laptops en gsm’s. De verschillen zitten in de ondersteunde protocollen, het aantal gelijktijdige verbindingen per model, de licenties en de manier van aanmelden. Deze gids legt uit wat je firewall waarschijnlijk al kan, en welke vragen je aan je integrator stelt voor je iets nieuws koopt.
Of: waarom de VPN die je zoekt misschien al in de serverkast hangt
Veel kmo’s hebben een firewall in de serverkast, geplaatst door een integrator, met een jaarlijks contract. Wie een VPN tussen kantoren of voor thuiswerkers zoekt, kijkt dus best eerst daar. Een firewall bewaakt het verkeer tussen je netwerk en het internet, en de meeste modellen voor kleine bedrijven hebben er een VPN-functie bij.
Kort: je firewall kan waarschijnlijk vestigingen verbinden en thuiswerkers binnenlaten. De vraag is niet of hij het kan, maar met welk protocol, met welke client, voor hoeveel mensen tegelijk, en wie het beheert.
VPN op je firewall: wat er al in zit
Twee taken voor hetzelfde toestel
Een firewall met VPN-functie doet twee dingen die weinig met elkaar te maken hebben.
- Vestigingen verbinden. Een tunnel tussen twee firewalls, of tussen een firewall en een netwerk in de cloud. Dat gebeurt bijna altijd met IPsec, een standaard, zodat ook twee verschillende merken met elkaar kunnen praten.
- Thuiswerkers binnenlaten. Elke laptop of gsm maakt zelf een tunnel naar de firewall, met een client. Hier lopen de merken meer uiteen: IPsec met IKEv2, SSL-VPN, en bij sommige ook WireGuard of OpenVPN.
Een middeleeuwse stad had een stadsmuur met poorten. De muur hield buiten wat buiten moest blijven, de poort liet binnen wie mocht. Een firewall is de muur, de VPN de poort met de ophaalbrug. Het is hetzelfde bouwwerk, maar de poort is waar de wachters staan, en waar je het meest op let.
Vier merken naast elkaar
In alfabetische volgorde, met wat de fabrikanten zelf vermelden:
| Merk | Vestigingen verbinden | Thuiswerkers | Client |
|---|---|---|---|
| DrayTek (Vigor-routers) | LAN-to-LAN-VPN | IPsec, IKEv2, OpenVPN, WireGuard, SSL-VPN en andere | Smart VPN Client, gratis |
| Fortinet (FortiGate) | IPsec | IPsec; de tunnelmodus van SSL-VPN verdween in FortiOS 7.6.3 | FortiClient, met een gratis VPN-versie |
| Sophos (Sophos Firewall) | IPsec | IPsec en SSL-VPN | Sophos Connect voor Windows en macOS |
| WatchGuard (Firebox) | Branch Office VPN | onder meer Mobile VPN met IKEv2 | ingebouwde client van Windows, macOS en iOS; op Android de app strongSwan |
Een paar details die tellen:
- DrayTek somt op de pagina van zijn Smart VPN Client de protocollen per besturingssysteem op; de Windows-versie 5.7.3 ondersteunt er acht. Op dezelfde site staat per router het aantal gelijktijdige VPN-verbindingen: 2 bij sommige kleine modellen, 16 bij andere.
- Fortinet verving in april 2025 de tunnelmodus van zijn SSL-VPN door IPsec, op alle FortiGate-modellen. De webmodus heet sindsdien Agentless VPN, en is op een aantal kleine modellen helemaal verdwenen.
- Sophos documenteert Sophos Connect als client voor Windows en macOS; de gegevens van de verbinding stelt de beheerder van de firewall in.
- WatchGuard ondersteunt Mobile VPN met IKEv2 sinds Fireware 12.1, met de ingebouwde clients van Windows, macOS en iOS.
Wat het kost
Bedragen geven we niet: firewalls voor kmo’s worden meestal via een integrator verkocht, met een prijs die afhangt van het model, de licenties en het contract. De VPN-functie zelf zit doorgaans in het toestel. Wat je erbij betaalt, zijn licenties voor beveiligingsdiensten, ondersteuning, en bij sommige merken de beheerde versie van de client. Vraag je integrator wat er in je contract zit, en wat niet.
Kmo-Kristof: Onze integrator zegt dat de VPN al in de firewall zit.
Security-Sofie: Dat klopt meestal. Staat hij aan?
Kmo-Kristof: Dat heb ik niet gevraagd.
Security-Sofie: Dan weet je dat je een reservewiel hebt. Niet of er lucht in zit.
Zes vragen voor je integrator
- Welke VPN gebruiken we nu, en met welk protocol: SSL-VPN of IPsec met IKEv2?
- Welke firmwareversie draait de firewall, en wanneer volgt de volgende update?
- Hoeveel gelijktijdige VPN-verbindingen kan ons model aan, en hoeveel gebruiken we?
- Hoe meldt een thuiswerker zich aan: met alleen een wachtwoord, of met tweestapsverificatie?
- Wie maakt accounts aan, en wie sluit ze af als iemand vertrekt?
- Worden de aanmeldingen bijgehouden, en hoe lang?
De laatste drie vragen gaan over de beveiliging van de VPN zelf. Die krijgt in dit dossier een eigen gids, want een VPN-poort op een firewall is ook de deur die aanvallers het eerst proberen.
Twee voorbeelden. Een advocatenkantoor met vijf mensen en een DrayTek-router gebruikt de LAN-to-LAN-functie voor een tweede kantoor en de Smart VPN Client voor de vennoten. Een groothandel met een FortiGate bij een integrator geeft dertig mensen toegang via FortiClient, en verbindt het magazijn met een IPsec-tunnel.
De client op de laptop van de thuiswerker
Werk je met een FortiGate, dan krijgen je thuiswerkers FortiClient. Wat ze moeten weten, staat bij FortiClient VPN installeren en gebruiken.
Het einde van een protocol
Het schrappen van de SSL-VPN-tunnel bij Fortinet staat niet op zich. Wat erachter zit, lees je bij waarom SSL-VPN plaatsmaakt voor IPsec.
Of toch zonder eigen toestel
Heb je geen firewall, of wil je er niet afhangen, dan bestaan er diensten die de VPN vanuit de cloud leveren. Zie een VPN-dienst zonder eigen toestel.