Twee vestigingen als één netwerk: de site-to-site VPN voor een kmo

Of: waarom de printer in Gent opeens ook in Kortrijk staat

Een kmo die een tweede vestiging opent, wil meestal één ding: dat alles werkt zoals in de eerste. Dezelfde server, dezelfde gedeelde mappen, dezelfde kassa- of voorraadsoftware. Wie vestigingen koppelt via VPN, doet dat meestal met een site-to-site tunnel: twee toestellen die over het internet een versleutelde verbinding opzetten met IPsec, en die verbinding openhouden.

Kort: een site-to-site VPN maakt van twee netwerken één netwerk, zonder huurlijn en zonder software op de computers. Je hebt aan elke kant een toestel nodig dat het kan, en wat voorbereiding op papier.

VPN tussen twee kantoren: hoe de verbinding werkt

Buizenpost tussen twee gebouwen

Een computer in Kortrijk wil een bestand openen op de server in Gent. De router of firewall in Kortrijk ziet dat het adres van die server in het andere netwerk ligt. Hij stopt het pakket in een versleutelde envelop en stuurt die over het internet naar het publieke adres van de firewall in Gent. Die opent de envelop en geeft het pakket af aan de server. Voor de computer en de server is er niets bijzonders gebeurd.

Het lijkt op de buizenpost in een oud ziekenhuis. Je stopt een brief in een koker, de koker schiet door de buis, en aan de andere kant haalt iemand hem eruit. Wie langs de buis loopt, ziet kokers voorbijkomen, maar niet wat erin zit. Zo ziet je internetprovider dat er verkeer loopt tussen je twee vestigingen, maar niet wat het is.

Voor de envelop dicht kan, spreken de twee toestellen af hoe ze versleutelen en controleren ze elkaars identiteit. Dat doet het protocol IKEv2, vastgelegd in RFC 7296 van oktober 2014: met een gedeelde geheime sleutel of met certificaten. IKE gebruikt UDP-poort 500, en UDP-poort 4500 als er onderweg adresvertaling (NAT) gebeurt.

Wat je nodig hebt

• Een toestel aan elke kant met VPN-functie. Dat is meestal een firewall, zoals een FortiGate, een Sophos of een WatchGuard, of een zakelijke router zoals een DrayTek, die het een LAN-to-LAN-verbinding noemt. De modem van je internetprovider is daar niet altijd op voorzien.
• Een bereikbaar publiek adres. Minstens één kant moet van buitenaf bereikbaar zijn, liefst met een vast IP-adres. Poorten, DynDNS en providers die je achter gedeelde adressen zetten, komen elders in dit dossier aan bod.
• Adresreeksen die niet overlappen. Gebruiken beide vestigingen 192.168.1.0/24, dan weet de router niet waar 192.168.1.20 staat. Amazon raadt in zijn documentatie over site-to-site VPN hetzelfde aan voor wie een kantoor met de cloud verbindt. Pas één vestiging aan, bijvoorbeeld naar 192.168.20.0/24, voor je de tunnel opzet.
• Dezelfde instellingen aan beide kanten. IKE-versie, versleuteling, controle, Diffie-Hellman-groep, levensduur van de sleutels en de gedeelde sleutel of de certificaten. Eén verschil volstaat om de tunnel niet te laten opkomen.

IPsec is een standaard, dus twee verschillende merken kunnen met elkaar praten. Twee toestellen van hetzelfde merk maken het wel eenvoudiger: de wizards van de fabrikant vullen dan beide kanten op dezelfde manier in.

Kmo-Kristof: De tunnel staat op groen, maar Brugge ziet de server in Gent niet.

Security-Sofie: Welk adres heeft de server?

Kmo-Kristof: 192.168.1.10.

Security-Sofie: En de kassa in Brugge?

Kmo-Kristof: Ook 192.168.1.10. Toevallig.

Security-Sofie: Dan zoekt de kassa de server bij zichzelf. En vindt ze zichzelf.

Policy-based of route-based

Er zijn twee manieren om een toestel te vertellen wat door de tunnel moet. Bij een policy-based VPN stel je een lijst op: verkeer van dit netwerk naar dat netwerk gaat de tunnel in. Bij een route-based VPN krijgt de tunnel een eigen virtuele netwerkpoort, en bepaalt de routeringstabel wat erdoor gaat. Route-based is soepeler zodra er meer dan twee netwerken of een tweede internetlijn bijkomen. Welke variant je toestel gebruikt, hangt van het merk en de instelling af; kies aan beide kanten hetzelfde type, of vraag je integrator hoe hij ze laat samenwerken.

Drie vestigingen en meer

Met twee vestigingen is er één tunnel. Met drie heb je de keuze:

• Een ster. Elke vestiging heeft een tunnel naar het hoofdkantoor, en verkeer tussen twee filialen loopt via het hoofdkantoor. Eenvoudig te beheren, maar valt de lijn van het hoofdkantoor uit, dan staat iedereen alleen.
• Een maaswerk. Elke vestiging heeft een tunnel naar elke andere. Met drie vestigingen zijn dat drie tunnels, met vijf al tien. Elke nieuwe vestiging betekent een tunnel extra op elk bestaand toestel.

Een paar voorbeelden. Een architectenbureau met twee kantoren en een NAS in het hoofdkantoor heeft genoeg aan één tunnel. Een bakkerij met drie winkels en een centrale voorraad kiest meestal de ster, met het atelier in het midden. Een fotograaf met een studio en een thuiskantoor kan met twee geschikte routers ook een tunnel opzetten, zodat de NAS in de studio thuis gewoon in de verkenner staat.

Als je firewall de tunnel bouwt

Heb je al een firewall bij een integrator, dan zit de site-to-site VPN er vrijwel zeker in. Wat de grote merken aanbieden en welke vragen je stelt, staat bij de VPN-functie van je firewall.

Vanaf een handvol vestigingen

Met vier of vijf locaties en twee internetlijnen per locatie wordt het beheer van losse tunnels zwaar. Dan kijk je naar SD-WAN met centraal beheer, dat de tunnels zelf opbouwt en per toepassing de lijn kiest.

De derde vestiging staat in de cloud

Een virtuele server in Azure of AWS is voor je netwerk gewoon nog een vestiging, met een site-to-site tunnel als verbinding. Hoe dat bij Microsoft en Amazon gaat, lees je bij een tunnel naar Azure.