# IPsec in plaats van SSL-VPN: waarom de VPN van je firewall verandert > Waarom Fortinet de SSL-VPN-tunnel schrapte, wat het Noorse NCSC aanraadt, het verschil tussen SSL-VPN en IPsec met IKEv2, en wat een kmo nu moet regelen. Een **SSL-VPN** bouwt de tunnel voor thuiswerkers op met TLS, het protocol achter https, meestal via TCP-poort 443. IPsec met IKEv2 is een open standaard. Fortinet verving in FortiOS 7.6.3, uitgebracht in april 2025, de tunnelmodus van zijn SSL-VPN op alle FortiGate-modellen door IPsec. Het Noorse nationale cybersecuritycentrum raadde in mei 2024 aan om SSL-VPN tegen eind 2025 uit te faseren. Deze gids legt het verschil tussen beide uit, en wat een kmo met een firewall nu moet regelen. **In het kort** 1. Fortinet heeft met FortiOS 7.6.3, in april 2025, de tunnelmodus van SSL-VPN op alle FortiGate-modellen vervangen door IPsec, dat ook over TCP-poort 443 kan lopen; de oude instellingen worden bij de update niet overgenomen. 2. Al in FortiOS 7.6.0, in juli 2024, verdween SSL-VPN volledig op FortiGate-modellen met 2 GB werkgeheugen, zoals de 40F, 60F en 61F. 3. Het Noorse NCSC raadde in mei 2024 aan om SSL-VPN tegen eind 2025 te vervangen door IPsec met IKEv2, en aanvaardt ook oplossingen op basis van WireGuard met centraal beheer van gebruikers en logboeken. *Of: hoe het handigste protocol van gisteren een migratieproject werd* Jarenlang was SSL-VPN de makkelijkste manier om thuiswerkers binnen te laten. Het liep via dezelfde poort als elke website, dus bijna elk hotelnetwerk liet het door. Wie vandaag [netwerktoegang voor een kmo](/gidsen/vpn-voor-bedrijven/bedrijfsnetwerk/) regelt, ziet die keuze verschuiven naar IPsec. Fortinet schrapte de SSL-VPN-tunnel in FortiOS 7.6.3 en beschrijft in zijn [migratiegids](https://docs.fortinet.com/document/fortigate/7.6.0/new-features/155142/migration-from-ssl-vpn-tunnel-mode-to-ipsec-vpn-7-6-3) hoe je overstapt. Kort: SSL-VPN en IPsec versleutelen allebei. Het verschil zit in wat eromheen hangt: bij SSL-VPN een eigen protocol per fabrikant, vaak met een webportaal, bij IPsec een gedeelde standaard. Heb je een FortiGate, dan is de overstap geen keuze meer, maar een kwestie van planning. ## Het einde van SSL-VPN: wat de overstap naar IPsec inhoudt ### Twee manieren om een tunnel te bouwen - **SSL-VPN** gebruikt TLS, hetzelfde protocol als https, meestal over TCP-poort 443. Bovenop TLS bouwt elke fabrikant zijn eigen tunnel; Fortinet noemt de zijne in de migratiegids zelf een eigen, niet-standaard protocol. Vaak hoort er een webportaal bij, waarmee je zonder client in een browser bij interne toepassingen kunt. - **IPsec met IKEv2** is een standaard van de IETF, vastgelegd in [RFC 7296](https://www.rfc-editor.org/rfc/rfc7296). Het gebruikt UDP-poorten 500 en 4500. Windows, macOS en iOS hebben een ingebouwde client, en twee merken kunnen met elkaar praten. Vergelijk het met sloten. Een SSL-VPN is een deur die elke slotenmaker op zijn eigen manier bouwt, met een loket ernaast waar je zonder sleutel aan kunt kloppen. IPsec is een standaardcilinder die iedereen kent en die door veel mensen tegelijk is nagekeken. Dat loket, een webinterface die open op internet staat, was de voorbije jaren een geliefd doelwit; dat verhaal hoort bij de beveiliging van je VPN en komt in een aparte gids aan bod. ### Wat Fortinet veranderde | Wanneer | Versie | Wat | |---|---|---| | Juli 2024 | FortiOS 7.6.0 | SSL-VPN, web- en tunnelmodus, verdwijnt op modellen met 2 GB werkgeheugen of minder: FortiGate en FortiWiFi 40F, 60F en 61F, en de FortiGate Rugged 60F. Fortinet raadt IPsec aan. | | April 2025 | FortiOS 7.6.3 | De tunnelmodus van SSL-VPN wordt op alle modellen vervangen door IPsec. De instellingen worden niet overgenomen. De webmodus blijft als Agentless VPN, behalve op de 40F-, 60F- en 90G-reeksen. | Dat staat in de [release notes van FortiOS 7.6.0](https://fortinetweb.s3.amazonaws.com/docs.fortinet.com/v2/attachments/51fcbb4f-33ff-11ef-bfe5-fa163e15d75b/fortios-v7.6.0-release-notes.pdf) en in die van 7.6.3. De belangrijkste praktische les uit de migratiegids: eerst IPsec opzetten en testen, dan pas de firmware bijwerken. Wie omgekeerd werkt, heeft na de update geen VPN meer voor zijn thuiswerkers. IPsec kan bij Fortinet over TCP-poort 443 lopen, zodat het door dezelfde netwerken raakt als vroeger; daarvoor zijn FortiOS 7.4.2 en FortiClient 7.4.1 of nieuwer nodig. > **Kmo-Kristof:** Onze integrator wil de VPN omzetten naar IPsec. Is de oude dan onveilig? > > **Security-Sofie:** Na de volgende update bestaat de oude gewoon niet meer. > > **Kmo-Kristof:** Dat is ook een vorm van veilig. > > **Security-Sofie:** Ja. Voor iedereen behalve je thuiswerkers. {.dialoog} ### En de andere fabrikanten? Bij de andere merken in dit dossier, Sophos, WatchGuard en DrayTek, staat SSL-VPN op 12 november 2026 nog in de documentatie en bij de ondersteunde protocollen. We vonden bij hen geen schrapping zoals bij Fortinet. Wie zo'n toestel heeft, vraagt zijn integrator best wat de fabrikant van plan is. ### Wat het Noorse NCSC aanraadt Het Noorse nationale cybersecuritycentrum, onderdeel van de nationale veiligheidsautoriteit NSM, publiceerde op 15 mei 2024 een [aanbeveling](https://nsm.no/fagomrader/digital-sikkerhet/digital-hendelseshandtering/varsler-fra-nsm/ncsc-anbefaler-a-erstatte-sslvpn-webvpn-med-sikrere-alternativer) om SSL-VPN en webportalen te vervangen door IPsec met IKEv2. De termijn: eind 2025, en eind 2024 voor organisaties die onder de Noorse veiligheidswet vallen. Waar IPsec niet kan, aanvaardt het centrum Always On VPN van Windows of oplossingen op basis van WireGuard, op voorwaarde dat gebruikers en toestellen centraal beheerd worden en de aanmeldingen centraal gelogd. Een gelijkaardig advies van het Belgische Centrum voor Cybersecurity over SSL-VPN vonden we niet. ### Wat je als kmo nu doet 1. **Vraag welke VPN je firewall gebruikt.** SSL-VPN of IPsec, en met welke versie van de firmware. 2. **Heb je een FortiGate, plan dan de overstap** vóór de update naar 7.6.3 of later: nieuwe IPsec-instellingen, nieuwe profielen voor de clients, en een test vanaf een hotel- of gastennetwerk. 3. **Werk de clients bij.** FortiClient 7.4.1 of nieuwer voor IPsec over TCP; vanaf 7.4.4 alleen nog IKEv2. 4. **Kleine FortiGate?** Op een 40F, 60F of 61F is er sinds 7.6.0 geen SSL-VPN meer. Wie daar nog SSL-VPN gebruikt, draait een oudere firmwarereeks en plant de overstap best nu. 5. **Ander merk?** Vraag naar de plannen van de fabrikant, en of IPsec met IKEv2 al kan. ### De thuiswerker merkt het als eerste Voor wie thuis werkt, betekent de overstap een nieuwe verbinding in de client. Hoe dat gaat, lees je bij [een FortiClient-verbinding instellen](/gidsen/vpn-voor-bedrijven/bedrijfsnetwerk/forticlient/). ### Hoe andere firewalls het doen Welke protocollen Sophos, WatchGuard en DrayTek ondersteunen, staat bij [de VPN in andere firewalls](/gidsen/vpn-voor-bedrijven/bedrijfsnetwerk/firewall-vpn/). ### Of meteen een stap verder Wie toch moet migreren, kan zich afvragen of een klassieke VPN nog nodig is. Het alternatief staat bij [ZTNA als alternatief voor VPN](/gidsen/vpn-voor-bedrijven/bedrijfsnetwerk/ztna-of-vpn/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).