Azure VPN Gateway en AWS Site-to-Site VPN: je kantoor aan de cloud koppelen
Met Azure VPN Gateway verbind je het netwerk van je kantoor via een site-to-site VPN met een virtueel netwerk in Microsoft Azure, zodat servers in de cloud bereikbaar zijn zonder dat ze open op internet staan. Je kiest een formule, een SKU, die het aantal tunnels en de snelheid bepaalt, en je betaalt per uur. In de regio West-Europa kost de kleinste formule voor productie, VpnGw1AZ, 0,1886 euro per uur zonder btw, of ongeveer 138 euro per maand. Amazon biedt hetzelfde met AWS Site-to-Site VPN. Deze gids legt uit hoe beide werken en wat ze kosten.
Of: waarom je server in de cloud geen voordeur op straat nodig heeft
Veel kmo’s verhuizen een server naar de cloud zonder hun kantoor mee te verhuizen: het boekhoudprogramma of het ERP draait op een virtuele machine in Azure, de mensen zitten nog in Mechelen. Wie kantoren en cloud verbindt, doet dat het netst met een site-to-site VPN. Microsoft beschrijft de formules in zijn overzicht van de gateway-SKU’s.
Kort: bij Azure maak je een VPN-gateway aan, je kiest een SKU en je verbindt die met de firewall op kantoor. Voor productie begint dat bij VpnGw1AZ, ongeveer 138 euro per maand zonder btw. Bij AWS is het principe hetzelfde, met twee tunnels per verbinding.
Azure VPN Gateway: hoe het werkt en wat het kost
Een ladder naar de wolk
Een server in de cloud is een verdieping die je bijbouwt, maar in een ander gebouw. Zonder eigen trap kom je er alleen via de voordeur, die op straat uitkomt: het publieke adres van de server. De VPN-gateway is een private ladder van je kantoor naar die verdieping. Wie op straat staat, ziet de ladder niet, en de voordeur kan dicht.
De onderdelen bij Azure
- Een virtueel netwerk in Azure, met een apart subnet voor de gateway.
- Een virtuele netwerkgateway van het type VPN, met een SKU die de capaciteit bepaalt.
- Een lokale netwerkgateway: zo beschrijft Azure je kantoor, met het publieke adres van je firewall en de adresreeksen van je netwerk.
- Een verbinding tussen beide, met een gedeelde sleutel. De tunnel gebruikt IPsec en IKE, zoals elke site-to-site VPN.
Aan de kant van je kantoor heb je een firewall of router nodig die IPsec spreekt, en adresreeksen die niet overlappen met die in Azure. Voor losse laptops bestaat er ook een point-to-site-verbinding, met OpenVPN, IKEv2 of SSTP en de Azure VPN Client.
De formules en hun prijs
| SKU | Site-to-site-tunnels | Point-to-site (IKEv2/OpenVPN) | Doorvoer volgens Microsoft | Per uur, zonder btw | Per maand, zonder btw |
|---|---|---|---|---|---|
| Basic | max. 10 | IKEv2, geen OpenVPN | 100 Mbps | 0,04 euro (afgerond) | 23,60 euro |
| VpnGw1AZ | max. 30 | max. 250 | 650 Mbps | 0,1886 euro | 137,62 euro |
| VpnGw2AZ | max. 30 | max. 500 | 1 tot 1,25 Gbps | 0,4848 euro | 353,88 euro |
| VpnGw3AZ | max. 30 | max. 1.000 | 1,25 tot 2,5 Gbps | 1,2389 euro | 904,35 euro |
De bedragen staan zo op de prijspagina van VPN Gateway op 12 november 2026, met de euro als munt en West-Europa als regio; Microsoft rekent per maand met 730 uur. De prijzen worden omgerekend vanuit dollar, dus ze kunnen bewegen, en de btw komt erbij.
Wat er nog bij komt:
- Tien site-to-site-tunnels en 128 point-to-site-verbindingen zijn inbegrepen. Daarboven betaal je 0,014 euro per tunnel per uur en 0,009 euro per verbinding per uur.
- Uitgaand dataverkeer wordt apart aangerekend.
- Een begonnen uur telt als een volledig uur.
Basic lijkt aantrekkelijk, maar Microsoft zegt het zelf: die formule heeft beperkingen, ondersteunt geen BGP, IPv6 of RADIUS, is alleen in te stellen met PowerShell of de Azure CLI, en is niet bedoeld voor productie.
Kmo-Kristof: 138 euro per maand, alleen voor een tunnel?
Security-Sofie: Je kunt de server ook gewoon open op internet zetten. Dan heb je geen tunnel nodig.
Kmo-Kristof: Dat klinkt goedkoper.
Security-Sofie: Tot iemand anders hem vindt.
De SKU’s veranderen
Microsoft vereenvoudigt zijn aanbod. Volgens de uitleg over de SKU-migratie kun je sinds 1 november 2025 geen nieuwe gateways meer aanmaken met VpnGw1 tot VpnGw5 zonder zoneredundantie, en worden de bestaande overgezet naar de AZ-varianten. Microsoft verlaagde daarvoor de prijzen van de AZ-formules. Basic blijft bestaan. Heb je een oudere gateway, dan zie je in de Azure-portal onder de configuratie welke SKU hij heeft; eindigt de naam niet op AZ, dan staat er een migratie op de planning.
Bij Amazon: AWS Site-to-Site VPN
Amazon werkt volgens hetzelfde principe, met eigen namen. Volgens de documentatie van AWS:
- Een VPN-verbinding bevat altijd twee tunnels, die je tegelijk kunt gebruiken voor hoge beschikbaarheid.
- Aan de kant van Amazon eindigt de verbinding op een virtual private gateway, gekoppeld aan één virtueel netwerk (VPC), of op een transit gateway, die meerdere netwerken en kantoren verbindt.
- Aan jouw kant staat de customer gateway device: je firewall of router.
- IKEv2 en NAT-traversal worden ondersteund. Een standaardtunnel haalt tot 1,25 Gbps.
Je betaalt per uur dat een VPN-verbinding bestaat, plus het uitgaande dataverkeer. Amazon toont die prijzen alleen in dollar, dus we vermelden geen bedrag.
Twee voorbeelden. Een transportbedrijf met een planningsserver in Azure en twee depots verbindt beide depots met één VpnGw1AZ; met twee tunnels blijft het ruim onder de tien inbegrepen. Een webwinkel die alles bij Amazon host, koppelt zijn kantoor met één AWS-verbinding aan het netwerk van de databank, zodat het beheer niet via internet loopt.
De tunnel zelf
Wat er in een site-to-site tunnel gebeurt en waar je op let aan beide kanten, staat bij hoe een site-to-site tunnel werkt.
Wat er op kantoor staat
De tunnel naar Azure eindigt op kantoor meestal op een firewall. Wat de gangbare merken kunnen, lees je bij de firewall op kantoor.
Zonder tunnel naar het hele netwerk
Gaat het om een paar mensen die één toepassing in Azure moeten openen, dan is een tunnel tussen netwerken misschien te veel. Microsoft biedt daarvoor ook toegang per toepassing, zonder klassieke VPN.