Toegang per toepassing: ZTNA of VPN voor een kmo met thuiswerkers
ZTNA, voluit zero trust network access, geeft een gebruiker toegang tot één toepassing in plaats van tot het hele bedrijfsnetwerk. Een klassieke VPN plaatst de laptop van de thuiswerker virtueel op het kantoornetwerk; ZTNA controleert eerst de gebruiker en zijn toestel, en opent dan alleen de verbinding naar wat hij nodig heeft. De toepassingen zelf staan niet open op internet. Diensten als Cloudflare Zero Trust en Microsoft Entra Private Access werken zo. Deze gids zet het verschil op een rij en legt uit wanneer een kmo de ene of de andere kiest.
Of: waarom je niet de sleutel van de hele kleedkamer meegeeft
Een thuiswerker die met een VPN verbindt, staat virtueel op het kantoornetwerk. Hij kan de boekhoudserver openen, maar zijn laptop ziet ook de printer, de NAS en de camera aan de achterdeur. Wie de netwerken van zijn zaak van buitenaf bereikbaar maakt, krijgt daarom vroeg of laat de vraag naar ZTNA: toegang per toepassing, volgens het zero-trustprincipe dat het Amerikaanse NIST in SP 800-207 beschrijft.
Kort: een VPN opent het netwerk, ZTNA opent een toepassing. ZTNA is fijner afgesteld en verbergt je servers voor het internet. Een VPN blijft eenvoudiger om vestigingen te koppelen en voor toestellen zonder gebruiker.
VPN of ZTNA: netwerktoegang tegenover toegang per app
De kleedkamer en het ene kastje
Een VPN is de sleutel van de kleedkamer. Wie binnen is, staat voor alle kastjes, ook al heeft hij er maar één nodig, en hij kan aan elk slot proberen. ZTNA werkt met een bewaker aan de deur. Hij kijkt naar je badge, opent het ene kastje dat op jouw naam staat, en laat de rest dicht. Je komt de kleedkamer zelfs niet in.
Dat verschil telt vooral op een slechte dag. Raakt een laptop met een VPN-verbinding besmet, dan staat het besmette toestel op je netwerk. Bij ZTNA staat het voor één deur, die het alleen opent als de controle van het toestel slaagt.
Hoe ZTNA werkt
- De gebruiker meldt zich aan bij de dienst, met tweestapsverificatie, meestal via het account dat hij al heeft bij Microsoft 365 of Google Workspace.
- Afhankelijk van de dienst wordt het toestel gecontroleerd: beheerd door de zaak, bijgewerkt, versleuteld.
- Een connector naast de toepassing, op een server op kantoor of in de cloud, houdt een uitgaande verbinding open naar de dienst. Er hoeft dus geen poort naar binnen open te staan.
- De dienst verbindt de gebruiker alleen met de toepassingen waarvoor hij rechten heeft, en controleert dat bij elke nieuwe sessie.
Microsoft beschrijft het voor zijn eigen dienst, Microsoft Entra Private Access, zo: met de Global Secure Access-client op het toestel hebben thuiswerkers geen VPN meer nodig voor de interne toepassingen die de beheerder heeft opgegeven, en regels voor voorwaardelijke toegang beslissen wie erbij mag.
Naast elkaar
| VPN | ZTNA | |
|---|---|---|
| Waar je bij kunt | het netwerk, of een deel ervan | één toepassing, of een lijst toepassingen |
| Wat open staat op internet | de VPN-poort van de firewall | voor die toepassing niets: de connector maakt de verbinding naar buiten |
| Controle | bij het verbinden | bij elke sessie, met controle van het toestel waar de dienst dat ondersteunt |
| Vestigingen koppelen | ja, met een site-to-site tunnel | daar is het niet voor bedoeld |
| Toestellen zonder gebruiker | geen probleem | lastig: ZTNA gaat uit van iemand die zich aanmeldt |
| Wie het beheert | de firewall, vaak via een integrator | een clouddienst en je identiteitsprovider |
Kmo-Kristof: Met ZTNA ziet de boekhouder alleen de boekhouding?
Security-Sofie: Ja. Niet de NAS, niet de printer, niet de camera.
Kmo-Kristof: En als hij de printer nodig heeft?
Security-Sofie: Hij werkt van thuis, Kristof. Hij print thuis.
Een paar diensten
In alfabetische volgorde, zonder rangschikking:
- Cloudflare Zero Trust. Volgens de prijspagina van Cloudflare is er een gratis formule tot 50 gebruikers. De betalende formules staan er alleen in dollar, dus we vermelden geen bedrag.
- Fortinet. Wie al een FortiGate heeft, kan ZTNA opzetten met de betalende versies van FortiClient en centraal beheer. De gratis VPN-versie van FortiClient doet dat niet.
- Microsoft Entra Private Access. Logisch voor een zaak die al op Microsoft 365 en Entra ID draait, omdat de regels voor voorwaardelijke toegang dezelfde blijven.
- Twingate, een dienst die specifiek voor toegang op afstand zonder klassieke VPN is gebouwd.
Tailscale en vergelijkbare netwerken zonder open poort komen elders in dit dossier aan bod; ze delen een deel van de ideeën, met een andere opbouw.
Wanneer een VPN blijft
- Vestigingen koppelen. Een kassa in Brugge die de voorraad in Gent leest, heeft een tunnel tussen twee netwerken nodig.
- Toestellen zonder aanmelding. Camera’s, printers en betaalterminals melden zich niet aan met tweestapsverificatie.
- Een heel kleine zaak. Een zelfstandige met één NAS thuis heeft weinig aan een dienst voor toegang per toepassing; een VPN-server op de router of een eenvoudig privénetwerk volstaat.
Een boekhoudkantoor van acht mensen kan beide combineren: de medewerkers openen de oude boekhoudserver via ZTNA, en de tweede vestiging blijft via een site-to-site VPN verbonden.
Het principe erachter
ZTNA is de toepassing van een breder idee: geen vertrouwen op basis van de plek in het netwerk. Wat dat voor een kmo betekent, lees je bij wat zero trust inhoudt.
Als de VPN in je firewall blijft
Voor veel kmo’s blijft de firewall het centrum, ook voor toegang op afstand. Wat de grote merken bieden, staat bij de VPN-mogelijkheden van je firewall.
Een dienst die het voor je beheert
Tussen ZTNA en een klassieke VPN liggen diensten die vanuit de cloud werken, met vaste IP-adressen en regels per team. Zie een zakelijke VPN-dienst huren.