Een eigen VPN-server: thuis of op kantoor je netwerk bereiken
Een eigen VPN-server geeft je van buitenaf toegang tot het netwerk van je kantoor of je huis: de NAS met de boekhouding, de printer, een server of de pc op je bureau. De server kan draaien op je router, op een NAS, op een kleine computer zoals een Raspberry Pi of op Windows Server. Een dienst als Tailscale doet hetzelfde zonder open poort. In bijna alle gevallen moet je internetaansluiting van buitenaf bereikbaar zijn. Deze gids zet de keuzes voor zelfstandigen en kmo’s op een rij.
Of: je eigen tunnel graven, en weten waar hij uitkomt
Bij een VPN denken de meeste mensen aan een abonnement: een app, een knop, en je verkeer vertrekt via een server in een ander land. Dat is één manier van veilig verbinden op afstand. Deze gids gaat over de andere: een virtueel privénetwerk dat je zelf opzet, zodat je van thuis, van op een werf of vanuit een hotel bij de bestanden en toestellen op kantoor kunt. De server staat dan niet in het datacenter van een aanbieder, maar naast de modem in je eigen berging.
Het doel is meestal heel concreet. De boekhouding staat op een NAS, de plannen staan op een pc op kantoor, en de printer drukt alleen af voor wie in het netwerk zit. De zaakvoerder zit op dinsdagavond thuis, met een vraag van een klant en weinig zin om naar kantoor te rijden.
Een eigen VPN-server opzetten: een tunnel met twee uiteinden
Een commerciële VPN-dienst is een openbare tunnel met een tolpoort, uitgebaat door iemand anders. Een eigen VPN-server is een tunnel die je zelf graaft, van waar je bent tot in je eigen kelder. Dat beeld klopt verder dan je zou denken.
Een tunnel heeft eerst een ingang nodig die je terugvindt. Op het internet is dat een publiek IP-adres, of een naam die altijd naar dat adres wijst. Daarna heb je een deur nodig die alleen opengaat voor wie de juiste sleutel heeft: dat is de VPN-server zelf, met zijn sleutels, certificaten of wachtwoorden, achter één open poort. En je moet mogen graven. Sommige internetaansluitingen delen één publiek adres met veel klanten tegelijk, de zogenaamde carrier-grade NAT, en dan raakt niemand van buitenaf binnen, hoe goed je deur ook is.
Het andere uiteinde is je eigen netwerk. Wie door de tunnel komt, staat binnen, tussen de NAS, de printer en de pc van de boekhouder. Een eigen VPN-server is dus geen privacydienst: hij verbergt niet wie je bent, hij brengt je thuis. Surf je via de tunnel, dan kom je op het internet uit via de aansluiting van kantoor, niet via een ander land.
Drie dingen heb je altijd nodig:
- Een toestel dat de server speelt en dag en nacht aan staat: je router, een NAS, een kleine computer of een Windows-server.
- Een adres waarop dat toestel te vinden is: een publiek IPv4- of IPv6-adres, liefst met een vaste naam.
- Een weg naar binnen: een poort die je router doorstuurt naar de server, of een dienst die zonder open poort werkt.
Voor wie alles al in de cloud heeft staan, van mail tot boekhouding, is een eigen VPN-server vaak overbodig. Voor wie nog een kast met een NAS of een server heeft, is hij meestal de netste weg naar binnen.
Een VPN-server is wel een deur in je buitenmuur. Hou de software bij, zet tweestapsverificatie aan waar het toestel dat toelaat en zet geen poorten open die je niet gebruikt; de verdere beveiliging van zo’n toegang verdient een eigen gids.
Kmo-Kristof: Ik heb al een VPN. Ik betaal er elke maand voor.
Security-Sofie: Kom je daarmee op de NAS op kantoor?
Kmo-Kristof: Nee. Daarvoor rij ik even langs.
Security-Sofie: Dan heb je een tunnel naar een server in het buitenland. Niet naar je eigen kantoor.
Kmo-Kristof: Kan ik dan niet gewoon een poort openzetten naar de NAS?
Security-Sofie: Dat kan. Dan heb je een gat in de muur. Een VPN is hetzelfde gat, maar met een deur en een slot.
Vijf plekken voor één server
De router, de NAS, een kleine computer, Windows Server of een dienst die alles regelt: elke plek stelt andere eisen aan je aansluiting en aan je tijd. Een vergelijking, met de vragen die je vooraf beantwoordt, staat bij waar je server kan staan.
De doos die er al staat
De modem van Proximus, Telenet of Orange is meestal ook je router. Wat die toelaat, wanneer je een eigen router nodig hebt en wat bridge-modus doet, lees je bij een VPN op je router.
Een router met een ingebouwde tunnel
De FRITZ!Box heeft sinds FRITZ!OS 7.50 een WireGuard-server aan boord, met een QR-code voor de gsm. De menu’s en de valkuilen staan bij WireGuard op de FRITZ!Box.
De NAS als portier
Een Synology NAS kan zelf VPN-server spelen, maar biedt ook QuickConnect, dat iets anders doet dan het lijkt. Het verschil staat bij je Synology van buitenaf bereiken.
Uitnodigen in plaats van configureren
De gateways van UniFi hebben Teleport, een VPN die je met een uitnodiging uitdeelt, naast een gewone WireGuard-server. Hoe beide werken, lees je bij Teleport en WireGuard op UniFi.
Een server op creditcardformaat
Met PiVPN wordt een Raspberry Pi een WireGuard- of OpenVPN-server. Wat je installeert en wat je daarna bijhoudt, staat bij PiVPN op een Raspberry Pi.
De route via Microsoft
Windows Server heeft met RRAS een eigen VPN-server, en met Always On VPN een manier om laptops automatisch te verbinden. Wanneer dat de moeite loont, lees je bij RRAS op Windows Server.
Gevonden worden van buitenaf
Poorten doorsturen, een vaste naam voor een wisselend IP-adres en het probleem van gedeelde adressen: hoe dat bij de Belgische providers gaat, staat bij poorten openzetten bij je provider.
Geen deur, en toch binnen
Tailscale en ZeroTier verbinden je toestellen rechtstreeks met elkaar, zonder dat je één poort openzet. Wat dat vraagt aan vertrouwen en aan abonnementen, lees je bij een mesh-VPN zoals Tailscale.