RRAS en Always On VPN: een VPN-server op Windows Server opzetten

Of: de VPN die al in je serverlicentie zit, en alles wat erbij hoort

Een kmo met een eigen Windows-server heeft een VPN-server op kantoor al binnen handbereik: de rol Remote Access zit in Windows Server, en Microsoft beschrijft in een handleiding op Microsoft Learn hoe je er een VPN-server van maakt. Het is de draaideur van het kantoorgebouw: degelijk, voorzien op veel bezoekers, en met een receptie die wil weten wie er binnenkomt.

Het korte antwoord: heb je al een Windows-server en een IT-partner, dan is RRAS met IKEv2 een redelijke keuze, en Always On VPN de volgende stap. Heb je geen server, dan is een router, een NAS of een dienst als Tailscale eenvoudiger.

VPN-server op Windows Server: RRAS stap voor stap

Windows 11 is de client

Op een laptop met Windows 11 voeg je een VPN-verbinding toe via Instellingen > Netwerk & internet > VPN > VPN toevoegen, zoals Microsoft Support uitlegt. Daar vul je de gegevens in van een server die al bestaat. De serverkant zit in Windows Server.

De rol installeren

De handleiding van Microsoft geeft twee wegen. In PowerShell, als beheerder:

1

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools

Of via Server Manager (in de Nederlandstalige documentatie: Serverbeheer): Manage > Add Roles and Features, kies Role-based or feature-based installation, selecteer de lokale server, vink bij de rollen Remote Access aan en kies bij de rolservices DirectAccess and VPN (RAS). Is de server lid van een domein, dan voert een domeinbeheerder deze stappen uit.

De VPN-server configureren

Microsoft beschrijft een configuratie die alleen IKEv2 toelaat en de andere protocollen weigert:

1. Laat in de firewall UDP-poorten 500 en 4500 binnenkomen op het externe adres van de server.
2. Open in Server Manager via de meldingen de Getting Started Wizard en kies Deploy VPN only. De console Routing and Remote Access gaat open.
3. Klik met de rechtermuisknop op de server, kies Configure and Enable Routing and Remote Access, dan Custom configuration en VPN access, en sluit de wizard af.
4. Open de eigenschappen van de server en stel op het tabblad IPv4 een Static address pool in: de reeks adressen die VPN-clients krijgen.
5. Open de eigenschappen van Ports. Laat bij WAN Miniport (IKEv2) de inkomende verbindingen aan staan en stel het maximum aantal in; zet ze uit bij SSTP, L2TP en PPTP.

Wil je SSTP in plaats van IKEv2, dan kan dat ook; Microsoft noemt beide als alternatief. Staat de server achter de router van je provider, dan moeten de gebruikte poorten tot bij de server geraken.

Wat Windows Server 2025 veranderde

Microsoft kondigde in oktober 2024 aan dat RRAS geen inkomende PPTP- en L2TP-verbindingen meer zou aanvaarden. Volgens de handleiding aanvaarden nieuwe RRAS-installaties op Windows Server 2025 die protocollen niet meer, al kun je ze nog aanzetten. SSTP en IKEv2 werken zonder wijziging. Wie met een in-place update van Windows Server 2019 naar 2025 overstapt, houdt zijn bestaande instellingen, en de Windows-clients merken er niets van. PPTP raadt Microsoft af wegens het gebrek aan beveiligingsfuncties.

Draai je nog een oude RRAS-server met PPTP of L2TP, dan is dit het moment om naar IKEv2 of SSTP over te stappen, niet het moment om de oude protocollen terug aan te zetten.

Always On VPN

Always On VPN bouwt verder op deze server. Het verbindt Windows-toestellen automatisch, bijvoorbeeld zodra een toepassing start of een naam in het bedrijfsnetwerk opgezocht wordt, en herkent wanneer een toestel al op het vertrouwde netwerk van kantoor zit. Volgens Microsoft werkt het in alle Windows-edities, op toestellen in een domein, in een werkgroep of in Microsoft Entra ID.

Het vraagt wel meer infrastructuur:

• Protocollen: de gebruikerstunnel werkt met IKEv2, met SSTP als terugval; de apparaattunnel, die verbindt voor iemand zich aanmeldt, werkt alleen met IKEv2 en alleen op toestellen in een domein met de Enterprise- of Education-editie van Windows.
• Authenticatie: een NPS-server voor RADIUS, en voor certificaten een PKI die gebruikers- en apparaatcertificaten uitgeeft.
• Beheer: het VPN-profiel verdeel je met PowerShell, Configuration Manager, Intune of een andere MDM-tool.
• Tweestapsverificatie: mogelijk via de NPS-extensie voor Microsoft Entra MFA, of via voorwaardelijke toegang in Entra ID.

Dat is geen werk voor een zaterdagnamiddag. Het is werk voor een IT-partner met een plan en een testomgeving.

Kmo-Kristof: We hebben een Windows-server. Dus de VPN is gratis.

Security-Sofie: De rol zit erin. De certificaten, de NPS-server, de updates en de man die het instelt niet.

Kmo-Kristof: De man die het instelt is mijn IT-partner.

Security-Sofie: Dan is de VPN niet gratis. Hij staat alleen op een andere factuur.

Voor wie het loont

Een advocatenkantoor met vijftien mensen, een eigen Windows-server, een domein en een IT-partner die Intune al beheert, haalt veel uit Always On VPN: de laptops verbinden vanzelf, en vertrekt een medewerker, dan schakel je zijn account uit. Een zelfstandige met één laptop en geen server begint er beter niet aan. En wat je ook kiest: hou de server bij met de maandelijkse updates en laat geen andere poorten openstaan dan die van de VPN.

De andere plekken

Een Windows-server is maar één van de mogelijke plekken voor een VPN-server. De router, de NAS en een kleine computer staan naast elkaar bij alle opties voor een kmo.

Zonder open poort

Kun je de poorten 500 en 4500 niet tot bij je server krijgen, of wil je geen server beheren, dan is een mesh-VPN een alternatief. Dat lees je bij Tailscale voor je kantoor.

De poorten bij je provider

Hoe je de VPN-poorten doorstuurt bij Proximus, Telenet en Orange, staat bij poorten openzetten op je modem.