# RRAS en Always On VPN: een VPN-server op Windows Server opzetten > Een VPN-server op Windows: de rol Remote Access met RRAS instellen, IKEv2 en SSTP in plaats van PPTP en L2TP, Always On VPN, en Windows 11 als client. Een **VPN-server op Windows** draai je met de rol Remote Access en de dienst RRAS (Routing and Remote Access) van Windows Server. Microsoft raadt IKEv2 of SSTP aan; nieuwe RRAS-installaties op Windows Server 2025 aanvaarden standaard geen PPTP- en L2TP-verbindingen meer. Always On VPN bouwt daarop verder en verbindt beheerde laptops automatisch, met certificaten en een NPS-server. Windows 11 is in deze opstelling de client. Deze gids volgt de stappen uit Microsoft Learn en zegt voor welke kmo dat de moeite loont. **In het kort** 1. De VPN-server van Windows is de rol Remote Access met RRAS op Windows Server; in Windows 11 voeg je onder Instellingen > Netwerk & internet > VPN een verbinding naar zo'n server toe, als client. 2. Sinds Windows Server 2025 aanvaarden nieuwe RRAS-installaties geen PPTP- en L2TP-verbindingen meer, tenzij je ze zelf weer aanzet; SSTP en IKEv2 blijven werken, en Microsoft raadt PPTP af wegens het gebrek aan beveiligingsfuncties. 3. Always On VPN verbindt Windows-toestellen automatisch via IKEv2 of SSTP en vraagt extra infrastructuur, zoals certificaten, een NPS-server voor RADIUS en een beheertool zoals Intune. *Of: de VPN die al in je serverlicentie zit, en alles wat erbij hoort* Een kmo met een eigen Windows-server heeft [een VPN-server op kantoor](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/) al binnen handbereik: de rol Remote Access zit in Windows Server, en Microsoft beschrijft in een [handleiding op Microsoft Learn](https://learn.microsoft.com/nl-nl/windows-server/remote/remote-access/get-started-install-ras-as-vpn) hoe je er een VPN-server van maakt. Het is de draaideur van het kantoorgebouw: degelijk, voorzien op veel bezoekers, en met een receptie die wil weten wie er binnenkomt. Het korte antwoord: heb je al een Windows-server en een IT-partner, dan is RRAS met IKEv2 een redelijke keuze, en Always On VPN de volgende stap. Heb je geen server, dan is een router, een NAS of een dienst als Tailscale eenvoudiger. ## VPN-server op Windows Server: RRAS stap voor stap ### Windows 11 is de client Op een laptop met Windows 11 voeg je een VPN-verbinding toe via Instellingen > Netwerk & internet > VPN > VPN toevoegen, zoals [Microsoft Support](https://support.microsoft.com/nl-nl/windows/verbinding-maken-met-een-vpn-in-windows-3d29aeb1-f497-f6b7-7633-115722c1009c) uitlegt. Daar vul je de gegevens in van een server die al bestaat. De serverkant zit in Windows Server. ### De rol installeren De handleiding van Microsoft geeft twee wegen. In PowerShell, als beheerder: ```powershell Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools ``` Of via Server Manager (in de Nederlandstalige documentatie: Serverbeheer): Manage > Add Roles and Features, kies Role-based or feature-based installation, selecteer de lokale server, vink bij de rollen Remote Access aan en kies bij de rolservices DirectAccess and VPN (RAS). Is de server lid van een domein, dan voert een domeinbeheerder deze stappen uit. ### De VPN-server configureren Microsoft beschrijft een configuratie die alleen IKEv2 toelaat en de andere protocollen weigert: 1. Laat in de firewall UDP-poorten 500 en 4500 binnenkomen op het externe adres van de server. 2. Open in Server Manager via de meldingen de Getting Started Wizard en kies Deploy VPN only. De console Routing and Remote Access gaat open. 3. Klik met de rechtermuisknop op de server, kies Configure and Enable Routing and Remote Access, dan Custom configuration en VPN access, en sluit de wizard af. 4. Open de eigenschappen van de server en stel op het tabblad IPv4 een Static address pool in: de reeks adressen die VPN-clients krijgen. 5. Open de eigenschappen van Ports. Laat bij WAN Miniport (IKEv2) de inkomende verbindingen aan staan en stel het maximum aantal in; zet ze uit bij SSTP, L2TP en PPTP. Wil je SSTP in plaats van IKEv2, dan kan dat ook; Microsoft noemt beide als alternatief. Staat de server achter de router van je provider, dan moeten de gebruikte poorten tot bij de server geraken. ### Wat Windows Server 2025 veranderde Microsoft kondigde in oktober 2024 aan dat RRAS geen inkomende PPTP- en L2TP-verbindingen meer zou aanvaarden. Volgens de handleiding aanvaarden nieuwe RRAS-installaties op Windows Server 2025 die protocollen niet meer, al kun je ze nog aanzetten. SSTP en IKEv2 werken zonder wijziging. Wie met een in-place update van Windows Server 2019 naar 2025 overstapt, houdt zijn bestaande instellingen, en de Windows-clients merken er niets van. PPTP raadt Microsoft af wegens het gebrek aan beveiligingsfuncties. Draai je nog een oude RRAS-server met PPTP of L2TP, dan is dit het moment om naar IKEv2 of SSTP over te stappen, niet het moment om de oude protocollen terug aan te zetten. ### Always On VPN [Always On VPN](https://learn.microsoft.com/nl-nl/windows-server/remote/remote-access/overview-always-on-vpn) bouwt verder op deze server. Het verbindt Windows-toestellen automatisch, bijvoorbeeld zodra een toepassing start of een naam in het bedrijfsnetwerk opgezocht wordt, en herkent wanneer een toestel al op het vertrouwde netwerk van kantoor zit. Volgens Microsoft werkt het in alle Windows-edities, op toestellen in een domein, in een werkgroep of in Microsoft Entra ID. Het vraagt wel meer infrastructuur: - **Protocollen**: de gebruikerstunnel werkt met IKEv2, met SSTP als terugval; de apparaattunnel, die verbindt voor iemand zich aanmeldt, werkt alleen met IKEv2 en alleen op toestellen in een domein met de Enterprise- of Education-editie van Windows. - **Authenticatie**: een NPS-server voor RADIUS, en voor certificaten een PKI die gebruikers- en apparaatcertificaten uitgeeft. - **Beheer**: het VPN-profiel verdeel je met PowerShell, Configuration Manager, Intune of een andere MDM-tool. - **Tweestapsverificatie**: mogelijk via de NPS-extensie voor Microsoft Entra MFA, of via voorwaardelijke toegang in Entra ID. Dat is geen werk voor een zaterdagnamiddag. Het is werk voor een IT-partner met een plan en een testomgeving. > **Kmo-Kristof:** We hebben een Windows-server. Dus de VPN is gratis. > > **Security-Sofie:** De rol zit erin. De certificaten, de NPS-server, de updates en de man die het instelt niet. > > **Kmo-Kristof:** De man die het instelt is mijn IT-partner. > > **Security-Sofie:** Dan is de VPN niet gratis. Hij staat alleen op een andere factuur. {.dialoog} ### Voor wie het loont Een advocatenkantoor met vijftien mensen, een eigen Windows-server, een domein en een IT-partner die Intune al beheert, haalt veel uit Always On VPN: de laptops verbinden vanzelf, en vertrekt een medewerker, dan schakel je zijn account uit. Een zelfstandige met één laptop en geen server begint er beter niet aan. En wat je ook kiest: hou de server bij met de maandelijkse updates en laat geen andere poorten openstaan dan die van de VPN. ### De andere plekken Een Windows-server is maar één van de mogelijke plekken voor een VPN-server. De router, de NAS en een kleine computer staan naast elkaar bij [alle opties voor een kmo](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/eigen-vpn-server-opzetten/). ### Zonder open poort Kun je de poorten 500 en 4500 niet tot bij je server krijgen, of wil je geen server beheren, dan is een mesh-VPN een alternatief. Dat lees je bij [Tailscale voor je kantoor](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/tailscale/). ### De poorten bij je provider Hoe je de VPN-poorten doorstuurt bij Proximus, Telenet en Orange, staat bij [poorten openzetten op je modem](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/poort-openzetten/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).