# Niet al je verkeer door de VPN: split tunneling voor zelfstandigen en kmo's > Split tunneling stuurt een deel van je verkeer door de VPN en de rest rechtstreeks: hoe het werkt, wanneer het slim is, en welke risico's je neemt. Met **split tunneling** gaat maar een deel van je internetverkeer door de VPN, en de rest rechtstreeks over je gewone verbinding. Bij een werk-VPN betekent dat meestal: verkeer naar het bedrijfsnetwerk door de tunnel, de rest niet. Bij een VPN-dienst kies je per app of per adres wat erbuiten blijft. Microsoft raadt het aan voor Teams, SharePoint en Exchange Online, omdat dat verkeer de VPN anders overbelast. Het tegenovergestelde heet forced tunneling: alles door de VPN. Deze gids legt uit hoe split tunneling werkt op Windows, Android en in VPN-apps, en welke risico's je neemt. **In het kort** 1. Split tunneling stuurt alleen een deel van je verkeer door de VPN; de rest gaat rechtstreeks over je eigen internetverbinding, zonder de bescherming van de tunnel. 2. Microsoft raadt aan om het verkeer naar Teams, SharePoint en Exchange Online buiten een werk-VPN te laten lopen, omdat het zo'n 70 tot 80 procent van het Microsoft 365-verkeer uitmaakt. 3. In de Windows-client zet je split tunneling aan met de PowerShell-instelling SplitTunneling; in VPN-apps zoals die van Proton kies je apps of adressen, maar meestal niet samen met een kill switch. *Of: waarom je YouTube-pauze niet langs het kantoor moet* Split tunneling betekent dat je VPN niet al je verkeer meeneemt. Een deel gaat door de tunnel, de rest gaat rechtstreeks het internet op, alsof er geen VPN is. Microsoft raadt het zelf aan in zijn [uitleg over VPN split tunneling voor Microsoft 365](https://learn.microsoft.com/en-us/microsoft-365/enterprise/microsoft-365-vpn-split-tunnel): Teams, SharePoint en Exchange Online rechtstreeks, de rest door de VPN. Wie [zijn VPN configureert](/gidsen/vpn-voor-bedrijven/instellen/) voor thuiswerk, komt die keuze vroeg of laat tegen. Kort: split tunneling maakt je verbinding sneller en ontlast de VPN, maar wat buiten de tunnel gaat, is ook niet door de tunnel beschermd. ## Split tunneling: wat door de tunnel gaat en wat niet Denk aan een snelweg met een tunnel onder een heuvel. Een werk-VPN zonder split tunneling, forced tunneling in het jargon, stuurt elke auto de tunnel in, ook de auto's die naar de andere kant van het land moeten. Aan de uitgang staat de controlepost van het bedrijf, en daarna rijden ze verder. Dat is veilig en overzichtelijk, en het geeft files. Split tunneling legt een afrit aan voor de tunnel. Wie naar het bedrijfsnetwerk moet, gaat erdoor. Wie naar Teams, Netflix of de website van de bakker moet, rijdt over de heuvel. De tunnel is minder druk, de controlepost ziet minder, en de auto's over de heuvel rijden zonder begeleiding. Veel klanten van Microsoft stuurden vroeger zo'n 80 procent van hun verkeer naar interne bestemmingen; in 2020 ging volgens Microsoft meer dan 80 procent naar de cloud. Een VPN die al dat cloudverkeer langs kantoor stuurt, raakt dan verzadigd. De zogenaamde Optimize-adressen van Microsoft 365, voor Exchange Online, SharePoint en Teams, zijn volgens Microsoft goed voor zo'n 70 tot 80 procent van het verkeer naar die dienst, en het raadt aan om precies die buiten de tunnel te laten. > **Kmo-Kristof:** Sinds iedereen thuiswerkt, hapert elk Teams-gesprek. De IT-man zegt dat de VPN vol zit. > > **Security-Sofie:** Gaan jullie Teams-gesprekken via de VPN naar kantoor, en dan van kantoor naar Microsoft? > > **Kmo-Kristof:** Geen idee. Is dat erg? > > **Security-Sofie:** Het is alsof je je pakjes eerst naar je eigen kantoor laat leveren, om ze daarna zelf naar huis te brengen. {.dialoog} ### Bij een werk-VPN beslist de beheerder In een kmo is split tunneling een beslissing voor de beheerder, niet voor elke medewerker apart. In de ingebouwde client van Windows bestaat er een instelling voor: met het PowerShell-commando [Set-VpnConnection](https://learn.microsoft.com/en-us/powershell/module/vpnclient/set-vpnconnection) en de parameter SplitTunneling op $True gaat verkeer naar bestemmingen buiten het bedrijfsnetwerk niet meer door de tunnel, volgens de beschrijving van Microsoft. Firewalls met een eigen VPN-client hebben een gelijkaardige optie in hun beheerconsole. Microsoft geeft twee raadgevingen voor wie het voor Microsoft 365 doet: werk met de vaste IP-bereiken die Microsoft publiceert, niet met domeinnamen, en begin met de Optimize-categorie. Die raad komt uit de documentatie voor grote organisaties, maar de logica geldt ook voor een kantoor met acht mensen en een firewall die het niet bijhoudt. ### Bij een VPN-app kies je zelf VPN-diensten bieden split tunneling vaak per app of per adres aan. Bij Proton VPN gaat dat volgens de [documentatie van Proton](https://protonvpn.com/support/protonvpn-split-tunneling) zo: op Windows apps en IP-adressen uitsluiten of juist alleen die door de tunnel sturen, op Android hetzelfde met apps en IP-adressen, en op macOS voorlopig alleen apps uitsluiten, als experimentele functie die niet werkt met Safari en andere WebKit-apps. Het is een functie van de betaalde abonnementen. Android regelt dat in het systeem zelf. Volgens de [ontwikkelaarsdocumentatie van Android](https://developer.android.com/develop/connectivity/vpn) kan een VPN-app een lijst maken van apps die door de tunnel mogen, of een lijst van apps die erbuiten blijven, maar nooit beide tegelijk. Zonder lijst gaat alles door de VPN. ### Wanneer het slim is, en wanneer niet Split tunneling is nuttig als: - je met een werk-VPN thuiswerkt en videogesprekken haperen; - je thuis of op kantoor ook je printer of je NAS op het lokale netwerk wilt bereiken; - één app weigert te werken via een VPN, en de rest moet wel beschermd blijven. Het is geen goed idee als: - je de VPN gebruikt om je verkeer op openbare wifi te beschermen: wat buiten de tunnel gaat, is dan onbeschermd; - je beheerder al het verkeer wil controleren, bijvoorbeeld met een filter tegen schadelijke websites op kantoor; - je niet meer weet welke apps je hebt uitgesloten, wat na een paar maanden vaker voorkomt dan je zou denken. Een voorbeeld. Een zelfstandige vertaler in Brugge werkt via de VPN van een klant op een vertaalserver. Zijn Teams-gesprekken met andere klanten hoeven daar niet langs. Met split tunneling gaat alleen het verkeer naar die server door de tunnel. Een kmo met acht medewerkers die thuiswerken, kan hetzelfde doen voor Microsoft 365 en zo vermijden dat de upload van het kantoor de bottleneck wordt. ### Split tunneling en de kill switch Een kill switch blokkeert al het verkeer als de VPN wegvalt; split tunneling laat bewust verkeer buiten de VPN. Bij Proton gaan ze volgens de documentatie op de meeste platformen niet samen, behalve op Windows. Hoe een kill switch werkt en hoe je lekken opspoort, lees je bij [kill switch en lekken](/gidsen/vpn-voor-bedrijven/instellen/kill-switch-en-lekken/). ### Als de VPN de bottleneck is Haperende gesprekken en trage downloads hebben niet altijd met split tunneling te maken. Afstand, protocol en serverbelasting spelen ook mee. Hoe je de oorzaak vindt, staat bij [een trage VPN onderzoeken](/gidsen/vpn-voor-bedrijven/instellen/vpn-traag/). ### Waar je dit op Windows instelt De velden die Microsoft beschrijft voor een nieuwe verbinding in Instellingen bevatten geen split tunneling; je beheerder regelt het met PowerShell of via toestelbeheer. Hoe je de verbinding zelf aanmaakt, lees je bij [de Windows-client instellen](/gidsen/vpn-voor-bedrijven/instellen/vpn-instellen-windows/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).