Privacydienst of toegang tot je bedrijfsnetwerk: de twee soorten VPN
Onder de naam VPN worden twee verschillende dingen verkocht. Een VPN-dienst, zoals Mullvad, NordVPN of Proton VPN, stuurt je internetverkeer via zijn eigen servers naar het internet, zodat het netwerk waarop je zit niets kan lezen en websites het IP-adres van de dienst zien. Een VPN voor toegang op afstand verbindt je toestel met het netwerk van je zaak, via een firewall, een router of een NAS, zodat je van buitenaf bij je bestanden en programma’s komt. Deze gids legt het verschil uit voor zelfstandigen en kmo’s.
Of: waarom de VPN uit de reclame je niet bij je eigen server brengt
Twee mensen kunnen een uur lang over hoe een VPN werkt praten zonder te merken dat ze het over iets anders hebben. De ene bedoelt de app die zijn verkeer via een server in Amsterdam of Zürich stuurt. De andere bedoelt de verbinding waarmee de boekhouder van thuis uit op de server van het kantoor werkt. Beide gebruiken een versleutelde tunnel, vaak met hetzelfde protocol, zoals WireGuard of IPsec. Het verschil zit in waar die tunnel uitkomt.
Kort: een VPN-dienst brengt je naar buiten, het internet op, langs een server van de aanbieder. Een VPN naar je bedrijfsnetwerk brengt je naar binnen, in je eigen netwerk. Wie onderweg veilig wil werken, heeft het eerste nodig. Wie thuis bij de gedeelde map op kantoor wil, het tweede. Sommige zaken hebben beide nodig, en geen van de twee doet het werk van de ander.
VPN-dienst of VPN naar je bedrijfsnetwerk
Denk aan een kantoorgebouw met twee deuren. De ene is de uitgang naar de straat, de andere is de personeelsingang. Beide hebben een slot en een badgelezer. Toch zou niemand zeggen dat het dezelfde deur is, omdat ze allebei een deur zijn.
De uitgang: een VPN-dienst
Een VPN-dienst is een abonnement bij een aanbieder met servers in tientallen landen. Je installeert een app op je laptop en je gsm, kiest een server, en vanaf dan gaat je verkeer versleuteld naar die server en van daar verder naar het internet. Bekende namen zijn Mullvad, NordVPN, Proton VPN en Surfshark.
Wat het oplevert: wie op het hotelnetwerk of bij je internetprovider meekijkt, ziet alleen een versleutelde verbinding met de VPN-server. De websites die je bezoekt, zien het IP-adres van die server in plaats van het jouwe. Wat het niet oplevert: toegang tot iets in je eigen netwerk. De VPN-dienst weet niet dat je kantoor bestaat. Zijn servers staan in datacenters, niet in je magazijn.
Een vertaalster die als zelfstandige in coworkings en treinstations werkt, heeft daar iets aan. Haar bestanden staan in de cloud, haar programma’s draaien in de browser; ze wil vooral dat het netwerk waarop ze toevallig zit, niet meekijkt.
De personeelsingang: een VPN naar je eigen netwerk
Een VPN voor toegang op afstand draait op een toestel van je zaak. Dat kan een firewall zijn, van merken zoals DrayTek, Fortinet, Sophos of WatchGuard, een router zoals een FRITZ!Box, of een NAS van Synology. Elke medewerker krijgt een account. Na het verbinden gedraagt zijn laptop zich alsof hij op kantoor staat: de gedeelde map, de printer en het planningsprogramma op de server zijn bereikbaar.
Neem een installatiebedrijf met acht mensen, met de planning en de offertes op een server in het bureau. De projectleider wil ’s avonds van thuis een offerte afwerken. Een VPN-dienst helpt hem niet: die brengt hem naar een server in Frankfurt, niet naar het bureau. Hij heeft een tunnel nodig die in zijn eigen netwerk uitkomt.
Een variant verbindt geen personen maar gebouwen: twee vestigingen die als één netwerk werken. Dat heet een site-to-site-VPN, en het is een verhaal apart.
Het tussenstuk: zakelijke VPN-diensten
Sommige VPN-diensten verkopen een zakelijk pakket, zoals Proton VPN for Business of NordLayer. Daarin beheert een beheerder de accounts van het team vanuit één paneel. Belangrijker voor veel kmo’s: je kunt er een eigen server met een vast IP-adres bij nemen. Wie een beheerpaneel, een webshop-backend of het systeem van een klant zo instelt dat alleen dat ene adres binnen mag, krijgt een soort personeelsingang via een omweg. Bij Proton VPN Professional heten die afgeschermde toegangen gateways.
Het blijft wel een dienst in de cloud. Bij je bestanden op de NAS in de kast komt je team er niet zomaar mee.
En dan nog zero trust
De nieuwste generatie geeft geen toegang tot een heel netwerk meer, maar per toepassing: wie de boekhouding mag openen, ziet de rest van het netwerk niet. Dat principe heet zero trust, en het Amerikaanse NIST beschreef het in 2020 in SP 800-207. Een VPN in de klassieke zin is het niet meer, al gebruikt bijvoorbeeld Tailscale onderliggend WireGuard. Voor een kleine zaak volstaat het om te weten dat het bestaat.
| VPN-dienst | VPN naar je bedrijfsnetwerk | |
|---|---|---|
| Waar de tunnel uitkomt | Een server van de aanbieder | Je eigen firewall, router of NAS |
| Wat websites zien | Het IP-adres van de VPN-server | Meestal het IP-adres van je kantoor, of je eigen adres |
| Wie het beheert | De aanbieder | Jij, of je IT-partner |
| Typisch gebruik | Onderweg werken, IP-adres verbergen | Bij bestanden en programma’s op kantoor komen |
Kmo-Kristof: Ik heb een VPN genomen om thuis aan de boekhouding te kunnen. Het werkt niet.
Security-Sofie: Welke VPN?
Kmo-Kristof: Die met servers in zestig landen.
Security-Sofie: En in welk van die zestig landen staat jouw server?
Kmo-Kristof: In het bureau. Naast de koffiemachine.
Security-Sofie: Dan heb je een uitgang gekocht. Je zocht de personeelsingang.
Wat er in de tunnel zelf gebeurt
Voor beide soorten is het mechanisme hetzelfde: versleutelen, verpakken, doorsturen. Hoe dat in de praktijk loopt, en wie onderweg wat te zien krijgt, lees je bij wat er met pakketjes gebeurt.
Welke je zaak nodig heeft
Een VPN-dienst, een bedrijfs-VPN, allebei of geen van beide: dat hangt af van wat je wilt oplossen. De gewone situaties van een zelfstandige en een kmo staan bij situaties waarin een VPN helpt.
Een proxy is geen van beide
Naast de twee soorten VPN bestaat er nog een derde tussenpersoon, die veel lichter is en zelf niets versleutelt. Wat die doet, staat bij het verschil met een proxy.