VPN-tunnel stap voor stap: wat een VPN met je verbinding doet
Een VPN maakt van je internetverbinding een versleutelde tunnel naar één server. Je toestel versleutelt elk datapakket, verpakt het in een nieuw pakket dat alleen aan de VPN-server gericht is, en die server pakt het uit en stuurt het naar de eigenlijke bestemming, met zijn eigen IP-adres als afzender. Antwoorden maken de omgekeerde weg. Deze gids volgt die weg stap voor stap, en toont wat je internetprovider, de VPN-server en de websites die je bezoekt daarna nog te zien krijgen.
Of: wat er gebeurt in de halve seconde na „verbinden”
Over de werking van een VPN gaat de reclame vooral over sloten en schilden. Wat er echt gebeurt, is inpakken: je toestel steekt elk stukje data in een versleutelde envelop en stuurt die naar één vast adres. Dat principe heet tunneling, en het bestond al lang voor de eerste VPN-app in een appwinkel stond.
Kort: je toestel versleutelt je verkeer, stuurt het naar de VPN-server, en die zet het op het internet alsof het van hem komt. Wie onderweg meekijkt, ziet alleen een versleutelde stroom tussen jou en die server. Wie aan het einde staat, de website, ziet de server en niet jou. Wat daartussen gebeurt, is het eigenlijke werk, en het verloopt in vijf stappen.
Hoe werkt een VPN-tunnel?
Het beste beeld is de buizenpost uit oude ziekenhuizen en warenhuizen. Je steekt een brief in een gesloten koker, de koker schiet door een buis, en aan de andere kant haalt iemand hem eruit. Wie langs de buis loopt, ziet een koker voorbijkomen. Wat erin zit, ziet hij niet. Een VPN doet hetzelfde, maar dan met een buis die over het gewone internet loopt.
Stap 1: de handdruk
Als je op „verbinden” klikt, contacteert de VPN-app de server. Beide kanten bewijzen wie ze zijn, met sleutels of certificaten, en spreken sleutels af voor deze sessie. Bij WireGuard, een van de bekendste protocollen, gebeurt die afspraak met Curve25519, volgens de beschrijving van het protocol. Andere protocollen, zoals OpenVPN en IKEv2, gebruiken andere bouwstenen voor hetzelfde doel.
Stap 2: een nieuwe netwerkkaart
De VPN-app maakt op je toestel een virtuele netwerkkaart aan, met een eigen intern adres. Je besturingssysteem stuurt vanaf dan je verkeer naar die kaart in plaats van rechtstreeks naar je wifi of je kabel. Meestal gaat al het verkeer zo, soms alleen een deel: dat heet split tunneling, en dat is een instelling die je bewust kiest.
Stap 3: versleutelen en verpakken
Elk datapakket, met zijn echte bestemming erop, wordt versleuteld. WireGuard gebruikt daarvoor ChaCha20 met Poly1305, dat ook controleert of er onderweg niets aan het pakket veranderd is. Het versleutelde pakket gaat in een nieuw pakket, met als enige adres dat van de VPN-server. Dat is de koker in de buis.
Stap 4: uitpakken en doorsturen
De server ontvangt de koker, ontsleutelt het pakket en ziet nu de echte bestemming. Hij stuurt het pakket verder, met zijn eigen IP-adres als afzender. Het antwoord van de website komt terug bij de server, die het versleutelt en door de buis naar jou stuurt. Vanaf de server tot aan de website reist je verkeer zoals elk ander verkeer op het internet: beschermd door HTTPS als de site dat gebruikt, en anders niet.
Stap 5: de namen opzoeken
Voor je een website bereikt, zet je toestel de naam om in een IP-adres, via DNS. Een goed ingestelde VPN-app stuurt ook die opzoekingen door de tunnel, naar een DNS-server van de VPN of van je bedrijf. Gaan ze er toch naast, dan ziet je provider welke namen je opzoekt; dat heet een DNS-lek.
Wie ziet wat?
| Wie kijkt mee | Zonder VPN | Met VPN |
|---|---|---|
| Het wifi-netwerk en je internetprovider | Met welke servers je verbindt en welke namen je opzoekt | Een versleutelde verbinding met de VPN-server: tijdstip, duur en hoeveelheid data |
| De VPN-server | Niets | Met welke servers je verbindt; de inhoud niet, als die met HTTPS versleuteld is |
| De website | Het publieke IP-adres van je verbinding | Het IP-adres van de VPN-server |
Een zelfstandige fotografe die vanuit een hotel in Gent foto’s naar een klant uploadt, wint dus iets op het hotelnetwerk: dat ziet alleen een koker naar één adres. De klant die de foto’s ontvangt, merkt geen verschil, want ze logt nog altijd in op haar eigen account.
Bij een VPN naar je eigen bedrijfsnetwerk staat aan het andere einde van de buis geen server in een datacenter, maar de firewall of de NAS in je kantoor. Daar wordt het pakket uitgepakt, en het komt binnen op je eigen netwerk in plaats van op het internet. Het mechanisme is hetzelfde, de bestemming niet.
Kmo-Kristof: Dus als de VPN aanstaat, ziet niemand wat ik doe?
Security-Sofie: Niemand tussen jou en de VPN-server.
Kmo-Kristof: En na de server?
Security-Sofie: Na de server is het internet. Daar is niets veranderd.
Twee soorten eindpunten
Waar de buis uitkomt, maakt het hele verschil: bij een aanbieder of in je eigen netwerk. Waarom dat twee verschillende producten zijn, lees je bij dienst of eigen netwerk.
Het slotje deed al de helft
De meeste websites versleutelen hun verkeer zelf al. Wat een VPN daar nog aan toevoegt, en wat niet, staat bij wat HTTPS al versleutelt.
Altijd die buis?
Een tunnel die altijd openstaat, heeft voordelen en kosten. Wanneer je de VPN beter aan laat en wanneer niet, lees je daar.