Wat is een VPN-tunnel en hoe werkt het?

Wat is een VPN-tunnel

Een VPN-tunnel is een beveiligde verbinding tussen je apparaat, zoals een computer, smartphone of tablet, en een VPN-server. De VPN versleutelt het verkeer dat tussen beide punten wordt uitgewisseld, zodat derden die deze gegevens onderweg onderscheppen de inhoud niet zomaar kunnen lezen.

De VPN-server stuurt je verkeer vervolgens door naar de eindbestemming, bijvoorbeeld een website. Die website ziet daarbij het IP-adres van de VPN-server in plaats van je echte IP-adres. Vanaf de VPN-server hangt de encryptie richting de eindbestemming onder meer af van HTTPS.

VPN-tunneling is een kernfunctie van elk virtual private network. Voor het opzetten van zo’n tunnel wordt een VPN-protocol gebruikt, zoals WireGuard, OpenVPN of IKEv2/IPsec. De VPN-tunnel is dus de beveiligde verbinding zelf, terwijl het VPN-protocol bepaalt hoe die verbinding wordt opgebouwd, beveiligd en onderhouden. Welk protocol wordt gebruikt, hangt af van de VPN-dienst, je apparaat en je configuratie.

Zo werkt een VPN-tunnel

Zodra je verbinding maakt met een VPN-server, brengt de VPN-app een beveiligde tunnel tussen je apparaat en de server tot stand. Je internetverkeer reist eerst door deze tunnel en wordt daarna doorgestuurd naar websites, apps en andere online diensten. Dat biedt extra privacy en beveiliging, vooral wanneer je een netwerk gebruikt dat je niet volledig vertrouwt.

Wat doet een VPN-tunnel?

Een VPN-tunnel heeft drie belangrijke functies:

• Je verkeer wordt versleuteld. De gegevens tussen je apparaat en de VPN-server worden onleesbaar gemaakt voor partijen die ze onderweg proberen te onderscheppen.
• Je IP-adres wordt afgeschermd. Websites en andere online diensten zien het IP-adres van de VPN-server in plaats van je echte IP-adres. Verbind je bijvoorbeeld met een server in Canada, dan zien websites het Canadese IP-adres van die server.
• Je verbinding wordt beter beveiligd. Vooral op openbare wifi helpt de tunnel voorkomen dat andere gebruikers op hetzelfde netwerk je verkeer eenvoudig kunnen onderscheppen.

Zonder VPN kan je provider doorgaans zien met welke internetdiensten je verbinding maakt, wanneer je dat doet en hoeveel data je gebruikt. Dankzij HTTPS is de inhoud van veel online communicatie al versleuteld, maar een VPN beperkt daarnaast welke bestemmingen je provider rechtstreeks kan waarnemen. Sommige providers kunnen je verbinding ook vertragen op basis van het soort verkeer dat ze herkennen, bijvoorbeeld bij het streamen of downloaden van grote bestanden.

Een VPN beschermt je niet automatisch tegen alle online dreigingen. Malware, phishing en ransomware kunnen bijvoorbeeld nog steeds worden gebruikt om wachtwoorden, financiële informatie en andere gevoelige gegevens te bemachtigen. Een VPN maakt het wel moeilijker om het verkeer tussen je apparaat en de VPN-server af te luisteren.

Een versleutelde tunnel is daarom vooral nuttig wanneer je verbinding maakt met een netwerk dat je niet volledig vertrouwt, zoals openbare wifi in een café, hotel of luchthaven.

Sommige VPN-diensten bieden naast de versleutelde verbinding aanvullende beveiligingsfuncties. NordVPN combineert bijvoorbeeld moderne tunnelprotocollen met een next-gen antivirus, dat malware, trackers en kwaadaardige websites helpt blokkeren. Zo krijg je naast een beveiligde VPN-verbinding aanvullende bescherming tegen online dreigingen.

Wat is het proces van VPN-tunneling?

Een VPN-tunnel wordt in verschillende stappen opgebouwd. Het proces begint wanneer je in een VPN-app op ‘Verbinden’ klikt en eindigt wanneer je de verbinding verbreekt:

1. 1.De VPN-verbinding wordt gestart. Je opent de VPN-app, kiest eventueel een server en maakt verbinding. De app neemt contact op met de VPN-dienst en bereidt een beveiligde verbinding voor.
2. 2.Je apparaat en de server verifiëren elkaar. Je apparaat en de VPN-server voeren een authenticatieproces uit. Afhankelijk van het protocol gebruiken ze daarvoor bijvoorbeeld digitale certificaten of andere beveiligde gegevens. Tijdens de cryptografische handshake spreken ze encryptieparameters af en maken ze tijdelijke sessiesleutels aan.
3. 3.De versleutelde tunnel wordt opgebouwd. Na de authenticatie creëert de VPN een beveiligd pad met een protocol zoals WireGuard, OpenVPN of IKEv2/IPsec.
4. 4.Je gegevens worden versleuteld en verzonden. Voordat de data je apparaat verlaat, wordt deze versleuteld. Wie het verkeer onderweg onderschept, kan de inhoud niet zonder de juiste sleutel lezen.
5. 5.De VPN-server verwerkt de gegevens. De server ontvangt en ontsleutelt de data en stuurt deze door naar de bedoelde bestemming, zoals een website. Daarbij wordt je echte IP-adres afgeschermd en ziet de bestemming het IP-adres van de VPN-server.
6. 6.De gegevens worden teruggestuurd. De website stuurt de gevraagde informatie naar de VPN-server. De server versleutelt de data opnieuw en stuurt deze via de tunnel naar je apparaat. Daar wordt de informatie ontsleuteld, zodat de website normaal kan worden weergegeven.
7. 7.De tunnel wordt gesloten. Wanneer je de VPN-verbinding verbreekt, sluit de app de tunnel en worden de tijdelijke sessiesleutels verwijderd. Bij een volgende verbinding worden nieuwe sleutels gebruikt.

Soorten VPN-tunnelprotocollen

Er bestaan verschillende VPN-tunnelprotocollen. Een VPN-protocol bepaalt hoe de tunnel wordt opgezet en hoe gegevens tussen je apparaat en de VPN-server worden beveiligd en verzonden. Protocollen verschillen onder meer in snelheid, beveiliging en compatibiliteit. Hieronder vind je een overzicht van zes bekende protocollen.

1. WireGuard

Beveiliging: zeer hoog

Snelheid: zeer hoog

WireGuard is een van de snelste moderne VPN-protocollen en is vooral geschikt wanneer snelheid belangrijk is. Het protocol biedt daarnaast sterke beveiliging. WireGuard is lichtgewicht en bestaat uit ongeveer 4000 regels code. De beperkte omvang verkleint de kans op fouten en maakt de code relatief eenvoudig te controleren en te onderhouden.

WireGuard is open source, waardoor onafhankelijke experts de broncode kunnen bekijken. Voor gebruik binnen een commerciële VPN-dienst is wel aanvullende infrastructuur nodig. NordVPN introduceerde daarom in 2019 NordLynx, dat WireGuard als basis gebruikt en aanvullende technologie toepast om de privacy van gebruikers beter te beschermen.

2. OpenVPN

Beveiliging: hoog

Snelheid: hoog

OpenVPN is een open-sourceprotocol dat met alle grote besturingssystemen werkt. De broncode is openbaar en kan door experts worden gecontroleerd en aangepast. Het protocol kan via TCP of UDP werken en wordt beschouwd als een veilige en betrouwbare keuze. OpenVPN levert doorgaans ook goede snelheden.

Een nadeel is dat OpenVPN ingewikkeld kan zijn om handmatig in te stellen. Bij commerciële VPN-apps wordt de configuratie meestal automatisch geregeld.

3. IKEv2/IPsec

Beveiliging: hoog

Snelheid: hoog

IKEv2/IPsec combineert de beveiligingsmogelijkheden van IPsec (Internet Protocol Security) met IKEv2 (Internet Key Exchange Version Two). Het protocol kan een onderbroken verbinding snel herstellen, bijvoorbeeld wanneer je telefoon wisselt tussen wifi en mobiele data. Daardoor is het vooral geschikt voor mobiele apparaten.

IKEv2/IPsec wordt niet door ieder besturingssysteem en iedere VPN-dienst op dezelfde manier ondersteund.

4. L2TP/IPsec

Beveiliging: gemiddeld

Snelheid: gemiddeld

L2TP (Layer 2 Tunneling Protocol) verzorgt zelf geen encryptie en wordt daarom meestal gecombineerd met IPsec. Het protocol is relatief eenvoudig in te stellen en er is veel documentatie over beschikbaar.

L2TP/IPsec is inmiddels verouderd. Het is relatief traag door de dubbele inkapseling van gegevens en heeft vaker moeite met firewalls dan modernere alternatieven. Gebruik daarom bij voorkeur WireGuard, OpenVPN of IKEv2/IPsec.

5. SSTP

Beveiliging: hoog

Snelheid: gemiddeld

SSTP (Secure Socket Tunneling Protocol) is relatief eenvoudig in te stellen en kan goed door veel firewalls komen. Het protocol is door Microsoft ontwikkeld en nauw geïntegreerd met Windows.

Buiten Windows wordt SSTP minder breed ondersteund. De technologie is bovendien minder transparant dan open-sourceprotocollen zoals WireGuard en OpenVPN.

6. PPTP

Beveiliging: zwak

Snelheid: hoog

PPTP (Point-to-Point Tunneling Protocol) is snel, breed compatibel en eenvoudig te configureren. Het is echter een verouderd protocol met meerdere bekende kwetsbaarheden. Daardoor biedt het onvoldoende beveiliging voor moderne toepassingen. Het wordt bovendien gemakkelijk door firewalls herkend en geblokkeerd.

VPN split tunneling uitgelegd

Split tunneling is een VPN-functie waarmee je bepaalt welke apps of verbindingen door de VPN-tunnel lopen en welke rechtstreeks verbinding maken met het internet. Je gebruikt dan tegelijkertijd een beveiligde VPN-verbinding en je gewone internetverbinding.

Normaal gesproken stuurt een VPN-app al het internetverkeer van je apparaat door de tunnel. Met split tunneling kun je bepaald verkeer daarvan uitsluiten. Je kunt bijvoorbeeld je browser via de VPN laten verbinden, terwijl een vertrouwde lokale app je gewone verbinding gebruikt. Zo bepaal je zelf welk verkeer VPN-bescherming nodig heeft.

NordVPN ondersteunt split tunneling onder meer op Windows, Android en Android TV. Op Linux kun je met de allowlist bepaalde poorten of subnetten buiten de VPN-verbinding laten vallen. De precieze mogelijkheden verschillen per apparaat en besturingssysteem.

Heeft VPN split tunneling risico’s?

Split tunneling betekent dat het verkeer dat je uitsluit minder bescherming krijgt. Apps en websites die niet via de VPN lopen, maken rechtstreeks verbinding met het internet en vallen buiten de versleutelde tunnel. Dit zijn de belangrijkste risico’s:

• Een deel van je verkeer is niet beschermd. Bij uitgesloten apps blijft je echte IP-adres zichtbaar en kan je provider zien met welke diensten je verbinding maakt.
• Onbeschermd verkeer kan een aanvalspunt vormen. Schadelijke software die via een uitgesloten app binnenkomt, kan ook andere bestanden, apps of systeembronnen op je apparaat treffen.
• Het risico is groter op openbare wifi. Uitgesloten apps gebruiken op een openbaar netwerk niet de bescherming van de VPN-tunnel. Daardoor kan het verkeer kwetsbaarder zijn voor afluisteren, man-in-the-middle-aanvallen en gegevensonderschepping.

Split tunneling kan veilig worden gebruikt, maar denk goed na over welke apps of verbindingen je buiten de tunnel laat. Sluit geen apps uit die gevoelige gegevens verwerken wanneer je een openbaar of onbekend netwerk gebruikt.

Voordelen van een VPN-tunnel

Een versleutelde VPN-verbinding biedt verschillende privacy- en beveiligingsvoordelen:

Voordelen van een VPN-tunnel

• Sterkere online beveiliging. De tunnel versleutelt de data tussen je apparaat en de VPN-server en beschermt deze tegen partijen die het verkeer onderweg proberen te onderscheppen.

• Veiligere toegang tot privénetwerken. Werknemers kunnen op afstand veiliger verbinding maken met interne systemen en bedrijfsbestanden.

• Minder kans op bandbreedtebeperking op basis van je activiteiten. Een VPN maakt het voor je provider moeilijker om het soort verkeer te herkennen. Daardoor kan de dienst bepaalde vormen van snelheidsbeperking helpen voorkomen.

• Minder tracking op basis van je IP-adres. Websites zien het IP-adres van de VPN-server in plaats van je echte IP-adres. Een VPN voorkomt echter geen tracking via bijvoorbeeld cookies, accounts of browserfingerprinting.

• Extra bescherming op openbare netwerken. In cafés, hotels en luchthavens helpt de tunnel voorkomen dat andere netwerkgebruikers je verkeer eenvoudig kunnen onderscheppen.

Nadelen van een VPN-tunnel

VPN-tunneling kan ook nadelen hebben:

• Een lichte daling van de verbindingssnelheid. Het versleutelen van gegevens en omleiden van verkeer via een VPN-server kan je internetverbinding vertragen. De impact is meestal groter wanneer je een verre of drukke server gebruikt.

• Niet alle diensten werken goed met VPN’s. Sommige websites en streamingplatforms blokkeren VPN-verbindingen of beperken de toegang wanneer ze VPN-gebruik herkennen.

Voor veel gebruikers wegen deze nadelen niet op tegen de extra privacy en beveiliging van een versleutelde verbinding.

Een VPN-dienst kiezen

De kwaliteit van een VPN-tunnel hangt mede af van de dienst die deze tot stand brengt. Let daarom op de volgende factoren wanneer je een VPN-aanbieder kiest:

• Ondersteunde VPN-protocollen. Kies een dienst met moderne protocollen zoals WireGuard, OpenVPN of IKEv2/IPsec. Het protocol bepaalt hoe de tunnel wordt opgebouwd, beveiligd en onderhouden.
• Snelheid en prestaties. Encryptie en het omleiden van verkeer kunnen je snelheid enigszins verlagen. Een aanbieder met snelle servers en efficiënte protocollen beperkt dit effect.
• Compatibiliteit met apparaten en platforms. Controleer of de app werkt op je laptop, telefoon, tablet en eventueel je router. Kijk ook hoeveel apparaten je tegelijkertijd met één account kunt verbinden.
• Beveiligingsfuncties. Een betrouwbare dienst biedt sterke encryptie, veilige authenticatie en functies zoals een kill switch en DNS-lekbeveiliging. Split tunneling en aanvullende bescherming tegen cyberdreigingen kunnen eveneens nuttig zijn.
• Serverdekking. Een ruim en goed onderhouden servernetwerk geeft je meer keuze en kan bijdragen aan een stabielere verbinding.
• Privacybeleid. Controleer welke gegevens de aanbieder verzamelt, hoelang deze worden bewaard en of het no-log-beleid onafhankelijk is gecontroleerd.
• Betrouwbare klantenservice. Een goede aanbieder biedt duidelijke documentatie, gebruiksvriendelijke apps en snel bereikbare ondersteuning.

Gratis en betaalde VPN’s verschillen vaak in snelheid, serverkeuze, privacy en beveiliging. Gratis diensten kunnen bijvoorbeeld datalimieten hanteren, minder servers aanbieden of meer gebruikersgegevens verzamelen. Voor stabiele en veilige VPN-tunneling is een betrouwbare betaalde dienst meestal de betere keuze.

Zo kun je een VPN-tunnel testen

Je kunt een VPN-tunnel testen door je IP-adres te controleren en tests op DNS- en WebRTC-lekken uit te voeren. Zo controleer je of de VPN je verkeer correct routeert en geen identificerende gegevens lekt:

1. 1.Controleer je IP-adres voor en na het verbinden. Controleer je IP-adres met een IP lookup-tool voordat je de VPN inschakelt en controleer je adres opnieuw nadat je verbinding hebt gemaakt. Zie je daarna het IP-adres van de VPN-server, dan is de verbinding met de server tot stand gebracht. Deze controle bewijst op zichzelf niet dat er geen verkeer buiten de tunnel lekt.
2. 2.Voer een DNS-lektest uit. Een DNS-lektest controleert welke servers je DNS-verzoeken verwerken. Verschijnen de DNS-servers van je provider terwijl de VPN actief is, dan kan er sprake zijn van een DNS-lek.
3. 3.Controleer op WebRTC-lekken. Browsers kunnen via WebRTC soms een IP-adres blootleggen. Een WebRTC-lektest laat zien of je echte adres zichtbaar blijft terwijl de VPN actief is.
4. 4.Gebruik netwerkmonitoringsoftware. Voor een technische controle kun je netwerkmonitoringsoftware gebruiken. Deze tools laten zien hoe je data wordt gerouteerd en of verkeer buiten de tunnel om wordt verzonden.