IPsec, VPN-protocollen en beveiliging van externe toegang

Een Virtual Private Network (VPN) maakt een versleutelde tunnel over een openbaar of niet-vertrouwd netwerk, zodat externe gebruikers en locaties kunnen communiceren alsof ze zich op hetzelfde privénetwerk bevinden. VPN's beschermen tegen afluisteren op niet-vertrouwde netwerken (wifi in hotels, openbare hotspots), geven externe medewerkers toegang tot interne bronnen en verbinden filialen veilig via internet. Het Security+-examen behandelt meerdere VPN-technologieën — IPsec, SSL-VPN en opkomende protocollen zoals WireGuard — en de beveiligingsoverwegingen die op elk daarvan van toepassing zijn.

IPsec (Internet Protocol Security) is een reeks protocollen die IP-verkeer op laag 3 beveiligt. IPsec werkt in twee modi: Transportmodus versleutelt alleen de payload van elk IP-pakket (de oorspronkelijke IP-header blijft behouden — gebruikt voor communicatie van host tot host) en tunnelmodus versleutelt het volledige oorspronkelijke pakket en verpakt dit in een nieuwe IP-header — gebruikt voor site-to-site-VPN's waarbij gateways als tunneluiteinden fungeren. IPsec gebruikt twee hoofdprotocollen: AH (Authentication Header) alleen voor integriteit en authenticatie (geen versleuteling), en ESP (Encapsulating Security Payload) voor zowel versleuteling als authenticatie.

IKE (Internet Key Exchange) onderhandelt over de beveiligingsparameters (algoritmen, sleutels) voor een IPsec-sessie. IKEv1 gebruikte twee fasen: fase 1 (een beveiligd kanaal opzetten om de onderhandeling van fase 2 te beschermen) en fase 2 (de daadwerkelijke IPsec-beveiligingskoppelingen onderhandelen). IKEv2 (de huidige standaard) is eenvoudiger, sneller en betrouwbaarder en biedt ingebouwde ondersteuning voor EAP-authenticatie en MOBIKE (het afhandelen van wijzigingen in IP-adressen tijdens een sessie — belangrijk voor mobiele apparaten). IPsec-beveiligingskoppelingen (SA's) zijn unidirectioneel; elke richting heeft een eigen SA met een eigen versleutelingssleutel.

IPsec-VPN werkt op laag 3, vereist clientsoftware en heeft vaak specifieke firewallpoorten nodig (UDP 500, UDP 4500 voor NAT-traversal, ESP-protocol 50). De implementatie is complexer, maar biedt volledige toegang op netwerkniveau. SSL-VPN tunnelt verkeer via HTTPS (TCP 443), dat vrijwel elke firewall doorlaat, en kan werken vanuit browsers (clientloze modus) of met thin clients. SSL-VPN gebruikt TLS voor de buitenste tunnel en profiteert daardoor van verbeteringen in de TLS-beveiliging; bovendien kunnen gebruikers eenvoudiger verbinding maken. SSL-VPN-producten voor bedrijven (Cisco AnyConnect, Palo Alto GlobalProtect) ondersteunen ook split tunneling en beoordeling van de beveiligingsstatus van eindpunten.

Split tunneling zorgt ervoor dat VPN-clients alleen verkeer naar bedrijfsdoelen via de VPN-tunnel sturen, terwijl internetverkeer rechtstreeks naar internet gaat zonder de beveiligingscontroles van het bedrijf te passeren. Het beveiligingsrisico: een gecompromitteerd eindpunt kan tegelijkertijd toegang hebben tot het bedrijfsnetwerk (via de VPN) en communiceren met C2-servers van malware (via rechtstreeks internetverkeer) — waardoor het bedrijfsnetwerk effectief met de aanvaller wordt verbonden. Volledig tunnelen stuurt al het verkeer via de VPN-gateway, waar beveiligingscontroles van het bedrijf (webfiltering, DLP, IPS) het inspecteren. De meeste beveiligingsbewuste organisaties verplichten volledig tunnelen en accepteren de extra belasting van de bandbreedte.

WireGuard is een modern VPN-protocol dat eenvoudiger, sneller en veiliger is ontworpen dan IPsec en OpenVPN. WireGuard gebruikt een vaste, minimale cryptografische stack: ChaCha20 voor symmetrische versleuteling, Poly1305 voor authenticatie, Curve25519 voor ECDH-sleuteluitwisseling, BLAKE2s voor hashing en SipHash24 voor sleutels van hashtabellen. De codebasis bevat minder dan 4.000 regels (tegenover meer dan 100.000 voor OpenVPN), waardoor deze controleerbaar is en het aanvalsoppervlak kleiner wordt. WireGuard is inmiddels ingebouwd in de Linux-kernel (5.6+) en wordt ondersteund op alle grote platforms.

Site-to-site-VPN's verbinden volledige netwerken (filialen, datacenters, cloud-VPC's) via permanente versleutelde tunnels tussen gatewayapparaten. In tegenstelling tot VPN's voor externe toegang, waarbij individuele gebruikers verbinding maken, staan site-to-site-tunnels altijd aan tussen vaste eindpunten. IPsec in tunnelmodus is de meest gebruikte technologie. Voor de configuratie moeten aan beide kanten overeenkomende IKE-voorstellen (versleuteling, integriteit, DH-groep, levensduur) worden ingesteld — afwijkingen zijn het meest voorkomende probleem bij het oplossen van problemen met site-to-site-verbindingen. Redundante tunnels met dead peer detection (DPD) bieden failover wanneer het primaire pad uitvalt.

VPN's ondersteunen meerdere authenticatiemechanismen. Pre-shared keys (PSK): een gedeeld geheim dat op beide eindpunten is geconfigureerd — eenvoudig, maar een single point of compromise als de sleutel uitlekt; geschikt voor site-to-site. Authenticatie op basis van certificaten: elke client of gateway presenteert een X.509-certificaat — sterker, schaalbaar naar veel gebruikers en certificaten kunnen worden ingetrokken. EAP (Extensible Authentication Protocol): ondersteunt RADIUS-integratie, waardoor gebruikersnaam/wachtwoord, MFA (EAP-TTLS, EAP-TLS) en integratie met Active Directory mogelijk zijn. De meeste bedrijfsimplementaties combineren certificaatauthenticatie (apparaatidentiteit) met MFA (gebruikersidentiteit).

Moderne VPN-gateways voeren controles van de beveiligingsstatus van eindpunten uit voordat ze toegang verlenen, om te controleren of verbonden apparaten aan de beveiligingsvereisten voldoen. De controles omvatten: versie en patchniveau van het besturingssysteem (verouderde besturingssystemen waarvan de ondersteuning is beëindigd weigeren), installatie en actualiteit van antivirusdefinities, ingeschakelde schijfversleuteling, afwezigheid van ongeautoriseerde software en een actieve firewall. Apparaten die niet aan de controles voldoen, worden in een quarantaine-VLAN met beperkte toegang geplaatst — doorgaans alleen tot bronnen voor herstel — totdat ze aan het beleid voldoen. Zo wordt voorkomen dat een gecompromitteerd persoonlijk apparaat rechtstreeks toegang krijgt tot het productienetwerk van het bedrijf, zelfs met geldige inloggegevens.

Een altijd ingeschakelde VPN zorgt ervoor dat bedrijfseindpunten een permanente VPN-verbinding onderhouden zodra ze zich buiten het bedrijfsnetwerk bevinden. In tegenstelling tot traditionele VPN's, waarbij gebruikers handmatig verbinding maken, maakt een altijd ingeschakelde VPN al vóór het aanmelden verbinding (soms met authenticatie via een machinecertificaat) en blijft deze tijdens de hele sessie verbonden. Zo wordt al het verkeer van het eindpunt geïnspecteerd door de beveiligingscontroles van het bedrijf, ook bij externe medewerkers. Microsoft DirectAccess (de voorganger) en oplossingen zoals Cisco AnyConnect Always-On en GlobalProtect implementeren dit model. De afweging is een hogere belasting van de gateway — elk extern eindpunt onderhoudt een permanente sessie.

Een VPN-concentrator is een speciaal apparaat of virtueel apparaat dat grote aantallen VPN-sessies beëindigt en de cryptografische verwerkingslast afhandelt die een router of firewall voor algemeen gebruik zou overbelasten. VPN-concentrators voor bedrijven ondersteunen duizenden gelijktijdige sessies en integreren met RADIUS voor authenticatie, LDAP/AD voor het opzoeken van gebruikers en certificaatautoriteiten voor validatie van clientcertificaten. Configuraties met hoge beschikbaarheid (HA) gebruiken actieve/stand-by- of actieve/actieve clusters met sessiesynchronisatie, zodat gebruikers niet worden verbroken als een concentrator uitvalt. Een goede HA-planning is essentieel voor organisaties die voor kritieke activiteiten afhankelijk zijn van VPN.

In deze les heb je geleerd dat IPsec IP-verkeer op laag 3 beveiligt met AH (alleen integriteit) of ESP (versleuteling + integriteit) in transport- of tunnelmodus, met IKEv2 voor sleutelonderhandeling; dat SSL-VPN-verbindingen via HTTPS tunnelt, waardoor implementatie achter firewalls eenvoudiger is dan bij IPsec; en dat split tunneling een beveiligingsrisico vormt doordat malware op eindpunten rechtstreeks toegang tot internet kan krijgen terwijl de VPN tegelijkertijd toegang tot het bedrijfsnetwerk biedt. Hiermee is de cursus Secure Protocols voltooid — hierna verkennen we Zero Trust Architecture.