Wat is een VPN?
Een VPN (Virtual Private Network) is een technologie die een versleutelde en geauthenticeerde verbinding, een zogeheten tunnel, opzet over een onveilig netwerk zoals het internet, zodat netwerken of apparaten op afstand met elkaar communiceren alsof ze op hetzelfde lokale netwerk zitten. Een VPN beschermt de vertrouwelijkheid en integriteit van het verkeer onderweg en controleert wie de tunnel mag opzetten. In industriële omgevingen is de VPN de meest gebruikte route voor remote access van technici en leveranciers naar SCADA, PLC’s en een engineeringstation. Juist daardoor is de VPN-gateway ook een van de populairste aanvalsroutes richting OT.
🔐 Waarom gebruikt u een VPN?
- Beveiligde toegang op afstand - medewerkers en leveranciers bereiken interne systemen zonder dat die direct aan het internet hangen
- Bescherming tegen afluisteren en manipulatie - versleuteling en integriteitscontrole maken onderschepte pakketten onbruikbaar
- Netwerken koppelen - twee locaties gedragen zich alsof ze lokaal met elkaar verbonden zijn
- Toegang van IT naar OT - beheer en monitoring van OT-omgevingen vanuit kantoor of externe locaties, mits goed afgeschermd
🏗️ Hoe werkt een VPN?
Een VPN combineert drie mechanismen:
- Tunneling - het oorspronkelijke IP-pakket wordt ingepakt (encapsulation) in een nieuw pakket tussen twee eindpunten, bijvoorbeeld client ↔ VPN-gateway of OT-netwerk ↔ IT-netwerk
- Versleuteling - de inhoud van de tunnel wordt versleuteld met moderne algoritmen zoals AES-GCM of ChaCha20-Poly1305
- Authenticatie - beide kanten bewijzen hun identiteit met certificaten, vooraf gedeelde sleutels of gebruikersaccounts, idealiter aangevuld met MFA
Na de authenticatie onderhandelen de eindpunten over sessiesleutels, en vanaf dat moment loopt al het verkeer versleuteld door de tunnel. Belangrijk: zodra een gebruiker is ingelogd, staat hij in principe in het netwerk. Wat hij daar mag bereiken, bepalen de firewallregels achter de VPN, niet de VPN zelf.
🧩 Welke typen VPN en protocollen bestaan er?
Er zijn twee hoofdvormen. Een site-to-site VPN verbindt twee netwerken permanent via gateways of routers, bijvoorbeeld een pompstation met een centrale meldkamer. Een remote access VPN verbindt één gebruiker met een clientprogramma met het bedrijfsnetwerk.
| Protocol | Werking | Kenmerken | Typisch gebruik |
|---|---|---|---|
| IPsec (IKEv2) | Netwerklaag; IKEv2 (RFC 7296) via UDP 500, NAT-traversal via UDP 4500, data via ESP (IP-protocol 50) | Open standaard, breed ondersteund door firewalls en routers | Site-to-site, steeds vaker ook remote access |
| SSL/TLS VPN | Via TCP 443, vaak met DTLS over UDP als snellere variant | Werkt door vrijwel elke firewall; ook als clientloos webportaal | Remote access voor medewerkers en leveranciers |
| OpenVPN | Eigen protocol dat TLS gebruikt voor sleuteluitwisseling, over UDP of TCP | Open source, flexibel, veel in industriële remote-access-routers | Remote access en kleine site-to-site-koppelingen |
| WireGuard | Netwerklaag over UDP (standaard 51820), sinds Linux-kernel 5.6 (maart 2020) | Circa 4.000 regels code, vaste moderne cryptografie (Curve25519, ChaCha20-Poly1305) | Moderne remote access en mesh-netwerken |
De term “SSL VPN” is historisch: in de praktijk wordt TLS gebruikt, omdat SSL zelf al lang verouderd is. Opvallend is dat Fortinet in FortiOS 7.6.3 (2025) de tunnelmodus van zijn SSL VPN heeft geschrapt ten gunste van IPsec, eventueel over TCP 443: een stap die breed wordt gezien in het licht van de lange reeks kwetsbaarheden in SSL VPN-portalen.
🏭 Hoe wordt een VPN in industriële omgevingen toegepast?
| Toepassing | Voorbeeld |
|---|---|
| Remote access | Technicus logt veilig in op een PLC of SCADA-systeem voor storingsanalyse |
| Onderhoud op afstand | Machinebouwer ondersteunt een productielijn vanuit het buitenland |
| Externe monitoring | Cloudplatform analyseert data uit de historian |
| Beheer op afstand | IT/OT-netwerken beheren vanaf andere locaties |
| Interlocatieverbindingen | Meerdere fabrieken, gemalen of onderstations verbinden via site-to-site VPN |
VPN’s vormen vaak één laag binnen het Defense in Depth-principe. De norm IEC 62443-3-3 vraagt met eis SR 1.13 (Access via untrusted networks) dat alle toegang via onvertrouwde netwerken wordt gemonitord en gecontroleerd, en noemt in de toelichting VPN-technologie als manier om ongeautoriseerde verbindingen te voorkomen.
⚠️ Waarom is de VPN-gateway een aantrekkelijk doelwit?
Een VPN-gateway hangt per definitie aan het internet en geeft na een geslaagde inlog toegang tot het interne netwerk. Dat maakt VPN-appliances sinds 2019 een favoriet doelwit van zowel statelijke actoren als ransomwaregroepen:
| Incident | Jaar | Wat gebeurde er? |
|---|---|---|
| Fortinet CVE-2018-13379 | 2019–2021 | Path traversal in het SSL VPN-portaal lekte wachtwoorden; inloggegevens van circa 87.000 apparaten kwamen online |
| Colonial Pipeline | 2021 | Inbraak via een ongebruikt, niet-uitgeschakeld VPN-account zonder MFA; de pijpleiding lag van 7 tot 12 mei 2021 stil |
| COATHANGER (FortiGate) | 2022–2023 | Chinese statelijke actor misbruikte CVE-2022-42475, ook bij het Nederlandse ministerie van Defensie; volgens de MIVD minstens 20.000 FortiGate-systemen wereldwijd |
| Citrix Bleed (CVE-2023-4966) | 2023 | Lekte sessietokens van NetScaler-gateways, waarmee aanvallers wachtwoord én MFA omzeilden |
| Ivanti Connect Secure | 2024 | Combinatie van CVE-2023-46805 en CVE-2024-21887 gaf remote code execution; CISA eiste in noodrichtlijn ED 24-01 directe mitigatie |
Veel van deze lekken waren zero-days: ze werden misbruikt voordat er een patch was. Ook na patchen kan een appliance besmet blijven; COATHANGER overleefde zelfs firmware-updates. Het Nederlandse NCSC en de Amerikaanse CISA waarschuwen daarom expliciet voor edge devices zoals VPN-gateways.
🛡️ Hoe beveiligt u een VPN voor OT-toegang?
De CISA/NSA-handreiking Selecting and Hardening Remote Access VPN Solutions (september 2021) en de praktijk in OT leiden tot deze stappen:
- Termineer de VPN nooit direct in het OT-netwerk - laat de tunnel eindigen in een DMZ of IDMZ, conform het Purdue Model
- Zet een jump server achter de VPN - gebruikers komen alleen op een beheerd tussenstation uit, vanwaar sessies naar OT-systemen worden opgezet en vastgelegd, eventueel via PAM
- Verplicht MFA op elk account - bij voorkeur phishingbestendig (FIDO2 of certificaat), en schakel ongebruikte accounts direct uit
- Pas least privilege toe - firewallregels per gebruiker of rol, alleen naar de specifieke installatie en poorten die nodig zijn
- Patch de gateway met voorrang - VPN-appliances horen bovenaan het patchmanagement; volg CVE’s en meldingen van de leverancier actief
- Verklein het aanvalsoppervlak - schakel ongebruikte functies zoals webportalen uit en gebruik een standaardgebaseerde, gecertificeerde oplossing
- Log en monitor alles - stuur logs van inlogpogingen en sessies naar een SIEM en let op inlogs vanaf onverwachte locaties of tijden
- Leveranciers alleen op afroep - zet leveranciersaccounts pas aan bij een concrete onderhoudsopdracht en maak dit onderdeel van leveranciersbeveiliging
Voor organisaties onder NIS2 en de Nederlandse Cyberbeveiligingswet weegt dit extra zwaar: artikel 21 van NIS2 noemt het gebruik van multifactorauthenticatie expliciet als maatregel, waar passend.
🔄 Wat is het verschil tussen een VPN en ZTNA?
Een klassieke VPN geeft na inloggen toegang tot een netwerksegment. Zero Trust Network Access (ZTNA) werkt volgens het Zero Trust-model uit NIST SP 800-207: een broker verifieert identiteit, apparaatstatus en context, en geeft daarna alleen toegang tot één specifieke applicatie of één systeem.
| Kenmerk | VPN | ZTNA |
|---|---|---|
| Toegangsniveau | Netwerk of subnet | Specifieke applicatie of asset |
| Vertrouwen | Impliciet na inloggen | Per sessie en per verzoek opnieuw beoordeeld |
| Zichtbaarheid | Gateway zichtbaar op internet | Applicaties verborgen achter een broker, vaak zonder inkomende poorten |
| Laterale beweging | Mogelijk als firewallregels ruim zijn | Sterk beperkt |
| Inzet in OT | Breed beschikbaar, eenvoudig, ook voor site-to-site | Groeiend, vooral voor leveranciers- en gebruikerstoegang |
In OT verdwijnt de VPN niet snel: site-to-site-koppelingen tussen locaties blijven gangbaar. Voor gebruikerstoegang schuiven veel organisaties wel op naar ZTNA of naar een VPN met jump server, sessieopname en strikte netwerksegmentatie.
❓ Veelgestelde vragen
Is een VPN voldoende om OT-systemen veilig op afstand te benaderen?
Nee, een VPN beveiligt alleen de verbinding en niet het apparaat van de gebruiker of het OT-systeem zelf. Veilige remote access naar OT vraagt daarnaast om MFA, een jump server in een DMZ, least privilege en logging van alle sessies.
Wat is beter voor OT: IPsec of een SSL VPN?
IPsec is de gangbare keuze voor vaste site-to-site-verbindingen en wordt ook voor remote access steeds vaker gebruikt. Een SSL VPN werkt makkelijker door firewalls, maar SSL VPN-portalen hadden de afgelopen jaren veel ernstige kwetsbaarheden. Belangrijker dan het protocol is dat de gateway gepatcht, gehard en met MFA beveiligd is.
Waarom zijn VPN-appliances zo vaak het doelwit van aanvallers?
VPN-appliances staan per definitie open naar het internet en geven na een geslaagde aanval direct toegang tot het interne netwerk. Bovendien draaien ze vaak gesloten firmware zonder endpointbeveiliging, waardoor een inbraak lang onopgemerkt blijft. Lekken in producten van Fortinet, Ivanti en Citrix zijn daarom op grote schaal misbruikt.
Wat ging er mis bij Colonial Pipeline met de VPN?
Aanvallers logden in via een oud VPN-account dat niet meer werd gebruikt maar ook niet was uitgeschakeld, en dat alleen met een wachtwoord was beveiligd. Dat wachtwoord stond in een gelekte verzameling. Met MFA en het tijdig opruimen van ongebruikte accounts was deze toegang zeer waarschijnlijk geblokkeerd.
Is WireGuard geschikt voor industriële toepassingen?
WireGuard is snel, compact en gebruikt moderne cryptografie, en zit sinds 2020 standaard in de Linux-kernel. Steeds meer industriële routers ondersteunen het. Voor grotere omgevingen ontbreken in de basis wel functies als centraal gebruikersbeheer, waardoor een beheerlaag of commerciële oplossing nodig is.
Vervangt ZTNA de VPN in OT-omgevingen?
ZTNA vervangt vooral de remote access VPN voor gebruikers en leveranciers, omdat het toegang per applicatie geeft in plaats van tot een heel netwerk. Site-to-site VPN’s tussen locaties blijven in OT gewoon in gebruik. Veel organisaties combineren beide tijdens een geleidelijke overgang.
📌 Samengevat
Een VPN maakt het mogelijk om op afstand en versleuteld toegang te krijgen tot interne netwerken en systemen, maar de VPN-gateway zelf is een van de meest aangevallen punten van elk netwerk. In industriële omgevingen is een VPN daarom slechts één laag voor veilige IT/OT-integratie en beheer op afstand: combineer deze met MFA, patching, een jump server in de DMZ, least privilege en monitoring, en overweeg ZTNA voor gebruikerstoegang.