Nederlands
Menu

Wat is VPN (virtueel privénetwerk)?

Mechanisme dat over een gedeeld netwerk zoals het internet een versleuteld virtueel privékanaal (een tunnel) opbouwt, zodat verafgelegen locaties en externe apparaten communiceren alsof ze rechtstreeks op het interne netwerk zijn aangesloten. Methoden zijn onder meer IPsec, TLS (SSL-VPN) en WireGuard.

Japanse benaming: VPN

“VPN (virtueel privénetwerk)” komt voor in 7 oefenvragen uit 4 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk, Basis van computernetwerken, Netwerkontwerp en -beheer.

Vakgebied: Basis van computernetwerken

Tunnels en encapsulatie

Een VPN-apparaat of -programma versleutelt het hele te versturen IP-pakket, voegt een code toe voor de detectie van manipulatie en verstuurt het resultaat als payload van een nieuw IP-pakket dat tussen de twee VPN-eindpunten is geadresseerd (encapsulatie). Het ontvangende eindpunt haalt het eruit, ontsleutelt het en geeft het oorspronkelijke pakket door aan het interne netwerk. Het internet daartussen ziet de inhoud noch de oorspronkelijke adressen, en interne privéadressen kunnen ongewijzigd worden gebruikt. Omdat de extra headers minder ruimte laten voor het binnenste pakket, moet de MTU soms worden aangepast.

Site-to-site- en remote-access-VPN's

Bij een site-to-site-VPN staat op elke locatie, zoals het hoofdkantoor en de filialen, een VPN-apparaat dat hun LAN's koppelt; gebruikers merken er niets van. Bij een remote-access-VPN maakt een pc thuis of op reis met clientsoftware verbinding met het VPN-apparaat van het bedrijf. Methoden zijn onder meer IPsec, dat op de netwerklaag versleutelt en sleutels uitwisselt met IKE; SSL-VPN, dat TLS gebruikt; en het nieuwere WireGuard, dat over UDP loopt. Sommige VPN's gaan helemaal niet over het internet, zoals IP-VPN-diensten die over een gesloten netwerk van een provider lopen.

Wat een VPN beschermt, en de grenzen ervan

Een VPN beschermt het verkeer tussen het apparaat en het VPN-eindpunt, dus zelfs op netwerken die gemakkelijk af te luisteren zijn, zoals openbare wifi, kan de inhoud van dat traject niet worden gelezen. Verkeer voorbij het eindpunt is gewoon verkeer, en een VPN helpt niet als het apparaat zelf met malware is besmet. Omdat VPN-apparaten aan het internet zijn blootgesteld, kunnen hun kwetsbaarheden als toegangsweg worden misbruikt, dus snelle updates en multifactorauthenticatie zijn essentieel. De zwakte van het idee dat een verbonden gebruiker alles binnen kan bereiken, heeft ook zero trust bevorderd, dat elke toegang controleert.

Nu oefenen: vragen over VPN (virtueel privénetwerk)

Welke beschrijving van een internet-VPN is juist?

  1. AHet schakelt het communicatiepad over op een eigen fysieke lijn, zodat het verkeer niet over het internet gaat
  2. BMet een VPN kun je veilig communiceren, zelfs als de server of het apparaat waarmee je verbinding maakt met malware is besmet
  3. CHet maakt over het internet een virtueel privékanaal (tunnel) met versleuteling en authenticatie, zodat externe vestigingen of apparaten thuis worden behandeld alsof ze met het interne netwerk zijn verbonden
Antwoord en toelichting tonen

Antwoord: C. Het maakt over het internet een virtueel privékanaal (tunnel) met versleuteling en authenticatie, zodat externe vestigingen of apparaten thuis worden behandeld alsof ze met het interne netwerk zijn verbonden

Bij een VPN (virtueel privénetwerk) worden de oorspronkelijke pakketten versleuteld en in andere pakketten verpakt (encapsulatie), die het VPN-apparaat aan de andere kant weer uitpakt. Onderweg zijn de inhoud en de interne adressen niet te zien, en manipulatie kan worden gedetecteerd. Gebruikte protocollen zijn onder meer IPsec, protocollen op basis van TLS en WireGuard. Fysiek verschilt het van een huurlijn doordat het over het gedeelde internet loopt. Alleen het traject van de tunnel is beschermd, dus de veiligheid van de bestemming zelf en van het verkeer voorbij de uitgang van de VPN moeten afzonderlijk worden bekeken.

Een apparaat communiceert via een site-to-site-VPN-tunnel met een verre webserver. TCP-verbindingen kunnen worden opgebouwd en kleine pagina's laden, maar downloads van grote bestanden blijven halverwege steken. De MTU in de tunnel is 1400 bytes, en de server verstuurt pakketten van 1500 bytes waarbij fragmentatie verboden is (de DF-bit op 1). De firewall voor de server is bovendien zo ingesteld dat hij alle ICMP weggooit. Wat is de meest waarschijnlijke oorzaak?

  1. ADe naamresolutie van DNS mislukt
  2. BHet ontvangstvenster van TCP is te klein, zodat er niet genoeg gegevens tegelijk kunnen worden verzonden
  3. CDe ICMP-meldingen dat fragmentatie nodig is, verstuurd door de router die de te grote pakketten weggooit, bereiken de server niet, zodat de server zijn pakketten niet kleiner kan maken
Antwoord en toelichting tonen

Antwoord: C. De ICMP-meldingen dat fragmentatie nodig is, verstuurd door de router die de te grote pakketten weggooit, bereiken de server niet, zodat de server zijn pakketten niet kleiner kan maken

Bij path MTU discovery verstuurt de bron pakketten met de DF-bit op 1, en een router die een pakket weggooit dat groter is dan zijn MTU, meldt in een ICMP-bericht (Fragmentation Needed bij IPv4, Packet Too Big bij IPv6) welke grootte erdoor kan. Gooit de firewall deze meldingen weg, dan blijft de server grote pakketten versturen die telkens worden weggegooid, zodat alleen grote gegevensoverdrachten vastlopen (een path MTU black hole). Het opbouwen van de verbinding en kleine antwoorden gebruiken pakketten die kleiner zijn dan 1400 bytes en komen dus zonder problemen door. Oplossingen zijn deze ICMP-meldingen niet meer weggooien, of de router aan de ingang van de tunnel de MSS van TCP laten herschrijven naar een kleinere waarde. Met headers van IPv4 en TCP van elk 20 bytes hoort bij een MTU van 1400 bytes een MSS van 1400 − 20 − 20 = 1360 bytes.

Veelgestelde vragen

Maakt een VPN me anoniem?

Niet volledig. Websites zien het uitgangsadres van de VPN in plaats van dat van de gebruiker, maar wie de VPN beheert, kan zien met wie de gebruiker communiceert. Aanmeldingen en cookies kunnen de gebruiker nog steeds identificeren.

Wat is het verschil tussen IPsec en SSL-VPN?

IPsec versleutelt IP-pakketten zelf op de netwerklaag, dus het kan verkeer van elke applicatie vervoeren en wordt vaak gebruikt voor site-to-site-VPN's. SSL-VPN gebruikt TLS, dus het is eenvoudig te gebruiken vanuit een webbrowser of speciale software en komt gemakkelijk door firewalls, waardoor het vaak voor remote access wordt gebruikt.

“VPN (virtueel privénetwerk)” in de toelichting

Vragen met “VPN (virtueel privénetwerk)” (7)

  1. Welke beschrijving van een internet-VPN is juist?
  2. Een apparaat communiceert via een site-to-site-VPN-tunnel met een verre webserver. TCP-verbindingen kunnen worden opgebouwd en kleine pagina's laden, maar downloads van grote bestanden blijven halverwege steken. De MTU in de tunnel is 1400 bytes, en de server verstuurt pakketten van 1500 bytes waarbij fragmentatie verboden is (de DF-bit op 1). De firewall voor de server is bovendien zo ingesteld dat hij alle ICMP weggooit. Wat is de meest waarschijnlijke oorzaak?
  3. Welke vergelijking van een traditionele VPN voor toegang op afstand met ZTNA (zero-trustnetwerktoegang) als manier waarop thuiswerkende medewerkers interne systemen gebruiken, is juist?
  4. Welke beschrijving van een CDN (content delivery network) is juist?
  5. Welke beschrijving van de basisfunctie van een firewall (met pakketfiltering) is juist?
  6. Welke van de volgende is een werkwijze voor „initiële toegang”, waarmee een aanvaller voor het eerst het netwerk van een organisatie binnendringt?
  7. In dezelfde week zijn patches uitgebracht voor drie kwetsbaarheden. Het beheerpersoneel kan maar één patch per dag toepassen. Welke combinatie van de patch die als eerste moet worden toegepast en de reden is het meest passend?

Verwante termen

Pakket (packet) TLS (Transport Layer Security) Firewall TCP (Transmission Control Protocol) MTU (maximum transmission unit) ICMP (Internet Control Message Protocol) Path MTU discovery Router IPv4 IPv6

Naar de woordenlijst