Wat is een IPsec‑VPN en hoe werkt het?

Als u de instellingen in een VPN-app opent, ziet u vaak een lijst met protocollen. IPsec is een van de opties die u kunt tegenkomen, soms vermeld als IKEv2/IPsec. Het is ook ingebouwd in Windows, macOS en iOS, dus u gebruikt het mogelijk zonder dat u het zelf hebt gekozen.

De IETF heeft het in de jaren negentig gestandaardiseerd als algemene manier om IP-verkeer over onbetrouwbare netwerken te beschermen, van een permanente koppeling tussen twee kantoorlocaties tot een enkele gebruiker die ergens anders verbinding maakt. Een consumentgerichte IPsec VPN past diezelfde bescherming toe op uw verbinding: het koppelt uw apparaat aan een server die wordt beheerd door uw VPN-provider, zodat uw verkeer via die server naar buiten gaat in plaats van rechtstreeks vanaf uw apparaat.

Wat is IPsec?

IPsec (Internet Protocol Security) is een verzameling protocollen die gegevens beschermt terwijl ze over IP-netwerken reizen. Het versleutelt elk datapakket, controleert waar het pakket vandaan komt en verifieert dat er onderweg niets is gewijzigd.

Uw data gaat niet over het internet als één geheel. Het wordt in pakketjes opgedeeld; elk pakket krijgt adresseringsinformatie zodat routers weten waarheen ze het moeten sturen. IPsec werkt op die afzonderlijke pakketten.

Het raamwerk biedt:

• Versleuteling: de inhoud van elk pakket wordt ciphertext, die een netwerkbeheerder of iemand die meeluistert niet kan lezen.
• Integriteitscontroles: de ontvangende kant bevestigt dat de gegevens ongewijzigd zijn aangekomen.
• Authenticatie: elk eindpunt bewijst dat het het apparaat is dat het beweert te zijn, met behulp van een pre‑shared key (een geheim wachtwoord dat beide kanten al hebben) of een digitaal certificaat (een door een vertrouwde instantie uitgegeven en ondertekend bewijs).
• Anti‑replaybescherming: eerder onderschepte pakketten die een aanvaller opnieuw verzendt worden geweigerd.

Software en netwerkapparaten die op deze protocollen zijn gebouwd, vormen een IPsec VPN. VPN-software en -hardware gebruiken IPsec om beschermde verbindingen over openbare netwerken tot stand te brengen. Omdat IPsec op de netwerklaag werkt, kan het IP-verkeer over het hele apparaat beschermen in plaats van beperkt te zijn tot één applicatie.

Handige IPsec‑termen en definities

IPsec‑terminologie kan snel ingewikkeld worden. Hier is een korte referentie voor de termen die u het vaakst tegenkomt en wat ze betekenen:

Hoe werkt een IPsec VPN?

Een IPsec VPN zet in vier snelle stappen een beschermde tunnel op: de twee eindpunten authenticeren elkaar, stemmen de versleutelingsvoorwaarden af, en versleutelen en kapselen vervolgens elk uitgaand pakket in. De ontvangende kant controleert op manipulatie en ontsleutelt het pakket.

1. Authenticatie en onderhandeling: de eindpunten bewijzen elkaar hun identiteit, en stemmen daarna af op de versleutelings‑ en integriteitsalgoritmen die ze zullen gebruiken en op de bijbehorende sleutels.
2. Tunnelopbouw: met de afgesproken voorwaarden openen beide zijden de beschermde verbinding en leggen de overeengekomen instellingen vast als een security association, de gedeelde spelregels voor die tunnel.
3. Versleuteling en verzending: uitgaande pakketten worden versleuteld en ingekapseld voordat ze uw apparaat verlaten, en steken daarna het internet over als gewoon verkeer.
4. Ontsleuteling bij de bestemming: het ontvangende eindpunt controleert het pakket op manipulatie, ontsleutelt het en geeft de originele gegevens door.

Internet Key Exchange (IKE) verzorgt de eerste twee fasen; IKEv2 is de versie die tegenwoordig gebruikelijk is. Die onderhandeling loopt normaal over UDP poort 500. Als uw apparaat achter een router zit die NAT uitvoert, schakelen beide zijden over op NAT Traversal (NAT-T), waarbij de sleuteluitwisseling en het daarna volgende versleutelde verkeer in UDP poort 4500 worden verpakt zodat ze door de router heen gaan zonder wijziging.

Waarvoor wordt IPsec gebruikt?

IPsec beveiligt verkeer dat over het openbare internet moet reizen. De meest voorkomende toepassingen zijn externe medewerkers die via een zakelijke VPN verbinding maken met het kantoor, permanente verbindingen tussen bedrijfslocaties, en VPN-apps die IKEv2/IPsec aanbieden om browsen op openbare wifi te beschermen.

Site‑to‑site versus remote‑access IPsec VPNs

Een site‑to‑site IPsec VPN koppelt volledige netwerken aan elkaar. Een bedrijf met een hoofdkantoor en een magazijn aan de andere kant van de stad plaatst aan beide zijden een gateway, en de tunnel loopt tussen die twee punten. Een printer in het magazijn kan een server op het hoofdkantoor bereiken zonder dat er VPN-software op de printer zelf staat, omdat de gateway de versleuteling voor alles achter zich afhandelt.

Een remote‑access IPsec VPN koppelt één enkel apparaat aan een heel netwerk. Clientsoftware op uw laptop vormt het ene eind van de tunnel, en de gateway op uw kantoornetwerk vormt het andere, zodat diezelfde server bereikbaar is vanuit een hotelkamer zodra de tunnel actief is.

Welke protocollen gebruikt IPsec?

IPsec is een suite van protocollen:

• ESP (Encapsulating Security Payload): versleutelt en authenticeren de payload.
• AH (Authentication Header): controleert de integriteit van de payload en het grootste deel van de IP header, zonder iets te versleutelen.
• IKE (Internet Key Exchange): onderhandelt instellingen en stelt sleutels vast.

U ziet mogelijk "IKEv2/IPsec" in VPN-instellingen; het lijkt een keuze tussen twee protocollen. Dat is het niet: IKEv2 zet de verbinding op en IPsec beschermt wat erdoorheen gaat.

Waarom u meestal alleen ESP

zult zien

ESP is wat verkeer beschermt in een actuele IPsec VPN. AH laat uw data leesbaar voor iedereen die het onderschept, en biedt alleen bewijs dat een pakket van de verwachte bron komt en ongewijzigd is aangekomen.

AH werkt ook niet goed wanneer Network Address Translation in het pad zit, omdat het delen van de IP header beschermt die NAT herschrijft. Home‑routers en mobiele netwerken gebruiken NAT, dus AH wordt zelden toegepast.

Wat is het verschil tussen IPsec tunnelmodus en transportmodus?

Tunnelmodus wikkelt het volledige originele pakket, inclusief headers, in een nieuw pakket. Transportmodus versleutelt alleen de payload en laat de originele IP header zichtbaar; dat is geschikt voor directe server‑naar‑servercommunicatie binnen een datacenter.

Het woord tunnel heeft hier een dubbele betekenis, wat mensen kan verwarren. Een IPsec tunnel is de beschermde verbinding tussen twee eindpunten, terwijl tunnelmodus een aparte keuze is over hoeveel van elk pakket wordt ingekapseld.

Iedereen die een tunnel‑modusverbinding bekijkt ziet verkeer tussen de twee eindpunten bewegen, niet de binnenin verborgen adressen. In transportmodus blijven bron en bestemming in platte tekst zichtbaar, omdat alleen de payload is versleuteld.

Wat zijn de voordelen en nadelen van IPsec?

IPsec wordt sinds de jaren negentig ingezet, dus de afwegingen zijn goed gedocumenteerd.

Voordelen van IPsec

• Sterke versleuteling en authenticatie. Huidige configuraties combineren ciphers zoals AES met certificaat‑ of pre‑shared‑key‑authenticatie, zodat elke kant zijn identiteit bewijst voordat er verkeer plaatsvindt.
• Dekking op de netwerklaag. E‑mailclients, bestandsoverdrachten en back‑ups reizen over hetzelfde beschermde pad als browserverkeer.
• Applicatie‑onafhankelijkheid. Software hoeft niet te weten dat er een VPN bestaat, waardoor decennialang gebruikte bedrijfsapplicaties zonder aanpassing over IPsec kunnen draaien.
• Een gepubliceerde standaard. IETF‑specificaties definiëren IPsec, zodat een firewall van de ene leverancier meestal een tunnel kan bouwen naar een gateway van een andere.

Nadelen van IPsec

• Complexe configuratie. Tientallen instellingen moeten aan beide zijden overeenkomen, waaronder versleutelingsalgoritmen, sleutelleeftijden en identifiers. Eén mismatch kan een tunnel laten falen.
• Overhead door versleuteling en encapsulatie. Elk pakket krijgt extra bytes, wat fragmentatie kan veroorzaken op verbindingen met een kleinere MTU.
• Compatibiliteit met firewalls en NAT. Sommige netwerken blokkeren de poorten waar IPsec van afhankelijk is, of behandelen address translation slecht, wat kan verhinderen dat een verbinding tot stand komt.

Zonder netwerktechnicus in de buurt zijn meestal de instellingen, poorten en het gedrag van NAT het lastigst bij het operationeel krijgen van een IPsec VPN.

Is IPsec veilig?

IPsec is veilig wanneer het is geconfigureerd met actuele instellingen, maar niet elke installatie voldoet daaraan. Oudere apparatuur kan nog steeds verouderde ciphers en een oude sleuteluitwisseling draaien, waardoor de bescherming per verbinding kan verschillen.

De meeste recente configuraties combineren AES voor versleuteling met HMAC-SHA-2 voor integriteit. HMAC-SHA-2 produceert een korte vingerafdruk van de data met een geheime sleutel, zodat elke manipulatie direct zichtbaar is.

Oudere installaties draaien soms nog DES of MD5, die tegenwoordig als onveilig worden beschouwd. Sommige legacy‑apparaten gebruiken ook 768‑ of 1024‑bit Diffie–Hellman‑groepen. Diffie–Hellman is de methode waarmee twee zijden het gedeelde sleutelgeheim overeenkomen zonder het ooit te versturen; de groep is de grootte van de gebruikte getallen. Kleinere groepen bieden minder weerstand tegen aanvallen, daarom gebruiken moderne configuraties sterkere Diffie–Hellman‑groepen in plaats van de kleinere groepen uit legacy‑opstellingen.

Ook de sleuteluitwisseling verdient aandacht. IKEv1, uitgebracht in 1998, heeft bekende zwaktes in bepaalde modi. Het ergst is de aggressive mode, een ingekorte handshake die één uitwisseling bespaart voor snelheid. Die modus lekt genoeg informatie zodat een aanvaller de uitwisseling kan vastleggen en vervolgens op zijn eigen machine het gedeelde wachtwoord kan raden zonder limiet op pogingen. Er bestaat ook het risico van een downgrade‑aanval, waarbij iemand bij de eerste onderhandeling knoeit zodat beide zijden op oudere versleuteling uitkomen die ze nog steeds ondersteunen. De IETF heeft IKEv1 formeel verouderd verklaard (historic status) in 2023.

IKEv2 onderhandelt veiliger en is beter in rekeying, het geplande wisselen naar verse sleutels halverwege een sessie. Het voegt ook MOBIKE toe, dat een gevestigde tunnel in stand houdt wanneer het IP-adres van uw apparaat verandert, zodat een telefoon die van wifi naar mobiele data overschakelt verbonden blijft in plaats van de verbinding te laten vallen en opnieuw op te bouwen.

Als thuisgebruiker kiest u deze instellingen meestal niet zelf. Uw VPN-app of het IT-team van uw werkgever doet dat. Wat telt is dat de software actueel is en updates blijft ontvangen, want daarmee blijven ciphers en sleuteluitwisseling modern.

Sterke versleuteling op elke verbinding.

Kaspersky VPN versleutelt uw internetverkeer en verhult uw IP-adres, zodat uw verbinding privé blijft op elk netwerk, inclusief openbare wifi.

Get Kaspersky VPN

✓

Onafhankelijk getest en bekroond door toonaangevende laboratoria in de branche.

Wat is het verschil tussen IPsec en SSL VPNs?

IPsec kan een apparaat netwerk‑niveau toegang geven tot een remote netwerk, waarbij verkeer via de beschermde tunnel wordt gerouteerd volgens de VPN‑configuratie. Een browsergebaseerde SSL VPN biedt meestal toegang tot geselecteerde bronnen, zoals een interne website.

IPsec werkt laag in de stapel, op de netwerklaag, waardoor het alles wat een apparaat verzendt kan beschermen. SSL VPNs werken hoger, met TLS, de technologie die uw verbinding met een banksite versleutelt. Dus wanneer een IPsec‑tunnel actief is, gedraagt het apparaat zich alsof het direct op het verwijderde netwerk is aangesloten. Een browsergebaseerde SSL VPN werkt anders: het opent een portal naar een afgebakende set bronnen zoals een intranetpagina of een enkele interne applicatie, en het apparaat zelf wordt nooit lid van het netwerk. Sommige SSL VPNs draaien wél een client en voeren al het verkeer, net als IPsec, dus de portal‑variant is niet de enige uitvoering.

IPsec vereist overeenkomende configuratie aan beide zijden, zelfs wanneer de client al in het besturingssysteem is ingebouwd, terwijl een browsergebaseerde SSL VPN vaak zonder installatie kan werken. Dat verkeer loopt over TCP poort 443, dezelfde poort die veel gebruikt wordt voor HTTPS‑verkeer, en die doorgaans is toegestaan op netwerken en firewalls. Daardoor kunnen browsergebaseerde SSL VPNs makkelijker te gebruiken zijn op restrictieve netwerken, zoals hotel‑ of luchthavenwifi, waar IPsec‑verkeer mogelijk wordt geblokkeerd.

Gerelateerde artikelen:

• Wat is een VPN en hoe werkt het?
• Hoe houdt een VPN mij veilig online?
• Wat is gegevensversleuteling?
• Hoe veiligheidsrisico's van openbare wifi te vermijden

Aanbevolen producten:

• Kaspersky Premium
• Download een gratis proefperiode van 30 dagen van ons premium‑plan
• Kaspersky Mobile Security

FAQs

Welke poorten gebruikt IPsec?

IKE draait op UDP poort 500, en NAT traversal verplaatst de sleuteluitwisseling en het daarna volgende versleutelde verkeer naar UDP poort 4500. ESP en AH zijn geen poorten, het zijn IP‑protocollen 50 en 51. Een firewall moet deze toestaan, anders vormt de tunnel zich niet.

Vertraagt een IPsec VPN mijn verbinding?

Ja, licht. Het versleutelen van elk pakket kost wat CPU, en verkeer loopt via een VPN‑server. De meeste mensen merken weinig tijdens surfen of streamen. Afstand tot de server voegt latency toe, wat de snelheid veel sterker beïnvloedt dan het protocol zelf.

Hoe beïnvloedt IPsec MTU en MSS?

IPsec voegt ongeveer 50 tot 70 bytes per pakket toe, wat fragmentatie kan veroorzaken. Beheerders beperken de TCP MSS om dat te compenseren, maar er is geen standaardgetal: het hangt af van de versleuteling, of NAT traversal actief is en van de onderliggende link‑MTU.

Gebruikt IPsec symmetrische of asymmetrische versleuteling?

Beide. IKE gebruikt asymmetrische cryptografie, een Diffie–Hellman‑uitwisseling, waarmee de twee zijden een gedeeld geheim bepalen zonder het ooit te versturen. Dat geheim voedt vervolgens een sneller symmetrisch cipher, meestal AES, dat uw verkeer beschermt.