Een VPN(nieuw venster)-passthrough is een routerfunctie die VPN-verkeer door uw firewall en Network Address Translation (NAT)(nieuw venster) laat gaan. Het maakt de VPN-verbinding zelf niet aan, maar zorgt ervoor dat uw router een apparaat op uw netwerk niet blokkeert om verbinding te maken met een externe VPN.

Voor de meeste bedrijven is dit niet iets wat u hoeft te configureren of waar u over na hoeft te denken. Vertrouwde VPN’s zoals Proton VPN zijn standaard gebouwd om met NAT te werken, zodat routers het verkeer automatisch afhandelen zonder dat er speciale regels nodig zijn.

Waarom bestaat een VPN-passthrough?

Een VPN-passthrough lost compatibiliteitsproblemen op tussen oudere VPN-protocollen en nieuwere netwerkinfrastructuur. De meeste netwerken gebruiken NAT om meerdere apparaten één openbaar IP-adres te laten delen. Hoewel dit werkt voor normaal verkeer, waren sommige oudere VPN’s niet ontworpen met NAT in het achterhoofd.

Omdat oudere VPN-protocollen niet altijd standaardpoorten of -structuren gebruiken die NAT kan interpreteren, kan de router niet traceren waar de gegevens thuishoren en zal de verbinding mislukken. Een VPN-passthrough fungeert als een tijdelijke oplossing die de router helpt dit type verkeer te herkennen en correct te routeren.

Hoe werkt een VPN-passthrough?

Een VPN-passthrough is een set mechanismen die in routers zijn ingebouwd om specifieke VPN-protocollen te ondersteunen. Wanneer dit is ingeschakeld, doet de router het volgende:

  • Identificeert VPN-verkeer met behulp van specifieke protocollen of poorten
  • Past speciale verwerkingsregels toe zodat versleutelde pakketten niet worden verworpen
  • Zorgt ervoor dat de verbinding correct door NAT wordt geleid

Zonder VPN-passthrough kan de router het verkeer blokkeren of verkeerd routeren, waardoor de VPN geen verbinding kan maken.

Typen VPN-passthrough

Verschillende VPN’s verwerken gegevens op verschillende manieren, dus er is niet één type passthrough. Als u met oudere systemen werkt, ziet u mogelijk verschillende typen VPN-passthrough, afhankelijk van het gebruikte protocol.

PPTP-passthrough

Het Point-to-Point Tunneling Protocol (PPTP) is een van de oudste VPN-typen. Het gebruikt een protocol genaamd Generic Routing Encapsulation (GRE) om gegevens te verzenden en te ontvangen. NAT vereist echter een poortnummer om verkeer te sturen, en GRE gebruikt geen poorten, wat een conflict veroorzaakt waardoor de verbinding wordt verbroken.

PPTP-passthrough lost dit op door een Call ID aan de gegevens toe te voegen. De router behandelt deze ID als een poortnummer, waardoor het verkeer correct door de firewall kan stromen.

L2TP-passthrough

Layer 2 Tunneling Protocol (L2TP) werkt op vergelijkbare wijze als PPTP. Om de NAT-hinderpaal te omzeilen, wijst L2TP-passthrough een Session ID toe aan de gegevenspakketten. Deze ID dient als vervanging voor een poortnummer, waardoor de router het verkeer kan identificeren en naar het juiste apparaat kan routeren.

IPSec-passthrough

IPSec (Internet Protocol Security) maakt gebruik van een technologie genaamd NAT Traversal (NAT-T) om door routers te navigeren. Het verpakt de versleutelde IPSec-gegevens in een standaard UDP-pakket.

Omdat routers al weten hoe ze UDP-pakketten moeten verwerken, kan de IPSec-passthrough een verbinding tot stand brengen via een specifieke poort (UDP 4500). Hierdoor kan de router de verbinding correct in kaart brengen en routeren, terwijl de versleutelde gegevens veilig en onaangeroerd blijven.

Wat is het verschil tussen een VPN en een VPN-passthrough?

Een VPN is de dienst die uw gegevens beschermt. Het versleutelt uw internetverkeer en maskeert uw IP-adres door uw verbinding via een beveiligde server op afstand te leiden.

Een VPN-passthrough is een functie op uw router. Het versleutelt uw gegevens niet, verbergt uw IP-adres niet(nieuw venster) en biedt op zichzelf geen enkele beveiliging. De enige taak ervan is om VPN-verkeer te herkennen en dit door de firewall van de router te laten gaan.

Als u een goede VPN gebruikt, hoeft u zich over het algemeen helemaal geen zorgen te maken over passthrough-instellingen, aangezien de router dit automatisch afhandelt.

VPN-passthrough versus VPN-router

Deze twee worden vaak met elkaar verward, maar ze dienen zeer verschillende doelen:

  • Een VPN-router versleutelt en routeert actief verkeer voor elk apparaat dat ermee verbonden is.
  • Een VPN-passthrough stelt een individueel apparaat in uw netwerk in staat om verbinding te maken met een externe VPN.

Hebben VPN’s passthrough nodig?

In de meeste gevallen is het antwoord nee. VPN-protocollen zijn gebouwd om NAT automatisch af te handelen. Protocollen zoals WireGuard(nieuw venster), OpenVPN(nieuw venster) en IKEv2(nieuw venster) zijn ontworpen om routers in staat te stellen verbindingen te volgen en gegevens naar het juiste apparaat te verzenden zonder handmatige configuratie of speciale regels.

Proton VPN vertrouwt uitsluitend op beveiligde protocollen, dus het is standaard compatibel met standaard routerconfiguraties.

  • Geen handmatige configuratie: U hoeft geen geavanceerde instellingen in de firmware van uw router te wijzigen om verbinding te maken.
  • Automatische compatibiliteit: Proton VPN werkt direct uit de doos met vrijwel alle netwerkapparatuur voor thuis en op kantoor.
  • Betere beveiliging: Door oudere passthrough-mechanismen te vermijden, vermijdt u ook de beveiligingskwetsbaarheden die gepaard gaan met verouderde protocollen zoals PPTP.

Tenzij u extreem oude hardware of een zeer restrictieve bedrijfsfirewall gebruikt, kunt u verbinding maken met Proton VPN zonder dat u ooit uw passthrough-instellingen hoeft aan te passen.

Heeft u een VPN-passthrough nodig?

U hoeft mogelijk alleen over een VPN-passthrough na te denken als:

  • U verouderde VPN-protocollen zoals PPTP of L2TP gebruikt
  • U vertrouwt op oudere netwerkapparatuur
  • U gespecialiseerde of industriële systemen met verouderde software beheert

Anders handelen VPN-clients zoals Proton VPN deze compatibiliteit standaard af.

Zijn er beveiligingsrisico’s verbonden aan een VPN-passthrough?

De meeste zorgen over de beveiliging vloeien voort uit het feit dat VPN-passthrough is ontworpen om oudere, minder veilige protocollen te helpen de standaard routerbeveiliging te omzeilen.

  • Vertrouwen op zwakke protocollen: VPN-passthrough wordt het meest gebruikt voor verouderde protocollen zoals PPTP, die niet langer als veilig worden beschouwd en gemakkelijk kunnen worden misbruikt door cyberaanvallen.
  • Blinde vlekken in de firewall: Uw firewall inspecteert mogelijk de gegevens die de verbinding in- en uitgaan niet. Als het VPN-protocol zelf zwak is, creëert dit een pad voor kwaadaardig verkeer om ongemerkt uw netwerk binnen te dringen.
  • Groter aanvalsoppervlak: Het inschakelen van een VPN-passthrough vereist vaak het openen van specifieke communicatiepoorten op uw router. Elke open poort is een potentieel toegangspunt waarnaar aanvallers kunnen scannen en dat ze kunnen proberen te misbruiken.

Best practices voor een veilige VPN-passthrough-configuratie

Voor de meeste bedrijven en individuen is de beste beveiligingsstrategie om de noodzaak van een VPN-passthrough helemaal te vermijden. Als u het toch moet gebruiken, volg dan deze stappen om uw netwerk te beveiligen:

  • Geef prioriteit aan actuele protocollen: Gebruik VPN’s die WireGuard of OpenVPN ondersteunen, welke standaard zijn voor Proton VPN. Deze zijn ontworpen om met routers en NAT te werken zonder dat een VPN-passthrough nodig is.
  • Schakel uit wat u niet gebruikt: Als op uw router standaard VPN-passthrough is ingeschakeld maar u een dienst als Proton VPN gebruikt, moet u dit uitschakelen. Door het aantal actieve functies op uw router te verminderen, verkleint u uw aanvalsoppervlak.
  • Controleer uw routerinstellingen regelmatig: Het is eenvoudig om een instelling in te schakelen voor een eenmalige oplossing en deze vervolgens te vergeten. Controleer regelmatig de firmware van uw router om er zeker van te zijn dat u geen onbeveiligde ingangen achterlaat voor verouderde protocollen die u niet meer gebruikt.
  • Houd uw hardware bijgewerkt: Zorg ervoor dat de firmware van uw router actueel is. Fabrikanten brengen vaak updates uit die kwetsbaarheden oplossen die te maken hebben met de manier waarop de router omgaat met versleuteld verkeer en poortbeheer.

Uiteindelijk dient u VPN-passthrough te beschouwen als een laatste redmiddel voor verouderde systemen. Als uw infrastructuur dit toelaat, is de overstap naar een moderne VPN-setup de meest effectieve manier om deze risico’s te elimineren.

De conclusie

VPN-passthrough is een oplossing voor een compatibiliteitsprobleem tussen oudere VPN-protocollen en nieuwere netwerken. Tegenwoordig is het grotendeels overbodig.

De meeste VPN-protocollen, zoals die welke door Proton VPN worden gebruikt, zijn gebouwd om naadloos samen te werken met NAT. Dit zorgt ervoor dat de meeste bedrijven VPN-passthrough nooit hoeven te configureren. Als u merkt dat u nog steeds afhankelijk bent van passthrough, kan dit een teken zijn dat uw VPN-setup of netwerkinfrastructuur moet worden bijgewerkt.