RRAS site‑to‑site VPN inrichten (zonder drama)

💡 Waarom RRAS voor je site‑to‑site VPN (en wanneer niet)

Je runt twee locaties (of een thuislab + kantoor), en je wil dat ze elkaar zien alsof het één LAN is. Fileshares, ERP, NAS, camera’s — geen omweg via het internet, geen gepruts met losse gebruikers‑VPN’s. Klinkt herkenbaar? Dan denk je al snel aan een site‑to‑site VPN. Op Windows kun je dat strak regelen met RRAS (Routing and Remote Access Service). Het is gratis, zit al in Windows Server, en praat netjes IKEv2/IPsec. Maar… de duivel zit ‘m in de details: NAT‑T, routes, PSK vs certificaten, en failover. Eén foutje en je throughput halveert of je tunnel flapt elke paar uur.

In dit stuk laat ik je zien hoe je pragmatisch kiest: hardware (van Raspberry Pi tot dedicated doos), protocolkeuzes (IKEv2/IPsec), security basics (sleutels, certificaten, logging), en wanneer je juist níet voor RRAS moet gaan. We pakken ‘m hands‑on, Nederlands nuchter. Ook kijken we kort naar het alternatief: Zero Trust en app‑gebaseerde toegang — een groeiende trend waar zelfs de markt op meefietst, met flinke groei voor ZTNA tot 2030 (MENAFN/GlobeNewswire, 2025-10-16). Maar eerst: RRAS goed op de rails.

Korte reality‑check: wil je vooral streaming ontgrendelen of tijdelijk ergens bij, dan is een commerciële VPN‑app sneller en minder gedoe. Je kunt ‘m ook altijd weer stopzetten — zelfs de beste aanbieders hebben heldere refund‑flows (StartupNews.FYI, 2025-10-16). Voor structurele site‑naar‑site koppelingen tussen netwerken wint RRAS echter op controle en integratie.

🧩 Hardware & architectuur: wat zet je neer?

Zelf‑hosten is geen vies woord — integendeel. Als je bereid bent een uurtje of wat te investeren, krijg je autonomie, minder afhankelijkheden en vaak betere privacy. In de praktijk draait je gateway op:

• Raspberry Pi: compact, goedkoop, ~5W, stil, 24/7 stabiel. Perfect voor thuis of klein MKB. De community zweert erbij voor zelfhosting; het vereist een SD‑kaart, power en ethernet, en je rolt. Ideaal voor “set and forget”.
• NAS: Synology/QNAP met VPN‑packages, makkelijk beheer, maar let op CPU‑crypto. Handig als je toch al een NAS draait.
• Dedicated machine: kleine x86 met AES‑NI voor >1 Gbps, meerdere tunnels of BGP.

Dat eerste pad — een Pi als gateway — is verrassend krachtig en zuinig; precies wat veel starters onderschatten. Kies je voor Windows RRAS, dan land je vaak op een kleine Windows Server‑VM of een fysiek doosje met Server OS. De keuze beïnvloedt stroom, geluidsniveau, beheerlast en performance. Protip: onderschat het niet.

Security‑orga: denk nu al aan secret management. Wachtwoorden, API‑keys en PSK’s lekken sneller dan je denkt, zeker nu AI‑agents steeds vaker met je bedrijfstools praten. Er is zelfs een nieuwe golf tooling om die agent‑credentials te beschermen (Journal du Geek, 2025-10-16). Morale: zet PSK’s in een password manager, rotatie op kalender, geen copy‑paste in tickets.

📊 RRAS vs alternatieven: wat past bij jouw use‑case?

Kernpunten: RRAS scoort wanneer je Windows‑stack draait en strakke integratie met AD/DNS wil. Raspberry Pi is de budgetkoning en prima voor één tot enkele tunnels. MikroTik is een sweet spot als je veel netwerkfeatures wil en doorvoer telt. Commerciële VPN’s lossen streaming en ad‑hoc remote access behapbaar op. En ZTNA? Dat is geen drop‑in vervanger voor een LAN‑naar‑LAN tunnel, maar een andere filosofie (Zero Trust) — iets om strategisch naast of na VPN te plaatsen, in lijn met de groeiverwachtingen van de markt.

😎 MaTitie Tijd voor de show

Ik ben MaTitie — de schrijver hier, verslaafd aan goede deals, nerdy setupjes en soms net iets té veel stijl.

VPN’s zijn geen luxe meer. In NL merk je het bij streaming (geo‑blokkades), bij throttling, of als je gewoon niet wilt dat je hele online leven op straat ligt. Wil je zonder gezeur snelheid, privacy én toegang: ga voor een bewezen naam.

Mijn aanrader? NordVPN. Razendsnel, werkt stabiel in Nederland, en je zit niet meteen vast.

👉 Probeer NordVPN nu — 30 dagen niet‑goed‑geld‑terug. Geen risico, wel vrijheid.

Kleine noot: dit is een affiliate‑link. Koop je via mij, dan krijgt MaTitie een kleine commissie. Thanks — scheelt mij weer een koffie en jou gedoe. ❤️

🔧 RRAS: de praktische aanpak (kort maar compleet)

• IP‑plan: Kies non‑overlappende subnets (bv. 10.10.0.0/16 en 10.20.0.0/16). Overlap = ellende met routes/NAT.
• DNS: Beslis welke domeinen je via welke DNS serveert. Split‑DNS is goud.
• IKEv2/IPsec: Zet op beide einden IKEv2 + NAT‑T aan (UDP 500/4500). Gebruik PFS en sterke suites (AES‑GCM, SHA‑2, DH14+).
• PSK vs certificaten: PSK is snel live, maar certs schalen veiliger. Beheer sleutels in een password manager; zet rotaties in je kalender. Met de opkomst van AI‑agents die met je credentials omgaan, is extra bescherming geen luxe (Journal du Geek, 2025-10-16).
• Firewall: Open UDP 500/4500 inbound. Als je upstream NAT hebt, zorg dat er geen dubbele NAT‑rare dingen gebeuren. ESP doorlaten als je geen NAT‑T gebruikt.
• Routes: Statische routes per subnet, of BGP als je het groot speelt (denk aan MikroTik of een dedicated router).
• Monitoring: Zet logging op IKE/SA events. Test latency/throughput (iperf3), en alert op re‑keys/failures.
• Fallback: Twee internetlijnen? Overweeg twee tunnels met preferentie/metric.

Protip: test eerst met een PoC‑tunnel (minimaal verkeer), meet stabiliteit over 48–72 uur, pas daarna productie.

🔐 Security best practices die je echt wilt volgen

• Sleutels: Lange PSK’s (minimaal 32+ chars) of certificaten (met CRL/OCSP). Rotatie per kwartaal/halfjaar.
• Least privilege: Als je alleen 10.20.10.0/24 nodig hebt, adverteer dan niet “0.0.0.0/0”.
• Logging: PII‑arm loggen. Bewaar configs en secrets versleuteld (BitLocker/Vault).
• Backups: Exporteer RRAS‑config veilig, test restore.
• MFA? Voor site‑to‑site niet echt, maar voor beheeraccounts absoluut wel.
• Zero Trust roadmap: Voor remote users/contractors is ZTNA vaak veiliger/schaalbaarder. De markt beweegt die kant op, mede doordat klassieke VPN‑infra “veroudert” (MENAFN/GlobeNewswire, 2025-10-16).

⚙️ Troubleshooting: de snelle checklist

• Tunnel komt op maar geen verkeer: check routes op beide einden; soms “policy‑based” vs “route‑based” mismatch.
• Alleen pings, geen SMB/RDP: MTU/fragmentatie; zet MSS‑clamp of verlaag MTU (bijv. 1400) en test opnieuw.
• Tunnel flapt elk uur: SA‑lifetime mismatch; stem IKE/Child lifetimes af.
• IKE negotiation faalt: cipher‑suite mismatch; kies IKEv2 met moderne suites, schakel oude uit.
• NAT‑ellende: activeer NAT‑T; één NAT‑laag max, of zorg voor passthrough.
• Doorvoer half: geen AES‑NI of CPU pinned; check CPU‑offload, interrupt coalescing, en pin NIC aan juiste vCPU’s.

🛠️ Wanneer je beter niet voor RRAS kiest

• Je wilt app‑specifieke toegang voor BYOD/externen: pak ZTNA.
• Je hebt geen Windows‑kennis en wil nul beheer: kies een managed gateway (MikroTik/UniFi/Synology) of commerciële VPN‑dienst.
• Je draait alles in de cloud en praat SaaS‑naar‑SaaS: RRAS voegt weinig toe; denk aan Cloud VPN/Transit, of identity‑first toegang.

🙋 Veelgestelde vragen

❓ Wat is het verschil tussen site‑to‑site en remote‑access VPN?

💬 Site‑to‑site verbindt netwerken (LAN↔LAN). Remote‑access verbindt één device/gebruiker met een netwerk. Voor vaste locatie‑koppelingen pak je site‑to‑site; voor thuiswerkers remote‑access of ZTNA.

🛠️ Kan ik RRAS mixen met een Raspberry Pi‑gateway aan de overkant?

💬 Ja. Laat RRAS IKEv2/IPsec praten met bijv. StrongSwan/WireGuard op een Pi. Kies één protocol (bijv. IKEv2 aan beide kanten) en stem ciphers/lifetimes af.

🧠 Hoe bouw ik een exit‑strategie als ik toch commercieel begin?

💬 Start met een commerciële VPN voor snelle winst; houd je infra modulair. Providers bieden vaak makkelijke refunds (StartupNews.FYI, 2025-10-16). Intussen ontwerp je je RRAS‑tunnel. Switch in een gepland onderhoudsvenster.

🧩 Slotgedachten…

RRAS is nog steeds een solide werkpaard voor site‑to‑site in Windows‑omgevingen. Combineer het met een bewust hardware‑keuze (Pi, NAS of dedicated), moderne crypto (IKEv2, AES‑GCM), strakke routing en serieus secret‑beheer. Voor remote users en app‑toegang is ZTNA de toekomst — prima naast RRAS te gebruiken. Maak ‘t pragmatisch: begin klein, meet, harden, én documenteer.

📚 Verder lezen

Hier zijn 3 verse stukken die meer context geven:

• RouterOS van MikroTik: waarom zoveel netwerkmensen fan zijn
  🗞️ Bron: Glavnoe in UA – 📅 2025-10-16
  🔗 Lees artikel

• NFL online kijken (geo‑blokkades en hoe mensen het aanpakken)
  🗞️ Bron: Mashable – 📅 2025-10-16
  🔗 Lees artikel

• Canal+ voegt kanalen toe — handig om je streaminglijstje te checken
  🗞️ Bron: Clubic – 📅 2025-10-16
  🔗 Lees artikel

😅 Een kleine, schaamteloze tip (mag toch wel?)

De meeste reviewsites zetten NordVPN bovenaan met reden. Wij bij Top3VPN ook — hij scoort steevast op snelheid, stabiliteit en toegang.

• Snel. Betrouwbaar. Werkt bijna overal.
• Iets duurder dan de bodemprijsjes, maar je krijgt wél rust en performance.
• En ja, 30 dagen geld‑terug. Proberen kost je dus… eigenlijk niks.

📌 Disclaimer

Deze post mixt publieke info met een snufje AI‑hulp. Zie het als handvatten, geen juridisch of officieel advies. Check altijd je eigen omgeving/beleid. Vind je iets geks? App me — fix ik ‘t.