Inleiding

Een site-to-site VPN tussen uw on-premises netwerk en Microsoft Azure is de ruggengraat van betrouwbare hybride IT-architectuur. Dit artikel doorloopt in duidelijk Nederlands de keuze, configuratie en best practices voor een Azure site-to-site VPN (IPsec/IKE), met voorbeelden, veelvoorkomende valkuilen en beveiligingsadviezen. Gericht op IT-beheerders in Nederland die een stabiele, schaalbare en veilige verbinding willen opzetten.

Waarom een site-to-site VPN naar Azure?

  • Veilige tunnel: versleutelt verkeer tussen uw datacenter/branch en Azure Virtual Network.
  • Netwerkuitbreiding: resources in Azure bereiken alsof ze op uw LAN zitten.
  • Kosten en flexibiliteit: goedkoper en sneller dan permanente MPLS-circuits voor veel gebruiksscenario’s.
  • Failover en redundantie: meerdere tunnels mogelijk voor hoge beschikbaarheid.

Architectuur en opties in Azure

  1. Azure Virtual Network Gateway
  • Type VPN Gateway: Route-based (aanbevolen) voor moderne IPsec/IKE implementaties en BGP.
  • SKU-keuzes: Basic, VpnGw1/2/3, enz. Kies afhankelijk van throughput, SLA en BGP-ondersteuning.
  1. Verbindingstypes
  • Site-to-site (IPsec/IKE): permanente tunnel tussen uw edge-router/firewall en Azure.
  • ExpressRoute: privéverbinding (niet versleuteld door Azure) voor hoge bandbreedte/lagere jitter.
  • VNet-to-VNet: tussen twee Azure VNets via VPN Gateway.

Voorbereiding (wat u nodig hebt)

  • Azure-abonnement met rechten om gateways en VNets te maken.
  • Virtual Network (VNet) in Azure met subnets en een gateway-subnet (/27 of groter).
  • Publiek IP-adres voor uw on-premises edge-apparaat (firewall/router).
  • Ondersteuning van IPsec/IKE op uw on-prem hardware (Cisco, Fortinet, Palo Alto, pfSense, etc.) of uw SD-WAN-apparaat.
  • IP-adresplannen die elkaar niet overlappen (on-premises en VNet).
  • Optioneel: BGP-nummering en ASNs voor dynamische routing.

Stap-voor-stap: Azure-kant instellen

  1. Maak een Virtual Network en subnetten
  • Ga naar Azure Portal > Virtual networks > + Create.
  • Definieer adresruimte (bijv. 10.0.0.0/16) en subnets (web/app/db).
  • Maak een specifiek gatewaySubnet (bijv. 10.0.255.0/27). Dit subnet heet exact gatewaySubnet.
  1. Maak een Public IP voor de VPN Gateway
  • Azure Portal > Public IP addresses > + Create.
  • Kies SKU (Standard aanbevolen), Static.
  1. Maak de VPN Gateway
  • Azure Portal > Virtual network gateway > + Create.
  • Vul VNet, gateway type: VPN, VPN type: Route-based.
  • Kies Gateway SKU (VpnGw1/VpnGw2) en koppel Public IP.
  • Wacht 20–45 minuten voor de provisioning.

Stap-voor-stap: On-premises kant instellen

  1. Edge-apparaat configuratie
  • Bepaal of u statische of dynamische (BGP) routing wil.
  • Voor statisch: definieer lokale gateway/peer public IP en on-premise local network prefixes.
  • Voor dynamisch: configureer BGP-ASN en BGP-peers.
  1. IPsec/IKE-parameters (aanbevolen instellingen)
  • IKE (fase 1): IKEv2, Encryption: AES-256, Integrity: SHA256, DH Group: 14 of hoger.
  • IPsec (fase 2): Protocol: ESP, Encryption: AES-256-GCM of AES-256, Integrity: SHA256, PFS: group14.
  • Lifetime: IKE SA 28.800 sec (8 uur) en IPsec SA 3.600 sec (1 uur) zijn gebruikelijke startswaarden.
  • Pre-shared key (PSK): sterk, minimaal 32 tekens, veilig beheren.
  1. Voorbeeld: Cisco/ASA of FortiGate
  • Gebruik Azure’s officiële configuratievoorbeelden die per vendor beschikbaar zijn.
  • Pas IP-adressen, PSK en netwerk prefixes aan uw omgeving aan.

Koppeling maken in Azure (Connection)

  1. Maak een Local Network Gateway (representeert on-premises)
  • Azure Portal > Local network gateways > + Create.
  • Vul het Public IP van uw on-prem apparaat in en de on-premises adresruimtes.
  1. Maak de Connection
  • Azure Portal > Virtual network gateway > Connections > + Add.
  • Kies Virtual network gateway en Local network gateway.
  • Connection type: Site-to-site (IPsec).
  • Vul Shared key (PSK) in — deze moet identiek zijn op on-prem-apparaat.
  1. Verifiëren
  • Na het maken ziet u de connectiestatus in Azure; “Connected” betekent dat tunnel(s) up zijn.
  • Controleer logs en status op uw on-prem-apparaat.

Dynamische routing met BGP (aanbevolen voor grootschalige netwerken)

  • Schakel BGP in op zowel Azure VPN Gateway als uw on-prem router.
  • Definieer ASN voor elke kant (Azure geeft u een ASN of u gebruikt een eigen).
  • BGP automatiseert route-uitwisseling en vereenvoudigt failover en multi-site setups.

Beveiliging en best practices

  • Gebruik IKEv2 en moderne crypto-algoritmes (AES-256-GCM, SHA-2).
  • Authenticeer met sterke PSK of certificaten (cert-based auth is veiliger).
  • Segmenteer netwerkverkeer: gebruik NSG’s (Network Security Groups) en Azure Firewall voor toegangscontrole.
  • Monitor tunnels en logs: Azure Network Watcher, VPN Gateway diagnostics en on-prem syslogs.
  • Rotatie van shared keys en certificaten volgens uw security policy.
  • Minimaliseer toegestane in- en uitgaande poorten in firewallregels.
  • Overweeg Azure Firewall of NVA (third-party network virtual appliance) voor extra inspectie en logging.

Schaalbaarheid en hoge beschikbaarheid

  • Actieve/actieve gateways: VpnGw2+ ondersteunen hogere throughput; combineer met meerdere tunnels.
  • Multi-site: stel meerdere Local Network Gateways in voor meerdere vestigingen.
  • Redundantie on-premises: gebruik twee publieke IP’s en configureer twee tunnels voor failover.
  • Load en performance: kies Gateway SKU op basis van throughput-eisen; meet met Azure metrics.

Veelvoorkomende problemen en oplossen

  • Tunnel flapping/uitval: controleer PSK match, tijdsinstellingen, MTU en crypto-algoritmes.
  • Overlappende IP-adressen: migratie of NAT nodig; plan adresruimtes zorgvuldig.
  • DNS-resolutie van Azure resources: configureer Azure DNS of on-prem DNS forwarders.
  • Prestatieproblemen: controleer gateway SKU, WAN-bandbreedte en packet loss.
  • BGP-routeproblemen: verifieer ASN, route-filters en prefix-lijsten.

Compliance en risico’s

  • Versleuteling beschermt verkeer; bewaak echter endpoints (servers en clients).
  • Houd rekening met datalocatie en wettelijke vereisten voor gevoelige gegevens.
  • Nieuws en dreigingen laten zien dat aanvallers zich blijven professionaliseren; houd logs en detectiemechanismen up-to-date (zie recente analyses van HPE Threat Labs en cyberdreigingen in de bronnen onderaan).

Voorbeeldconfiguratie (samenvatting)

  • Azure:
    • VNet 10.0.0.0/16, gatewaySubnet 10.0.255.0/27
    • VPN Gateway VpnGw1, Public IP Static
    • Local Network Gateway met on-prem prefix 192.168.1.0/24
    • Connection met PSK en IKEv2/IPsec settings
  • On-prem:
    • Edge-router met public IP x.x.x.x
    • IPsec Phase1: IKEv2, AES-256, SHA256, DH14
    • IPsec Phase2: AES-256-GCM, PFS group14, lifetime 3600
    • Identieke PSK

Monitoring en onderhoud

  • Activeer diagnostics voor VPN Gateway en stuur logs naar Log Analytics.
  • Plan periodieke tests: failover, throughput en herstelprocedures.
  • Automatiseer provisioning en configuratie via Terraform/ARM/Bicep voor reproduceerbaarheid.
  • Documenteer PSK-rotaties, certificaatvervaldata en wijzigingsgeschiedenis.

Kostenoverwegingen

  • Gateway SKUs en public IP kosten: hogere SKUs = meer throughput en hogere maandelijkse kosten.
  • Data egress kosten afhankelijk van regio en volume.
  • Vergelijk kosten met alternatieven (ExpressRoute of SD-WAN) op basis van SLA en prestaties.

Slotopmerkingen

Een goed ingestelde site-to-site VPN naar Azure biedt veilige, schaalbare connectiviteit voor hybride applicaties. Volg moderne cryptografie, monitor actief en kies juiste Gateway SKU voor performance. Voor organisaties in Nederland is het verstandig samen te werken met netwerk- en securityteams om adresplannen, compliance en kosten in balans te houden.

Lokale hulpbronnen en links in de bronnenlijst hieronder kunnen aanvullende configuratievoorbeelden en vendor-specifieke templates bieden. Raadpleeg ook regelmatig threat reports: recente incidenten tonen aan dat netwerkbeveiliging en monitoring cruciaal blijven.

📚 Verdere leesaanbevelingen

Hieronder vind je aanvullende artikelen en rapporten die achtergrond en actuele dreigingsinformatie bieden voor netwerk- en VPN-beveiliging.

🔸 New Data Leak Site Uncovered Linked to Active Initial Access Broker on Underground Forums
🗞️ Bron: cybersecuritynews – 📅 2026-03-24
🔗 Lees het artikel

🔸 HPE Threat Labs report reveals cyber adversaries are morphing their business model to scale and accelerate attacks
🗞️ Bron: zawya – 📅 2026-03-24
🔗 Lees het rapport

🔸 -88%: Surfshark VPN raggiunge il prezzo più basso di sempre
🗞️ Bron: tomshw – 📅 2026-03-24
🔗 Lees het artikel

📌 Belangrijke disclaimer

Dit artikel combineert openbare bronnen met hulp van AI-assistentie.
Alleen bedoeld voor informatie en discussiedoeleinden — niet alle details zijn officieel geverifieerd.
Zie je iets niet kloppen? Neem contact op en we passen het aan.