Klassieke IPSec/OpenVPN-VPN versus Zero Trust-architectuur (Eziwan)
| Criterium | Traditionele VPN (IPSec/OpenVPN) | Zero Trust (Eziwan) |
|---|---|---|
| Vertrouwensmodel | ✗ Impliciet vertrouwen in het netwerk | ✓ Vertrouw nooit zomaar, controleer altijd |
| Veiligheidszone | ✗ Netwerkperimeter (castle-and-moat) | ✓ Identiteit + apparaat + context |
| Authentification | — Vooraf gedeelde sleutel / certificaat | ✓ MFA + certificaat + context |
| Rechtenbeheer | ✗ Algemene toegang tot het subnet | ✓ Microsegmentatie per hulpbron |
| Audittrail | ✗ Basislogboeken voor inloggen/uitloggen. | ✓ Gedetailleerde logboekregistratie van acties |
| Eenvoudige implementatie | ✗ Complex (firewall, PKI, NAT-regels) | ✓ Eenvoudig met moderne gateway (ZTP) |
| Compatibiliteit met verouderde OT-systemen | ✓ Uitstekend (transparant) | ✓ Werkt goed met edge enforcement |
| NIS2-naleving | ✗ Gedeeltelijk met compensaties | ✓ Natuurlijke uitlijning |
| Conformiteit met IEC 62443 | — Mogelijk met configuratie | ✓ Aanbevolen architectuur |
| Initiële kosten | ✗ Hoog (hub, firewall) | ✓ Matig (cloudgateway) |
| Schaalbaarheid | ✗ Beperkt (concentratorfleshals) | ✓ Horizontaal, cloud-native |
| Risico op lateralisatie | ✗ Hoog (toegang tot het gehele netwerk) | ✓ Laag (microsegmentatie) |
| Implementatietijd | ✗ 2-4 weken (typische locatie) | ✓ 1-3 dagen (met ZTP-gateway) |
Het klassieke VPN is gebaseerd op een perimetermodel: zodra de gebruiker verbinding heeft gemaakt met de tunnel, heeft hij toegang tot het volledige netwerk of tot een groot subnet. Dit is het ‘castle-and-moat’-model — moeilijk te binnendringen van buitenaf, maar eenmaal binnen is laterale beweging vrijwel onbeperkt. In een OT-context betekent dit dat een VPN-technicus mogelijk niet alleen toegang heeft tot de PLC die hij moet onderhouden, maar ook tot SCADA-systemen, HMI’s en andere kritieke apparatuur. Zero Trust keert dit model om: geen enkele verbinding is standaard te vertrouwen, zelfs niet vanuit het interne netwerk.
Met Zero Trust-microsegmentatie kunnen nauwkeurige beleidsregels worden vastgesteld: „Technicus X heeft op werkdagen van 9.00 tot 17.00 uur toegang tot PLC Y, uitsluitend vanaf een goedgekeurd apparaat.” Dit niveau van gedetailleerdheid is onmogelijk met een klassieke VPN. Voor OT-omgevingen, waar een cyberincident fysieke gevolgen kan hebben (productiestilstand, ongevallen), is deze precisie van cruciaal belang. Eziwan implementeert dit beleid op gateway-niveau, op een manier die transparant is voor verouderde industriële apparatuur.
De NIS2-richtlijn verplicht operators van vitale belang en belangrijke entiteiten om maatregelen voor cyberbeveiligingsrisicobeheer in te voeren, waaronder toegangscontrole, logboekregistratie en bedrijfscontinuïteit. De IEC 62443 (norm voor industriële cyberbeveiliging) beveelt segmentatie per zone en kanaal aan. De Zero Trust-architectuur voldoet van nature aan deze twee normen. Een IPSec-VPN kan hieraan voldoen, maar vereist aanvullende configuraties (externe logboekregistratie, complexe firewallregels, certificaatbeheer) die de complexiteit en het risico op fouten vergroten.
Dat is het sterke punt van het klassieke VPN: een Siemens S7-300-PLC, een Schneider Magelis-HMI of een via Modbus TCP aangesloten frequentieregelaar kan op geen enkele manier een Zero Trust-agent uitvoeren. De oplossing van Eziwan lost dit probleem op door middel van „edge enforcement“: het Zero Trust-beleid wordt toegepast op het niveau van de netwerkgateway, en de industriële apparatuur ziet simpelweg een standaard lokaal Ethernet-netwerk. Deze aanpak combineert de universele compatibiliteit van het VPN met de veiligheid van Zero Trust.
Voor een klassieke IPSec-VPN-implementatie op een industriële locatie zijn de volgende zaken nodig: een VPN-hub (hardware of VM), een geconfigureerde firewall, een PKI voor certificaten, beheer van gebruikers en sleutels, plus het onderhoud van deze hele infrastructuur. Eziwan maakt de VPN-concentrator, de PKI en een groot deel van de firewallconfiguratie overbodig. Dankzij de zero-touch provisioning (ZTP)-configuratie kan een nieuwe gateway in minder dan een uur worden geïmplementeerd, terwijl dit bij een klassieke VPN-infrastructuur dagen in beslag neemt.
Deze gedocumenteerde incidenten laten zien waarom het klassieke VPN-model ontoereikend is voor industriële netwerken
Een aanvaller heeft gebruikgemaakt van een TeamViewer-verbinding (software voor toegang op afstand zonder MFA) om te proberen het natriumhydroxidegehalte in het drinkwater tot een gevaarlijk niveau te verhogen. De onbeveiligde verbinding op afstand vormde het directe aanvalsvector.
Les: Zonder MFA en zonder logboekregistratie van externe toegangen is het onmogelijk om een legitieme verbinding te onderscheiden van een aanval.
De Industroyer2-groep heeft zich toegang verschaft tot het OT-netwerk van een energiebedrijf via VPN-inloggegevens die waren gestolen tijdens een phishingaanval op een onderaannemer. Het gevolg: drie dagen productiestilstand en € 4,2 miljoen aan verliezen.
Les: VPN-inloggegevens die met een onderaannemer worden gedeeld, vormen het enige zwakke punt. Met Zero Trust zou de toegang beperkt zijn gebleven tot het netwerk van de onderaannemer.
Door een verkeerde NAT-regel op een IPsec-VPN-hub kwamen Siemens SCADA-gebruikersinterfaces per ongeluk rechtstreeks op het internet terecht. Ze werden door Shodan geïndexeerd en binnen 48 uur gehackt. Bij de ‘outbound-only’-architectuur van Eziwan is er geen enkele inkomende poort geopend.
Les: De complexiteit van IPsec/NAT-configuraties leidt tot menselijke fouten. De „outbound-only“-instelling elimineert dit aanvalsoppervlak.
Dragos-rapport 2024: 60% van de OT-apparatuur die via internet toegankelijk was, maakte nog steeds gebruik van standaard inloggegevens. Een gemeentelijk waternetwerk werd gehackt via een eenvoudige brute-force-aanval op een open VPN-poort — dit werd ontdekt tijdens een NIS2-conformiteitsaudit.
Les: De standaard inloggegevens bij OT-VPN’s vormen de meest misbruikte kwetsbaarheid in de sector. Een ‘outbound-only’-architectuur maakt deze aanvalsvector onmogelijk.
Migratie zonder onderbreking van de productie — gebruikelijke duur: 1 tot 3 weken
Maak een lijst van alle actieve vormen van toegang op afstand: IPSec-VPN, OpenVPN, TeamViewer, directe RDP. Geef aan wie de gebruikers zijn, welke apparatuur toegankelijk is en hoe vaak er gebruik van wordt gemaakt. Duur: 1-2 dagen.
Installeer de Eziwan-gateway in het OT-netwerk zonder het bestaande VPN aan te raken. Automatische ZTP-configuratie in minder dan een uur. De twee systemen werken zonder conflicten naast elkaar. Duur: 30 minuten.
Stel de beleidsregels vast: welke gebruiker heeft toegang tot welke apparatuur, op welke tijdstippen en vanaf welke apparaten. Importeer de lijst met bestaande gebruikers, indien beschikbaar. Duur: 1-2 dagen.
Migreer de gebruikers één voor één naar de OpenVPN-client van Eziwan. De oude VPN blijft nog twee weken actief als back-up. Controleer of de kritieke toegangen nog werken voordat u de VPN uitschakelt. Duur: 1-2 weken.
Zodra alle gebruikers zijn gemigreerd en gevalideerd, sluit u de inkomende VPN-poorten op uw firewall. Controleer met een externe Shodan-scan of er niets meer blootgesteld is. Duur: 30 minuten.
Een site-to-site VPN breidt het netwerk uit en gaat uit van vertrouwen zodra de tunnel tot stand is gebracht. Het industriële Zero Trust-model keert deze logica om: geen impliciet vertrouwen, toegang gecontroleerd op basis van identiteit en bron, uitgaande tunnel zonder inkomende poort. Hieronder volgen het normatieve kader en de beoogde architectuur.
Standaard Zero Trust-architectuur: continue verificatie, minimale rechten, microsegmentatie, toegangsbeslissingen op basis van beleid en per sessie.
OT-beveiligingsvereisten: zones en leidingen, sterke authenticatie, versleuteling van datastromen, logboekregistratie — de basis van industriële toegang op afstand.
Zorg voor toegangsbeheer, traceerbaarheid en melding van incidenten voor essentiële entiteiten; toegang op afstand moet van begin tot eind controleerbaar zijn.
Beveelt aan om de stromen te scheiden, geen inkomende poort op het OT te hebben en een strikte scheiding tussen IT en OT te hanteren via een gecontroleerde gateway.
Beproefde versleutelde tunnels. In een Zero Trust-omgeving fungeren ze als uitgaande verbindingen naar een broker, en niet als permanente netwerkbruggen.
Wederzijdse authenticatie via X.509-certificaten: elk apparaat en elke gebruiker bewijst zijn identiteit voordat toegang wordt verleend.
Reverse-tunnel-model: de gateway brengt de verbinding met de broker tot stand (er zijn geen inkomende poorten geopend op de locatie). De operator heeft alleen toegang tot de apparatuur waarvoor expliciet toestemming is gegeven, en wel voor de duur van een getraceerde sessie — niet tot het gehele subnet.
| Criterium | Traditionele VPN | Zero Trust OT |
|---|---|---|
| Inkomende poort op de OT | Vaak vereist | Geen (uitgaande tunnel) |
| Toegangsgebied | Het gehele subnetwerk | Eenheidsbron |
| Confiance | Impliciet na de tunnel | Wordt continu gecontroleerd |
| Authentification | Gedeelde sleutel/gebruikersnaam | Identiteit + MFA + mTLS |
| Traceerbaarheid | Ruwe netwerklogs | Audit per sessie/bron |
| Intrekking van de toegang | Algemeen (sleutel) | Gedetailleerd, onmiddellijk |
VPN is niet achterhaald: het wordt een bouwsteen voor versleuteld dataverkeer binnen een Zero Trust-beleid, en vormt niet langer de beveiligingsgrens.
Vervanging van heterogene VPN-clients door een Zero Trust-broker: geen openingen in de firewall aan de kant van de client, toegang per machine en per technicus.
Industriële 4G/LTE-gateway met OpenVPN/IPSec-VPN zonder inkomende poorten. Implementatie in minder dan een uur, voldoet aan NIS2.