WireGuard is een techniek om een beveiligde verbinding te maken tussen een apparaat en een netwerk: een VPN-protocol. Het is de jongste telg in dat rijtje en valt op door zijn eenvoud. Waar oudere protocollen uit tienduizenden regels programmacode bestaan, komt WireGuard uit op een paar duizend. Minder code betekent minder plekken waar een fout in kan sluipen, en dus een kleiner aanvalsoppervlak.
Voor een MKB-bedrijf is dat om twee redenen interessant. Ten eerste snelheid: WireGuard maakt vrijwel direct verbinding en blijft stabiel als iemand van wifi naar 4G overschakelt, bijvoorbeeld onderweg in de trein. Medewerkers merken de VPN nauwelijks, en wat je niet merkt, zet je ook niet uit. Ten tweede beheer: minder instellingen betekent minder dingen die verkeerd kunnen staan, en dat scheelt supportvragen over “ik kan er niet bij”.
Technisch werkt WireGuard met sleutelparen. Elk apparaat krijgt een eigen publieke en private sleutel, en de server weet welke publieke sleutels toegang hebben. Er is dus geen wachtwoord dat gedeeld of geraden kan worden. WireGuard kiest bewust voor een vaste set moderne versleutelingsmethodes in plaats van een menu aan opties, zodat je niet per ongeluk een verouderde instelling kiest. Let er wel op dat je vertrekkende medewerkers uit de sleutellijst haalt: een sleutel die blijft staan, houdt toegang.
WireGuard tegenover OpenVPN en IPsec
WireGuard wordt bijna altijd vergeleken met OpenVPN, jarenlang de standaard onder de VPN-protocollen. Het verschil in omvang is het opvallendst: OpenVPN telt tienduizenden regels code, WireGuard een fractie daarvan. Dat vertaalt zich in hogere snelheden en een verbinding die vrijwel meteen staat, wat vooral merkbaar is op mobiele apparaten. Ook IPsec, het protocol dat veel firewalls gebruiken voor vaste koppelingen tussen kantoren, is een stuk bewerkelijker in beheer.
Waar OpenVPN wint, is flexibiliteit: het kan zich voordoen als gewoon webverkeer en komt daardoor door strengere netwerkfilters heen, en het draait op vrijwel elke VPN-server die er is. WireGuard is open source, ontwikkeld door Jason Donenfeld en inmiddels opgenomen in de Linux-kernel. Dat het protocol zo breed is nagekeken, is een belangrijk deel van het vertrouwen erin. De cryptografie ligt bovendien vast: moderne, goed onderzochte methodes, zonder keuzemenu waarin je de verkeerde optie kunt aanvinken.
Veelgestelde vragen
Is WireGuard veilig genoeg voor zakelijk gebruik?
Ja. Het protocol wordt breed gebruikt, zit in de Linux-kernel en is uitgebreid nagekeken. De beveiliging leunt op sleutelparen en op een vaste set moderne cryptografie. Het aandachtspunt zit niet in het protocol maar in het beheer: wie beheert de sleutellijst, en wordt die bijgewerkt als iemand uit dienst gaat?
Wat zijn de nadelen van WireGuard?
Twee dingen. Het protocol wijst elk apparaat een vast IP-adres in de tunnel toe, wat voor een bedrijfs-VPN prima is maar voor anonieme privacy minder handig; VPN-aanbieders lossen dat zelf op. Daarnaast heeft WireGuard geen ingebouwde inlogmethode met gebruikersnaam en wachtwoord, dus koppeling aan je gebruikersbeheer regel je met een laag eromheen.
Moeten we overstappen van OpenVPN naar WireGuard?
Niet per se. Werkt je huidige VPN-server goed en klaagt niemand, dan is er geen haast. Loop je aan tegen trage verbindingen, medewerkers die de VPN uitzetten of veel supportvragen over verbinding maken, dan is WireGuard de eerste kandidaat om naar te kijken.
Gebruiken commerciële VPN-diensten ook WireGuard?
Veel wel, soms onder een eigen naam. Dat zijn andere producten dan een zakelijke VPN naar je eigen netwerk: die dienen om je internetverkeer via een andere server te laten lopen, niet om je bij bedrijfsbestanden te krijgen.
Wat OkayICT hierin doet: Wij richten VPN-toegang in die medewerkers niet in de weg zit, en houden de toegangslijst netjes bij als er iemand in of uit dienst gaat.
Meer lezen: Wat is IPsec? · Wat is een site-to-site VPN?
