Een VPN dat stopt met werken tijdens een werk- of privé-browsessie onthult onmiddellijk het echte IP-adres en het ongecodeerde verkeer van de gebruiker. Verbindingen worden niet altijd onderbroken door een storing in de software zelf. Verschillende mechanismen, van het besturingssysteem tot lokale netwerkbeleid, kunnen een onderbreking veroorzaken zonder dat de VPN-app enige waarschuwing geeft.
Verlopen certificaten en verouderde protocollen: de onzichtbare storing
Onder de minst gedocumenteerde oorzaken van plotselinge deactivering nemen authenticatiecertificaten een bijzondere plaats in. Een VPN-tunnel is afhankelijk van een uitwisseling van certificaten tussen de client en de server om de identiteit van beide partijen te valideren. Wanneer dit certificaat verloopt, wordt de verbinding geweigerd zonder een expliciete melding aan de gebruikerszijde.
Het probleem doet zich vaak voor na een update van het besturingssysteem of de VPN-client. De nieuwe software kan een nieuwere certificaatstandaard vereisen, terwijl de externe server nog niet is bijgewerkt. Een verlopen certificaat lijkt op een klassiek netwerkbug, wat de diagnose bemoeilijkt.
Het analyseren van de veelvoorkomende redenen voor deactivering van een VPN maakt het mogelijk om snel een certificaatprobleem te onderscheiden van een eenvoudige verbindingsinstabiliteit. De nuttige reflex: controleer de geldigheidsdatum van het certificaat in de geavanceerde instellingen van de applicatie, of in de systeemlogs van het apparaat.
Wat betreft protocollen, de geleidelijke overstap van bepaalde applicaties naar implementaties in Rust (vooral ter vervanging van de WireGuard-bibliotheken in Go) verandert het gedrag van de tunnel tijdens micro-onderbrekingen in het netwerk. De omschakeling van verkeer tussen protocollen kan een tijdelijke onderbreking veroorzaken die het systeem interpreteert als een verlies van de VPN-verbinding.
Netwerkbeleid en systeembeperkingen: wanneer de VPN van buitenaf wordt uitgeschakeld
Een VPN kan worden gedeactiveerd, niet omdat het niet werkt, maar omdat een extern element het actief blokkeert. Deze onderscheiding verandert de aard van de diagnose.
Firewall en bedrijfsregels
Op een professionele werkplek kunnen groepsbeleid (GPO onder Windows, MDM-profielen onder macOS en iOS) bepaalde tunnelingprotocollen verbieden of de VPN-verbinding dwingen te verbreken wanneer het apparaat opnieuw verbinding maakt met het bedrijfsnetwerk. De deactivering van de VPN is dan een beslissing van het systeem, geen applicatiefout.
Bedrijfsfirewalls filteren de poorten die door gangbare VPN-protocollen worden gebruikt. Als de poort is geblokkeerd, wordt de verbinding niet tot stand gebracht of wordt deze na enkele seconden verbroken. Het controleren van de toegestane poorten in de netwerkinstellingen blijft de eerste stap voordat er verdere handelingen worden ondernomen.
ISP-beperkingen en staatsfiltering
Sommige internetproviders passen filtering toe die specifiek gericht is op VPN-verkeer. De technieken variëren:
- Diepe pakketinspectie (DPI) identificeert de handtekeningen van protocollen zoals OpenVPN of WireGuard, en blokkeert of vertraagt vervolgens de bijbehorende stroom.
- Het blokkeren van IP-adressen van bekende VPN-servers voorkomt elke initiële verbinding, waardoor de indruk ontstaat dat de VPN “weigert verbinding te maken”.
- Selective throttling degradeert de bandbreedte die aan gecodeerd verkeer is toegewezen, wat leidt tot onderbrekingen door time-out.
In Frankrijk is onlangs de automatische realtime blokkering van illegale streamingstromen goedgekeurd, wat indirect bepaalde VPN-verbindingen kan beïnvloeden wanneer de gedeelde IP-adressen door deze filtermechanismen worden gericht.
Energiebeheer en gedrag van mobiele systemen
Op zowel Android als iOS zijn energiebesparingsmechanismen een veelvoorkomende oorzaak van VPN-onderbrekingen. Het besturingssysteem zet applicaties op de achtergrond in de slaapstand na een bepaalde periode van inactiviteit, inclusief de VPN-client.
Op Android kan de “batterijoptimalisatie”-modus de VPN-app stilletjes afsluiten. De gebruiker ontvangt geen melding, maar al het netwerkverkeer gaat weer via de onbeveiligde verbinding. De oplossing is om de VPN-app uit te sluiten van batterijoptimalisatie in de systeemeinstellungen.
Op iOS is het gedrag anders, maar het resultaat is vergelijkbaar. Het systeem kan het VPN-proces onderbreken wanneer het langdurig op de achtergrond draait. Sommige VPN-providers omzeilen dit probleem door de “altijd-aan VPN”-modus (Always-on VPN) te gebruiken, beschikbaar via MDM-configuratieprofielen, maar zelden standaard ingeschakeld op persoonlijke apparaten.
Kill switch VPN: controleren of deze daadwerkelijk werkt
De noodstopfunctie (kill switch) is bedoeld om alle internettoegang te onderbreken zodra de VPN-tunnel valt. In de praktijk gedragen niet alle kill switches zich hetzelfde afhankelijk van het besturingssysteem.
Er zijn twee hoofdtypen:
- De kill switch op applicatieniveau, die alleen het verkeer van geselecteerde applicaties blokkeert. Als de VPN wordt verbroken, verliezen alleen deze applicaties hun netwerktoegang.
- De kill switch op systeemniveau, die de volledige internetverbinding van het apparaat onderbreekt. Dit is de meest beschermende variant, maar ook de meest beperkende in geval van frequente onderbrekingen.
- Sommige implementaties vertonen tekortkomingen tijdens netwerkovergangen (bijvoorbeeld van Wi-Fi naar mobiele data), waardoor enkele ongecodeerde pakketten kunnen doorkomen voordat de blokkering wordt geactiveerd.
Laboratoriumtests hebben aangetoond dat sommige versies van kill switch tekortkomingen vertoonden tijdens scenario’s van snelle netwerkovergangen. Controleer de versie van de VPN-client en pas beschikbare patches toe om dit risico te verminderen.
Snelle diagnose voordat u contact opneemt met de ondersteuning
Voordat u een ticket opent bij de VPN-provider, kunnen enkele controles helpen om de oorzaak te isoleren. Test de internetverbinding zonder VPN om te bevestigen dat het onderliggende netwerk functioneert. Wissel van VPN-server om een probleem dat gelokaliseerd is op een specifieke knooppunt uit te sluiten. Overschakelen naar een ander protocol (bijvoorbeeld van OpenVPN naar WireGuard) omzeilt een mogelijke poort- of handtekeningblokkering.
Het raadplegen van de verbindingslogs van de VPN-app biedt vaak de meest nauwkeurige informatie. Een foutmelding met betrekking tot het certificaat, de time-out of de authenticatie wijst onmiddellijk de juiste richting op.
VPN-onderbrekingen zijn zelden het gevolg van een enkele oorzaak. De overlap van mechanismen (energiebeheer, netwerkbeleid, verlopen certificaat, protocolovergang) maakt de diagnose complex. Het identificeren van de verantwoordelijke laag, van het besturingssysteem tot de externe server, blijft de meest betrouwbare manier om een stabiele verbinding te herstellen.