Ik heb al jaren een firewall staan, maar is die nog wel veilig?

Een firewall is een van de weinige apparaten in een bedrijf die nooit om aandacht vragen. Hij hangt in de meterkast, er brandt een lampje, en het internet doet het. Dat kan jaren zo doorgaan.

Werken en beschermen zijn twee verschillende dingen

Op enig moment stopt de fabrikant met ondersteuning. Dat heet end-of-life, en het is iets anders dan end-of-sale: bij dat laatste wordt het model alleen niet meer verkocht en krijg je nog gewoon updates. Vanaf end-of-life worden lekken die in jouw model worden gevonden niet meer gedicht. En die lekken worden wel gepubliceerd, want dat hoort zo: beheerders moeten weten dat ze moeten bijwerken. Voor een apparaat dat geen updates meer krijgt, is diezelfde publicatie een gebruiksaanwijzing. Bij een firewall telt dat dubbel, omdat hij aan de buitenkant van je netwerk hangt en vanaf internet bereikbaar is.

Het tegenargument is altijd hetzelfde: hij doet het nog prima. Dat klopt meestal ook. Maar een firewall die is gecompromitteerd blijft gewoon internet doorgeven. De mail komt binnen, de printer doet het, niemand merkt iets. Er is geen lampje dat aangaat. Bij een router die stukgaat weet je het binnen een minuut; hier kan het maanden duren, en soms kom je er nooit achter.

Wat we in de praktijk aantreffen

Voor de Gen 6.5-serie van SonicWall liep de ondersteuning medio april 2026 af, en er draaien in Nederland nog volop panden op die apparatuur. Per model verschilt de datum, dus zoek je eigen type op in de levenscyclustabel van de fabrikant. Hoe zo'n situatie eruitziet, bleek vorig jaar bij een bedrijf met een hoofdlocatie en twee kleinere vestigingen.

De firewalls waren ruim over hun einddatum heen. Maar wat we pas bij het doorlichten zagen was ernstiger: in acht jaar was er geen enkele firmware-update uitgevoerd. Niet één. De vorige beheerder had de apparatuur neergezet en er daarna nooit meer naar omgekeken.

Het gevolg zat niet alleen in de beveiliging. De VPN-verbindingen tussen de vestigingen lagen er al lang uit, en niemand wist sinds wanneer, want er was nooit een melding geweest. Bonnen en werkorders vanuit het hoofdkantoor kwamen niet door, dus dat ging via de mail, een gedeelde map, een telefoontje. Voor elk probleem was ooit een omweg bedacht, en die omwegen waren het werkproces geworden.

Dat is het patroon dat we vaker zien: het beveiligingsrisico is onzichtbaar, maar de bedrijfsschade is dat niet. Alleen wordt die zelden aan de firewall toegeschreven. Men denkt dat het systeem traag is of dat de vestiging slordig werkt, terwijl de oorzaak in de meterkast hangt. En niemand merkt wanneer het slechter wordt, want een uitgevallen tunnel geeft net zo min een signaal als een firewall zonder updates. Het verval is stil, en dat is precies wat het zo lang laat doorgaan.

Hoe we zo'n situatie ombouwen

Het begint niet met hardware maar met uitzoeken wat er eigenlijk gebeurt. Welke locaties moeten elkaar bereiken, wat loopt er over die verbindingen, en welke omwegen zijn er in de loop der jaren ontstaan. Die laatste vraag levert meestal de meeste informatie op, want elke omweg wijst op iets dat ooit kapot is gegaan.

Bij deze opzet zetten we een UniFi-gateway op de hoofdlocatie, doorgaans een UDM Pro model, en een kleinere gateway op elke nevenvestiging. Die verbinden we onderling, zodat de vestigingen elkaar weer rechtstreeks via VPN kunnen bereiken. Daarna kunnen de omwegen eruit, en dat is vaak het moment waarop mensen pas merken hoeveel tijd ze eraan kwijt waren.

Wat je er verder aan overhoudt:

• Eén beheeromgeving voor alle locaties. Je ziet in één scherm wat er op alle vestigingen gebeurt, in plaats van per pand in te moeten loggen op een apparaat waarvan niemand het wachtwoord meer heeft.
• Updates centraal inplannen. Niet meer handmatig per apparaat, maar in één keer en op een moment dat jou uitkomt. Dat is precies de stap die acht jaar lang niet gezet werd.
• Melding als er iets uitvalt. Dit is misschien wel de belangrijkste. Een verbinding die eruit ligt, moet een bericht opleveren en niet een gewoonte. Nieuwe hardware lost het probleem van dit moment op; monitoring voorkomt dat hetzelfde over drie jaar opnieuw ontstaat.
• Meteen netwerksegmentatie. Gasten, camera's, kassa's en kantoorwerkplekken van elkaar scheiden kost bij een vervanging weinig extra moeite, en is achteraf een apart project.

De omschakeling zelf is bij één locatie kort en buiten werktijd te plannen. Bij meerdere locaties zit het werk vooral in de voorbereiding, omdat je eerst moet weten wat er over die verbindingen loopt voordat je ze opnieuw opbouwt.

Wat je nu zelf kunt controleren

1. Zoek het typenummer van je firewall op in de levenscyclustabel van de fabrikant en kijk welke datum eraan hangt.
2. Kijk wanneer de firmware voor het laatst is bijgewerkt. Staat daar een datum van jaren geleden, dan heb je los van de einddatum al een probleem.
3. Vraag je af of er dingen in je bedrijf zijn die "nu eenmaal zo gaan". Een handmatige export omdat een koppeling niet werkt, een bestand dat via de mail gaat omdat de verbinding met de andere vestiging het niet doet. Dat soort omwegen wijst vaak op iets dat ooit kapot is gegaan en nooit is gemaakt.

Veelgestelde vragen

Wat een vervanging kost, staat met richtprijzen op Wat kost het.