Svar på spørgsmålet: “VPN på lag 3”

Når folk siger “på lag 3”, mener de som regel netværkslaget i OSI-modellen—altså IP, hvor adressering og routing foregår. En VPN kan derfor siges at “fungere på lag 3”, hvis den i praksis transporterer eller indkapsler IP-pakker mellem to endepunkter.

Et vigtigt forbehold er, at VPN-protokoller ikke altid kan udtrykkes entydigt som “kun lag 3” på tværs af implementeringer. Nogle VPN-løsninger ligner et lag-3-netværk (fordi de bærer IP), mens andre primært håndterer trafik på højere niveauer eller via applikationslogik. Derfor handler spørgsmålet ofte mere om hvilken slags trafik der transporteres (typisk IP-pakker) end om en enkelt fast “lag”-betegnelse.

Enkelt model: hvad betyder “lag 3” i en VPN-sammenhæng?

Tænk på det sådan her:

  1. IP-trafik (lag 3) har en IP-adresse på afsender og modtager.
  2. En VPN skal typisk sikre, at den trafikken kan komme sikkert gennem et andet netværk.
  3. Hvis VPN’en indkapsler IP-pakker, kan den opfattes som at “arbejde på lag 3”, fordi selve datalaget, der rutes, er IP.

Hvis VPN’en derimod mest handler om at skabe en sikker tunnel for specifik applikationsdata, kan den i praksis virke mere som en højere-lags løsning (selv hvis den bruger IP til at komme frem). Det gør det nødvendigt at skelne mellem “hvad den bruger til transport” og “hvad den bærer som payload”.

De mest almindelige kandidater (og den vigtige undtagelse)

I mange beskrivelser forbindes “lag 3” med IP-baseret tunneling—altså at VPN’en transporterer IP som payload.

  • Hvis en VPN-løsning bygger på IP-baseret tunneling (hvor man typisk sender IP-pakker gennem en sikker kanal), er det ofte det, man i praksis mener med “VPN på lag 3”.
  • Hvis en løsning primært er designet til at beskytte trafik som en applikationsstrøm (for eksempel gennem TLS-lignende mekanismer), kan den stadig køre over IP, men dens “rolle” i arkitekturen er ikke nødvendigvis “lag 3” i samme forstand.

Undtagelsen/afhængigheden: begrebet “lag 3” er en forenkling. To VPN-systemer kan begge transportere data over IP-netværket, men variere i om de reelt håndterer IP som et helt netværkslag (med routing undervejs) eller kun leverer en sikret metode til en bestemt type trafik.

Hvad du kan tjekke for at afgøre “lag 3” i praksis

For at bestemme, om en bestemt VPN-løsning i din sammenhæng “fungerer på lag 3”, kan du undersøge følgende kontrolpunkter:

  • Hvad bliver indkapslet? Bliver der sendt IP-pakker som payload gennem tunnelen, eller bliver kun et applikationsformat transporteret?
  • Hvordan opfører den sig ift. routing? Kan den levere et netværksinterface eller ruter, så IP-trafik kan sendes som om du er på samme netværk? Det peger typisk mod lag-3-lignende adfærd.
  • Hvad ser du i en pakkeanalyse? Hvis du ser IP-pakker (med IP-header) som den centrale “bærende” enhed inde i tunnelen, taler det for en lag-3-fortolkning.

Hvis din opsætning kræver, at almindelig IP-trafik kan rutes (ikke kun én applikation), er det især vigtigt at vælge en løsning, der faktisk håndterer IP-pakker som en del af sin tunning/transport.

Begrænsning: hvorfor svaret ikke kan gøres helt “låst”

Uanset hvad du læser, bør du forvente usikkerhed: “lag 3” er en modelmæssig måde at beskrive funktion på, og konkrete VPN-implementeringer kan spænde fra fuld IP-tunneling til mere applikationsnær beskyttelse. Derfor er den mest korrekte forståelse ofte: VPN’en kan betegnes som lag-3, hvis den i praksis transporterer IP-pakker og understøtter routing/indretning omkring dem.