来自 Tanenbaum 的计算机网络
这种需求很快导致了VPN（虚拟专用网络）的发明，它是公共网络之上的覆盖网络，但具有专用网络的大部分属性。
一种流行的方法是直接通过 Internet 构建 VPN。一种常见的设计是为每个办公室配备防火墙，并在所有办公室对之间通过 Internet 创建隧道。... 当系统启动时，每对防火墙必须协商其 SA 的参数，包括服务、模式、算法和密钥。如果使用 IPsec 进行隧道传输，则可以将任意两对办公室之间的所有流量聚合到单个经过身份验证的加密 SA，从而提供完整性控制、保密性，甚至对流量分析具有相当大的免疫力。许多防火墙都内置了 VPN 功能。一些普通路由器也可以做到这一点，但由于防火墙主要用于安全业务，因此很自然地让隧道在防火墙处开始和结束，因此，防火墙、VPN 和 IPsec 与隧道模式下的 ESP 是一个自然的组合，并在实践中得到广泛应用。一旦建立了 SA，流量就可以开始流动。对于 Internet 中的路由器而言，沿 VPN 隧道传输的数据包只是一个普通数据包。唯一不寻常的是在 IP 标头之后存在 IPsec 标头，但由于这些额外的标头对转发过程没有影响，因此路由器并不关心这个额外的标头。
另一种越来越流行的方法是让 ISP 设置 VPN。使用 MPLS（如第 5 章所述），可以在公司办公室之间的 ISP 网络上设置 VPN 流量的路径。这些路径使 VPN 流量与其他 Internet 流量分开，并且可以保证一定量的带宽或其他服务质量。
VPN 是第 3 层还是第 5 层概念？（在我看来是的？）
引用中的两种构建 VPN 的方法都是第 3 层方法吗？（在我看来是的，因为构建 VPN 所涉及的技术似乎是第 3 层）
openvpn是否使用服务器-客户端模型，因此使用第 5 层方法来构建 VPN？openvpn 服务器和客户端如何协同工作来构建 VPN？根据书中的两种方法，我无法弄清楚。
SSH VPN 的类似问题与 openvpn 的问题类似。
谢谢。