結論：レイヤー3で動くVPNプロトコルは「IPを扱うもの」

VPNプロトコルがレイヤー3で動作するかどうかは、端的には「VPNがカプセル化して運ぶ単位がIP（ネットワーク層）かどうか」で判断します。レイヤー3で動くVPNは、通信の中身としてIPパケットを受け取り、暗号化やカプセル化の対象として扱ってからトンネル経路で運ぶことが多いです。

レイヤー3の“動き”が結びつきやすい代表例

一般に、ネットワーク層（OSIのレイヤー3）と結びつきやすいのは、IPsecのような仕組みです。IPsecは、ネットワーク層のパケットを暗号化・保護する方向性で理解されることが多く、結果として「レイヤー3の通信をそのまま通す」感覚に近づきやすいです。

一方で、OpenVPNのように「トンネルを張るための方式」として説明されるプロトコルは、構成によって、最終的に運ばれるデータがレイヤー3相当（IPパケット）になる場合があります。つまり、プロトコル名だけでレイヤー3／それ以外を100%断定するより、「そのVPNが何を受けて何を返しているか」を見るのが安全です。

見分け方：レイヤー3かどうかは“何をカプセル化しているか”

レイヤー3で動作しているかを実務的に確認するには、次の考え方が役立ちます。

  • VPNが受け取る入力がIPパケット（ネットワーク層）として扱われているか
  • VPNがトンネル経由で運ぶのが、IPパケットそのもの（またはIP相当のペイロード）か
  • 逆方向でも、IPルーティングやサブネット単位の通信が自然に成立しているか

逆に言うと、プロトコルの説明文に「レイヤー3」や「ネットワーク層」と明記がなくても、実際のカプセル化・復号後にIPパケットが通常どおり扱えるなら、レイヤー3の振る舞いに近いと判断できます。