做vpn在第二层实现好，还是第三层好

在第二层做考虑的逻辑处理就少一些，
在第三层做就要针对协议了

传说IP层的叫做IPSec,
TCP以上的叫SSL，
本人认为各有所长。
IPSec速度快，与上层协议无关，因为IP层在内核态，但开发难度大。
SSL也不一定慢多少，但是与协议相关，比方说对UDP就必须单独开发处理，在用户态即可实现，相对难度小一点。

还有两者的密钥协商都是基于3个基本算法实现的：对称、杂凑、非对称。但具体步骤确相差甚远，SSL一般只协商出3对钥匙和相关算法即可，安全有漏洞，没有IPSec严格和规范；IPSec协商预主密钥、主密钥、会话密钥之外还有很多东东需要协商，比方说PFS、有效期等，而且协商也分为两层实现，IKE本身通信之前先要协商，通过IKE协商之后才能开始协商IPSec。

那象NetBios这些不是走TCP/IP协议的呢?

能在IPSec实现吗

其实只要是IP包，都可在IPSec实现VPN，当然也包括netbios了，呵呵；），要不怎么叫作“IP Sec”呢。