主要发生在应用层。
但为了更全面地理解，我们需要根据不同的“登录验证”场景和网络模型来具体分析。
绝大多数我们常说的“服务器登录验证”都发生在OSI七层模型或TCP/IP模型的应用层。
原因如下：
协议特定性登录验证的逻辑是嵌入在具体的应用协议中的。
SSH (Secure Shell)当你用ssh user@server 登录时，用户名/密码、密钥交换、双因素认证等所有验证流程都是SSH协议自身定义的，属于应用层协议。
RDP (Remote Desktop Protocol)Windows远程桌面的登录验证是RDP协议的一部分，同样在应用层。
FTP (File Transfer Protocol)使用USER 和PASS 命令进行验证，是FTP应用协议的命令。
HTTP/HTTPS管理后台（如WordPress, cPanel）、API的登录（使用Cookie、JWT、Bearer Token等）都是在HTTP这个应用层协议上实现的。
用户身份认证这种验证的目的是确认“用户”的身份，而不是网络设备或物理地址的身份，这是应用程序的职责范围。
虽然核心在应用层，但其他层也提供了不同意义上的“安全”或“访问控制”，容易被混淆。
网络层（Network Layer） - IPsec
IPsec 是一种工作在网络层的协议套件，它可以对IP包进行加密和认证。
它验证的是什么？ 它验证的是数据包本身的来源和完整性（确保数据包来自可信的对等体，且未被篡改），而不是“登录服务器的用户”。
场景常用于构建站点到站点的VPN，一旦IPsec隧道建立，两台服务器/网络之间的所有通信都是加密和认证的，在这种情况下，你“登录”（建立连接）到VPN网关的验证发生在网络层，但之后你通过这个隧道再去SSH到某台服务器，SSH登录仍然发生在应用层。
数据链路层（Data Link Layer） - MAC地址过滤
在一些网络设备（如无线AP、交换机）上，可以设置MAC地址过滤。
它验证的是什么？ 它验证的是设备的物理网卡地址，而不是用户身份。
场景只允许公司登记的笔记本电脑的MAC地址连接内部Wi-Fi，这可以看作是一种极其初级的“网络接入验证”，发生在数据链路层，但这与“登录服务器”完全不是一回事。
传输层（Transport Layer） - TLS/SSL
TLS/SSL（https、sftp、ftps中的‘s’）工作在传输层和应用层之间，为应用层提供安全通信通道。
它验证的是什么？ 它主要进行服务器身份验证（客户端检查服务器的证书，确保你连接的是真正的google.com，而不是钓鱼网站），它也可以进行客户端身份验证（使用客户端证书），但这同样是对“设备”或“证书”的验证，而非传统意义上的“用户登录”。
关系TLS为应用层的登录验证（如输入用户名密码）提供了一个加密的、安全的通道，防止信息被窃听。它保护了登录过程，但登录行为本身仍然由之上的应用层协议完成。
为了更好理解，我们可以用一个 analogy：
想象你要进入一家公司的大楼（服务器）的研发部（一个应用程序）。
1、数据链路层 (MAC过滤)：大楼保安检查你的工牌（设备MAC地址），有工牌才能进入大院（连接网络）。
2、网络层 (IPsec VPN)：你通过一个专用的、被检查过的加密隧道（VPN）进入大楼，这个隧道本身是安全的。
3、传输层 (TLS/SSL)：你进入研发部所在的楼层时，有一个安检机，确保你带来的通信工具（数据包）是加密且未被篡改的，并且你确认这个楼层牌子上写的确实是“研发部”（服务器证书验证）。
4、应用层 (SSH/RDP/HTTP)：你最终来到研发部的办公室门口，这里的秘书（应用程序）要求你输入用户名和密码（或刷指纹），来验证你是否有权限进入这个办公室并使用里面的电脑。这才是真正的“登录验证”。
对于“服务器登录验证在什么层”这个问题：
绝大多数情况下，指的是用户身份验证，发生在应用层。
在特定语境下（如配置网络设备），可能指建立IPsec VPN连接，这发生在网络层。
要区分“用户登录”、“设备接入”、“通信加密”和“数据包认证”这些不同层次的安全概念。
文章摘自：https://idc.huochengrm.cn/js/15077.html
评论