L7 : Layer 7 (couche application du modèle OSI)
Réseau
L7 : Layer 7. « Couche 7 », la couche application du modèle OSI, par analogie avec le guichetier qui lit le contenu du formulaire plutôt que la seule adresse sur l'enveloppe.
Ce qu'on y voit : À la couche 7, un équipement comprend le protocole applicatif : chemin et en-têtes HTTP, méthode, cookies, nom de service. Il peut décider selon le contenu de la requête, pas seulement selon l'adresse et le port.
Répartiteur L7 : Un répartiteur de charge L7 termine la connexion TLS, lit la requête et la route selon l'URL ou un en-tête. Un répartiteur L4, lui, se contente de TCP ou UDP et ignore tout du contenu, ce qui le rend plus rapide et moins curieux.
Sécurité : Le WAF, le filtrage par proxy ou les politiques par application travaillent à ce niveau. Le prix à payer : il faut déchiffrer pour inspecter, donc confier des clés et du texte clair à l'équipement.
Abus de langage : Le modèle OSI a sept couches sur le papier et beaucoup moins dans la vraie vie ; « L7 » désigne en pratique tout ce qui se passe au-dessus du transport, qu'on l'appelle session, présentation ou application.
Ce qui arrive si on s'en passe
Un filtrage limité aux adresses et aux ports laisse passer tout ce qui emprunte un port autorisé : une injection dans une requête HTTP, un chemin d'administration ou un cookie falsifié arrivent au serveur avec la bénédiction du pare-feu, puisque le port 443 était ouvert. Sans inspection à la couche 7, ni routage selon le contenu ni politique par application ne sont possibles. À l'inverse, inspecter à ce niveau oblige à déchiffrer, donc à confier clés et texte clair à un équipement qui devient une cible de choix. On peut surveiller l'enveloppe avec une rigueur exemplaire ; c'est rarement l'enveloppe qui contient la bombe.
Explication de la marmotte
On décrit souvent le fonctionnement d'un réseau comme un empilement d'étages : en bas, les câbles et les signaux ; plus haut, les adresses ; tout en haut, au septième étage, les applications, c'est-à-dire ce que les gens utilisent vraiment, comme une page web ou un courriel. Dire qu'un appareil travaille à cet étage signifie qu'il lit le contenu des demandes, pas seulement leur destination. Un peu comme un facteur qui ouvrirait le colis pour savoir dans quel service le déposer.
Où ce terme est utilisé
- QUIC, HTTP moderne, TLS et proxys applicatifs (6 occurrences)
- Mettre en place un rate limiting anti-DDoS L7 (3 occurrences)
- Cloud networking, VPC/VNet, CDN et équilibrage (2 occurrences)
- Couches, normes et vocabulaire de paquets (2 occurrences)
- Défendre un DDoS volumétrique et applicatif (2 occurrences)
- Pare-feu, architectures et NAT en une page (2 occurrences)
- Conteneurs, Kubernetes, CNI et service mesh (1 occurrence)