En Layer 2-switch skickar Ethernet-ramar i ett LAN eller VLAN främst genom att använda MAC-adresser. En Layer 3 switch kan göra samma Layer 2 switching samtidigt som den dirigerar IP-paket mellan olika VLAN och subnät.
Det praktiska beslutet är därför inte om lager 3 helt enkelt är "bättre". Det är detdär routing ska ske i ditt nätverk. Om en router eller brandvägg redan fungerar som gateway mellan VLAN och trafiknivån är blygsam kan det räcka med en hanterad Layer 2-åtkomstswitch. Om betydande intern trafik måste flyttas mellan VLAN, eller om själva switchen måste fungera som standardgateway för flera subnät, blir en Layer 3-switch mer användbar.
Skick 2 vs Layer 3 Switch
| Särdrag | Layer 2 Switch | Skikt 3 Switch |
|---|---|---|
| Primärt beslut om vidarebefordran | MAC-adress | MAC-adress och IP-adress |
| Huvudroll | Växla trafik i ett Layer 2-nätverk eller VLAN | Växla trafik och rutt mellan IP-nätverk |
| MAC-adresstabell | Ja | Ja |
| IP-dirigeringstabell | Används inte för normal vidarebefordran av lager 2 | Ja |
| VLAN-stöd | Ja på hanterade modeller | Ja |
| Inter-VLAN routing | Kräver en annan Layer 3-enhet | Stöds på routing-kapabla modeller |
| Typisk utplacering | Åtkomstväxling | Distributions-, kärn- eller dirigerad åtkomst |
| Routing funktioner | Ingen eller begränsad på vissa L2+-modeller | Statisk och, beroende på modell, dynamisk routing |
En användbar regel är enkel:använd Layer 2 där du bara behöver byta; använd Layer 3 där switchen också måste fatta routingbeslut.
Vad en Layer 2 Switch faktiskt gör
En Layer 2-switch lär sig vilka MAC-adresser som kan nås genom vilka fysiska portar och registrerar den informationen i dess MAC-adresstabell. När en Ethernet-ram anländer undersöker switchen destinationens MAC-adress och vidarebefordrar ramen till rätt port närhelst den destinationen är känd.
Detta är det normala jobbet för en åtkomstswitch som ansluter datorer, servrar, IP-telefoner, kameror, trådlösa åtkomstpunkter och andra Ethernet-enheter. Beroende på distributionen kan dessa slutpunkter använda koppar Ethernet genomnätverkskablareller anslut uppströms genom fibergränssnitt.
Layer 2-switchar kan fortfarande använda VLAN
VLAN-stöd gör inte i sig en switch till en Layer 3-switch. Managed Layer 2-switchar kan separera portar i olika VLAN och bära flera VLAN över en 802.1Q-trunk.
DeIEEE 802.1Q standarddefinierar driften av bryggade nätverk och VLAN-bryggor. I praktiska Ethernet-nätverk används 802.1Q-taggning vanligtvis för att transportera trafik för flera VLAN mellan switchar, routrar, brandväggar och andra VLAN-medvetna enheter.
Till exempel:
- VLAN 10: kontorsanvändare
- VLAN 20: applikationsservrar
- VLAN 30: IP-kameror
En hanterad Layer 2-switch kan hålla dessa VLAN logiskt åtskilda. Begränsningen visas när en enhet i ett IP-undernät behöver kommunicera med en enhet i ett annat.
Varför olika VLAN behöver Layer 3 Routing
Tänk på två nätverk:
- VLAN 10: 192.168.10.0/24
- VLAN 20: 192.168.20.0/24
En värd i VLAN 10 kan kommunicera direkt med andra enheter i samma subnät genom Layer 2 switching. Men ett paket avsett för 192.168.20.0/24 måste skickas till en Layer 3-gateway eftersom destinationen ligger utanför det lokala IP-nätverket.
Den gatewayen kan vara en router, brandvägg eller Layer 3-switch. CiscosInter-VLAN Routing konfigurationsdokumentationvisar denna modell direkt: Layer 2-switchar bär VLAN, medan en routing-kapabel Catalyst-switch använder VLAN-gränssnitt för att dirigera mellan motsvarande undernät.
Hur en SVI fungerar som en VLAN-gateway
En vanlig Layer 3-switchdesign använder switchade virtuella gränssnitt, eller SVI. Varje dirigerat VLAN kan ha ett Layer 3-gränssnitt som fungerar som standardgateway för enheter i det subnätet.
VLAN 10 - UsersSubnet: 192.168.10.0/24SVI / Gateway: 192.168.10.1VLAN 20 - ServersSubnet: 192.168.20.0/24SVI / Gateway: 192.168.20.1
Om en användare på 192.168.10.25 skickar trafik till en server på 192.168.20.50, kan sökvägen vara:
Användardator→ 192.168.10.1 standardgateway→ Layer 3-routningstabell→ VLAN 20→ Server
Switchen utför normal Layer 2-vidarebefordran inom varje VLAN, men den använder Layer 3-routing när trafik passerar subnätsgränsen.
Vissa Layer 3-switchar stöder även routade fysiska portar. I så fall fungerar ett gränssnitt som ett IP-gränssnitt istället för en switchport som är tilldelad ett VLAN. Exakta möjligheter beror på switchplattformen och programvaran.
Layer 2 vs Layer 3 Switch: Skillnaderna som spelar roll i ett riktigt nätverk
Vidarebefordran inuti ett VLAN vs routing mellan subnät
Skikt 2-växling handlar i första hand om att vidarebefordra Ethernet-ramar inom en lager 2-domän. Skikt 3 lägger till routingbeslut baserat på destinations-IP-nätverk.
Denna distinktion är viktigare än produktetiketten. En switch som stöder VLAN-skapande men som inte kan dirigera mellan dessa VLAN är fortfarande beroende av en extern Layer 3-gateway för kommunikation mellan undernät.
Åtkomstlager kontra routinggräns
Layer 2-switchar används vanligtvis nära ändpunkter. Layer 3-switchar placeras ofta där flera accessnätverk konvergerar eller där nätverket behöver en lokal routinggräns.
Dessa är designmönster, inte hårda regler. Arkitekturer med routed access kan föra Layer 3 närmare slutpunkter, medan mindre nätverk kan centralisera all routing på en brandvägg.
Grundläggande routing vs Full routing funktionsuppsättningar
Anta inte att varje produkt märkt "Layer 3" har samma routingfunktioner. En switch kan endast stödja anslutna och statiska rutter, medan en annan kan stödja IPv4- och IPv6-routning, OSPF, ruttredundans, ACL:er och större routingtabeller.
När OSPF är ett krav, verifiera att protokollstödet på den exakta modellen och mjukvaruversionen. OSPFv2 själv definieras av IETF iRFC 2328, men implementeringsstödet varierar beroende på switchplattform.
Bör Inter-VLAN-routing ske på en Layer 3-switch eller en brandvägg?
Detta är en av de viktigaste designfrågorna, eftersom prestanda och säkerhetsinspektion inte är samma krav.
Rutt på Layer 3 Switch när intern trafik ska stanna i LAN
Om stora mängder pålitlig öst-västtrafik rör sig mellan interna VLAN, kan placeringen av VLAN-gateways på en Layer 3-switch behålla den trafiken på växlingsinfrastrukturen.
En förenklad väg kan vara:
Åtkomstväxel→ Layer 3 Core→ Destination VLAN
Detta är vanligt när användar-, server-, lagrings- eller applikationsnätverk utbyter betydande intern trafik och switchen är utformad för att tillhandahålla den nödvändiga routingkapaciteten.
Ruta genom brandväggen när inter-VLAN-inspektion krävs
Om trafik mellan två VLAN måste passera genom tillståndskontroll, programpolicy, hotförebyggande eller annan brandväggskontroll, kan det vara bättre att behålla VLAN-gateways på brandväggen även om sökvägen är mindre direkt.
Vägen kan se ut mer så här:
Åtkomstväxel→ Brandvägg→ Säkerhetspolicy/inspektion→ Destination VLAN
Att flytta dessa gateways till en Layer 3-switch kan ändra den säkerhetsvägen. En ACL på en switch kan begränsa trafiken, men den motsvarar inte automatiskt inspektionsfunktionerna i en brandvägg.
Av denna anledning är "vi har många VLAN" inte tillräckligt med information för att avgöra var routing hör hemma. Du behöver också vetavilka VLAN som kommunicerar, hur mycket trafik som passerar gränsen och om den trafiken måste inspekteras.
När räcker en Layer 2 Switch?
En Layer 2 switch räcker ofta i följande situationer:
- Nätverket använder ett huvud-IP-undernät.
- Switchen är i första hand en åtkomstenhet som ansluter slutpunkter.
- VLAN-gateways är redan konfigurerade på en router eller brandvägg.
- Inter-VLAN-trafiken är blygsam och den befintliga gatewayen har tillräcklig kapacitet.
- Säkerhetspolicyn kräver att VLAN-till-VLAN-trafik passerar genom en brandvägg.
Till exempel kan ett litet kontor använda separata anställd-, röst- och gäst-VLAN medan brandväggen tillhandahåller standardgateways, DHCP-tjänster, internetåtkomst, NAT och policytillämpning. I den arkitekturen kan hanterade Layer 2-switchar fortfarande tillhandahålla den VLAN-anslutning som åtkomstskiktet behöver.
När är en Layer 3-switch mer meningsfull?
En Layer 3-switch blir mer användbar när LAN självt behöver fatta frekventa routingbeslut.
- Flera VLAN utbyter betydande intern trafik.
- Switchen måste fungera som standardgateway för flera subnät.
- Flera åtkomstväxlar konvergerar på ett distributions- eller kärnlager.
- Designen kräver statisk eller dynamisk routing inuti LAN.
- Nätverket behöver en tydligare Layer 3-gräns för skala eller felisolering.
I större miljöer kan höghastighetsväxelupplänkar använda optiska gränssnitt snarare än enbart koppar. Det tillgängligafiberoptisk transceiverfamilj, switchporttyp, stödd räckvidd och fibertyp bör därför kontrolleras tillsammans snarare än att behandla switchen som en isolerad enhet.
Tre praktiska nätverksdesigner
1. Litet kontor: Layer 2 Access med Firewall Routing
Internet |Brandvägg|Managed Layer 2 Switch|| |Användare Telefoner Access Points
Denna design är rimlig när brandväggen redan hanterar VLAN-gateways och den förväntade inter-VLAN-belastningen passar inom dess gränssnitt och inspektionskapacitet.
2. Business LAN: Layer 2 Access med Layer 3 Core
Brandvägg|Skikt 3 Switch /|\\ L2 SW L2 SW L2 SW|||Användare servrar enheter
Här kan Layer 3-switchen tillhandahålla lokal routing för betrodda interna nätverk, medan brandväggen förblir ansvarig för Internetåtkomst och säkerhetsfunktioner. Fiberupplänkar mellan switchar kan användasSFP-sändtagareeller optiska moduler med högre hastighet beroende på portens hastighet och avstånd.
3. Aggregation eller campusnätverk med högre kapacitet
När åtkomstväxlar, användare, trådlösa system, kameror och servernätverk växer, blir upplänksdesign lika viktig som själva Layer 2/Layer 3-beslutet.
En distributions- eller kärnswitch kan kräva redundanta fiberlänkar, länkaggregation, gatewayredundans och gränssnitt med högre hastighet. För 40G-upplänkar kan switch- och kabeldesignen användas40G QSFP-sändtagare; 100G-designer kan istället användas100G QSFP28 transceivrar. Den optiska modulen, fibertypen, kontaktgränssnittet, räckvidden och switchkompatibiliteten måste alla matcha.
Parallelloptikkonstruktioner kan också kräva hög densitetMPO/MTP-kabelenheter, så planering av fysiska skikt bör slutföras vid sidan av växlingsvalet snarare än efter det.
Vad sägs om Layer 2+ eller Layer 3 Lite Switchar?
Termer som "Layer 2+" och "Layer 3 Lite" är leverantörsberoende. De beskriver ofta switchar som ger mer än grundläggande Layer 2-växling men som inte exponerar samma routingfunktion som en komplett Layer 3-plattform.
En produkt kan stödja VLAN och statiska rutter samtidigt som den saknar ett routingprotokoll eller gateway-redundansfunktion som krävs av designen.
Innan du köper, kontrollera den faktiska specifikationen för:
- IPv4 och IPv6 routing
- Statiska och standardrutter
- SVI-stöd
- Ruttade fysiska gränssnitt
- Ruttbordskapacitet
- ACL-förmåga
- Gateway redundans
- Dynamiska routingprotokoll, vid behov
Funktionstabellen är viktigare än marknadsföringsetiketten.
Hur man väljer mellan en Layer 2 och Layer 3 Switch
1. Bestäm var varje VLAN-gateway ska bo
Lista VLAN och identifiera vilken enhet som ska vara deras standardgateway: router, brandvägg eller Layer 3 switch. Detta enda steg löser ofta det mesta av lager 2 vs lager 3 beslut.
2. Kartlägg trafiken mellan VLAN
Identifiera vilka nätverk som faktiskt kommunicerar med varandra. Ett nätverk där nästan all trafik går till Internet har andra routingbehov än ett där servrar, applikationer, lagring och användare utbyter stora mängder öst-västtrafik.
3. Bestäm vilken trafik som kräver säkerhetskontroll
Om en VLAN-gräns också är en säkerhetsgräns, avgör om trafiken behöver brandväggsinspektion snarare än enkel vidarebefordran eller ACL-filtrering.
4. Verifiera de routingfunktioner du behöver
Kontrollera den faktiska switchmodellen för statisk routing, IPv6, SVI-stöd, routade portar, ACL:er, ruttredundans och eventuellt dynamiskt protokoll som krävs av designen. Köp inte bara på orden "Layer 3".
5. Kontrollera växlings- och upplänkskapacitet
För nätverk med högre genomströmning, jämför växlingskapacitet, vidarebefordringshastighet, accessporthastigheter, upplänkshastigheter och förväntad överabonnemang. En L3-funktionsuppsättning kompenserar inte för underdimensionerade upplänkar.
6. Matcha växeln till det fysiska nätverket
Bekräfta om varje upplänk är koppar eller fiber, den optiska formfaktorn som stöds av switchen och det erforderliga avståndet. En komplett design måste anpassa switchgränssnittet, transceivern, fibern och kontaktsystemet.
Vanliga Layer 2 vs Layer 3 Switch misstag
Förutsatt att VLAN-stöd betyder lager 3-routing
En hanterad Layer 2-switch kan skapa och transportera VLAN. Den viktiga frågan är om den kan dirigera mellan motsvarande IP-subnät.
Köp Layer 3 överallt utan en ruttplan
Att lägga till routingmöjlighet till varje åtkomstswitch förbättrar inte automatiskt ett nätverk. Bestäm först var ruttgränserna hör hemma och hur rutter ska kontrolleras.
Flytta gateways från brandväggen utan att granska säkerheten
Om brandväggen för närvarande inspekterar trafik mellan VLAN, kan flyttning av standardgateways till en L3-switch ändra eller kringgå den inspektionsvägen såvida inte arkitekturen görs om i enlighet därmed.
Förutsatt att varje lager 3-switch stöder samma protokoll
Grundläggande statisk routing och en komplett uppsättning företagsroutingfunktioner är inte samma sak. Verifiera support för den exakta hårdvaru- och mjukvaruversionen.
Ignorerar upplänken
En switch med många snabbåtkomstportar kan fortfarande begränsas av en långsam eller övertecknad upplänk. Utvärdera änd-till-änd-trafikvägen, inte bara antalet åtkomstportar.
Lager 2 eller Lager 3: Det slutliga beslutet
Välj enLayer 2 switchnär enheten huvudsakligen behöver ansluta slutpunkter, separera trafik till VLAN och vidarebefordra dessa VLAN till en annan router, brandvägg eller Layer 3-switch.
Välj enLayer 3 switchnär själva switchen behöver fungera som gateway mellan subnät, dirigera betydande intern trafik eller delta i en större routad LAN-design.
I många affärsnätverk används båda tillsammans: Layer 2-switchar ger slutpunktsåtkomst, Layer 3-switchar ger vald intern routing, och en router eller brandvägg hanterar Internet, WAN och säkerhetstjänster. Den avgörande faktorn är inte bara lagernumret; det är trafikvägen och rollen som varje enhet måste utföra.
Vanliga frågor
Kan en Layer 2-switch ha en IP-adress?
Ja. En hanterad Layer 2-switch kan ha en IP-adress för hantering. Den hanteringsadressen betyder inte automatiskt att switchen kan dirigera användartrafik mellan olika IP-undernät.
Behöver jag en Layer 3-switch för att använda VLAN?
Nej. Managed Layer 2-switchar kan skapa och bära VLAN. En Layer 3-enhet krävs när trafik behöver flyttas mellan de IP-nätverk som är associerade med dessa VLAN.
Kan en Layer 3-switch fungera som standardgateway?
Ja, om switchen stöder de erforderliga Layer 3-gränssnitten och routingkonfigurationen. En SVI används vanligtvis som standardgateway för värdar i ett VLAN.
Behöver en Layer 3-switch fortfarande en router eller brandvägg?
Ofta, ja. En Layer 3-switch kan utföra intern routing, men Internetanslutning, NAT, VPN, WAN-funktioner och stateful säkerhet kan fortfarande höra hemma på en router eller brandvägg beroende på nätverkets design.
Vilket är bättre för ett litet företag: lager 2 eller lager 3?
Om en kapabel brandvägg redan tillhandahåller VLAN-gateways och det finns begränsad intern cross-VLAN-trafik, kan hanterade Layer 2-åtkomstväxlar vara tillräckliga. En Layer 3-switch blir mer användbar när efterfrågan på intern routing, VLAN-antal eller nätverksskalan ökar.
Vad är en Layer 2+ switch?
Lager 2+ är inte en universellt fast funktionsnivå. Det hänvisar vanligtvis till en hanterad switch som lägger till begränsade Layer 3-funktioner som statisk routing. Verifiera alltid den exakta funktionslistan istället för att lita på etiketten.
