En Layer 2-switch videresender Ethernet-rammer inde i et LAN eller VLAN primært ved at bruge MAC-adresser. En Layer 3 switch kan lave den samme Layer 2 switching, mens den også dirigerer IP-pakker mellem forskellige VLAN'er og undernet.
Den praktiske beslutning er derfor ikke, om lag 3 blot er "bedre". Det er dethvor routing skal ske i dit netværk. Hvis en router eller firewall allerede fungerer som gateway mellem VLAN'er, og trafikniveauet er beskedent, kan en administreret Layer 2-adgangsswitch være nok. Hvis væsentlig intern trafik skal bevæge sig mellem VLAN'er, eller selve switchen skal fungere som standardgateway for flere undernet, bliver en Layer 3-switch mere nyttig.
Layer 2 vs Layer 3 Switch
| Feature | Layer 2 Switch | Layer 3 Switch |
|---|---|---|
| Primær videresendelsesbeslutning | MAC-adresse | MAC-adresse og IP-adresse |
| Hovedrolle | Skift trafik inde i et Layer 2-netværk eller VLAN | Skift trafik og rute mellem IP-netværk |
| MAC adresse tabel | Ja | Ja |
| IP routing tabel | Bruges ikke til normal Layer 2-videresendelse | Ja |
| VLAN understøttelse | Ja på administrerede modeller | Ja |
| Inter-VLAN routing | Kræver en anden Layer 3-enhed | Understøttet på routing-kompatible modeller |
| Typisk indsættelse | Adgangsskift | Distributions-, kerne- eller ruteadgang |
| Routing funktioner | Ingen eller begrænset på nogle L2+-modeller | Statisk og, afhængig af model, dynamisk routing |
En nyttig regel er enkel:brug Layer 2, hvor du kun skal skifte; brug Layer 3, hvor switchen også skal træffe routingbeslutninger.
Hvad en Layer 2 Switch faktisk gør
En Layer 2-switch lærer, hvilke MAC-adresser der er tilgængelige via hvilke fysiske porte, og registrerer disse oplysninger i dens MAC-adressetabel. Når en Ethernet-ramme ankommer, undersøger switchen destinationens MAC-adresse og videresender rammen mod den korrekte port, når den pågældende destination er kendt.
Dette er den normale opgave for en adgangsswitch, der forbinder computere, servere, IP-telefoner, kameraer, trådløse adgangspunkter og andre Ethernet-enheder. Afhængigt af implementeringen kan disse endepunkter bruge kobber Ethernet igennemnetværkskablereller tilslut opstrøms gennem fibergrænseflader.
Layer 2-switche kan stadig bruge VLAN'er
VLAN-understøttelse gør ikke i sig selv en switch til en Layer 3-switch. Managed Layer 2-switche kan adskille porte i forskellige VLAN'er og bære flere VLAN'er over en 802.1Q-trunk.
DeIEEE 802.1Q standarddefinerer driften af broforbundne netværk og VLAN-broer. I praktiske Ethernet-netværk bruges 802.1Q-tagging almindeligvis til at transportere trafik for flere VLAN'er mellem switche, routere, firewalls og andre VLAN-bevidste enheder.
For eksempel:
- VLAN 10: kontorbrugere
- VLAN 20: applikationsservere
- VLAN 30: IP-kameraer
En administreret Layer 2-switch kan holde disse VLAN logisk adskilte. Begrænsningen vises, når en enhed i et IP-undernet skal kommunikere med en enhed i et andet.
Hvorfor forskellige VLAN'er har brug for Layer 3 Routing
Overvej to netværk:
- VLAN 10: 192.168.10.0/24
- VLAN 20: 192.168.20.0/24
En vært i VLAN 10 kan kommunikere direkte med andre enheder i det samme undernet gennem Layer 2 switching. Men en pakke destineret til 192.168.20.0/24 skal sendes til en Layer 3-gateway, fordi destinationen er uden for det lokale IP-netværk.
Denne gateway kan være en router, firewall eller Layer 3 switch. CiscosInter-VLAN Routing konfigurationsdokumentationviser denne model direkte: Layer 2-switches bærer VLAN'erne, mens en routing-kompatibel Catalyst-switch bruger VLAN-grænseflader til at rute mellem de tilsvarende undernet.
Hvordan en SVI fungerer som en VLAN-gateway
Et almindeligt Layer 3-switchdesign bruger switchede virtuelle grænseflader eller SVI'er. Hvert routet VLAN kan have et Layer 3-interface, der fungerer som standardgateway for enheder i det pågældende undernet.
VLAN 10 - UsersSubnet: 192.168.10.0/24SVI / Gateway: 192.168.10.1VLAN 20 - ServersSubnet: 192.168.20.0/24SVI / Gateway: 192.168.20.1
Hvis en bruger på 192.168.10.25 sender trafik til en server på 192.168.20.50, kan stien være:
Bruger-pc→ 192.168.10.1 standardgateway→ Layer 3-routingtabel→ VLAN 20→ Server
Switchen udfører normal Layer 2-videresendelse inde i hvert VLAN, men den bruger Layer 3-routing, når trafikken krydser subnet-grænsen.
Nogle Layer 3-switche understøtter også rutede fysiske porte. I så fald fungerer en grænseflade som en IP-grænseflade i stedet for en switchport, der er tildelt et VLAN. De nøjagtige muligheder afhænger af switch-platformen og softwaren.
Layer 2 vs Layer 3 Switch: Forskellene, der betyder noget i et rigtigt netværk
Videresendelse inde i et VLAN vs Routing mellem undernet
Layer 2 switching handler primært om at videresende Ethernet-rammer inde i et Layer 2-domæne. Layer 3 switching tilføjer routing-beslutninger baseret på destinations-IP-netværk.
Denne sondring betyder mere end produktetiketten. En switch, der understøtter VLAN-oprettelse, men ikke kan rute mellem disse VLAN'er, er stadig afhængig af en ekstern Layer 3-gateway til inter-subnet-kommunikation.
Access Layer vs Routing Boundary
Layer 2 switche bruges almindeligvis tæt på endepunkter. Layer 3-switches placeres ofte, hvor flere adgangsnetværk konvergerer, eller hvor netværket har brug for en lokal routing-grænse.
Det er designmønstre, ikke hårde regler. Arkitekturer med ruteadgang kan bringe Layer 3 tættere på endpoints, mens mindre netværk kan centralisere al routing på en firewall.
Grundlæggende routing vs fuld routing funktionssæt
Antag ikke, at hvert produkt mærket "Layer 3" har de samme routingfunktioner. Én switch understøtter muligvis kun tilsluttede og statiske ruter, mens en anden understøtter IPv4- og IPv6-routing, OSPF, ruteredundans, ACL'er og større routingtabeller.
Når OSPF er et krav, skal du kontrollere, at protokolunderstøttelse på den nøjagtige model og softwareudgivelse. OSPFv2 selv er defineret af IETF iRFC 2328, men implementeringsunderstøttelse varierer efter switch-platform.
Skal Inter-VLAN-routing ske på en Layer 3-switch eller en firewall?
Dette er et af de vigtigste designspørgsmål, fordi ydeevne og sikkerhedsinspektion ikke er det samme krav.
Rute på Layer 3 Switch, når intern trafik skal forblive i LAN
Hvis store mængder betroet øst-vest-trafik bevæger sig mellem interne VLAN'er, kan placering af VLAN-gateways på en Layer 3-switch holde denne trafik på switching-infrastrukturen.
En forenklet sti kunne være:
Adgang Switch→ Layer 3 Core→ Destination VLAN
Dette er almindeligt, når bruger-, server-, lager- eller applikationsnetværk udveksler betydelig intern trafik, og switchen er designet til at give den nødvendige routingkapacitet.
Rute gennem firewallen, når inter-VLAN-inspektion er påkrævet
Hvis trafik mellem to VLAN'er skal passere gennem stateful inspektion, applikationspolitikker, trusselsforebyggelse eller en anden firewallkontrol, kan det være det bedste design at beholde VLAN-gateways på firewallen, selvom stien er mindre direkte.
Stien kan se mere ud som:
Adgangskontakt→ Firewall→ Sikkerhedspolitik / Inspektion→ Destination VLAN
Flytning af disse gateways til en Layer 3-switch kan ændre denne sikkerhedssti. En ACL på en switch kan begrænse trafikken, men den svarer ikke automatisk til inspektionsfunktionerne i en firewall.
Af denne grund er "vi har mange VLAN'er" ikke nok information til at beslutte, hvor routing hører hjemme. Du skal også vide dethvilke VLAN'er der kommunikerer, hvor meget trafik der krydser grænsen, og om den trafik skal inspiceres.
Hvornår er en Layer 2 Switch nok?
En Layer 2-switch er ofte tilstrækkelig i følgende situationer:
- Netværket bruger ét hoved-IP-undernet.
- Switchen er primært en adgangsenhed, der forbinder endepunkter.
- VLAN-gateways er allerede konfigureret på en router eller firewall.
- Inter-VLAN-trafik er beskeden, og den eksisterende gateway har tilstrækkelig kapacitet.
- Sikkerhedspolitikken kræver, at VLAN-til-VLAN-trafik passerer gennem en firewall.
For eksempel kan et lille kontor bruge separate medarbejder-, stemme- og gæste-VLAN'er, mens firewall'en leverer standardgateways, DHCP-tjenester, internetadgang, NAT og politikhåndhævelse. I den arkitektur kan administrerede Layer 2-switche stadig give den VLAN-forbindelse, som adgangslaget har brug for.
Hvornår giver en Layer 3-switch mere mening?
En Layer 3-switch bliver mere nyttig, når LAN'et selv skal træffe hyppige routingbeslutninger.
- Flere VLAN'er udveksler betydelig intern trafik.
- Switchen skal fungere som standardgateway for flere undernet.
- Adskillige adgangskontakter konvergerer på et distributions- eller kernelag.
- Designet kræver statisk eller dynamisk routing inde i LAN.
- Netværket har brug for en klarere Layer 3-grænse for skalering eller fejlisolering.
I større miljøer kan high-speed switch uplinks bruge optiske grænseflader i stedet for kobber alene. Den tilgængeligefiberoptisk transceiverfamilie, switchporttype, understøttet rækkevidde og fibertype bør derfor kontrolleres sammen i stedet for at behandle switchen som en isoleret enhed.
Tre praktiske netværksdesigns
1. Lille kontor: Layer 2 Access med Firewall Routing
Internet |Firewall |Managed Layer 2 Switch|| |Brugere Telefoner Adgangspunkter
Dette design er rimeligt, når firewallen allerede håndterer VLAN-gateways, og den forventede inter-VLAN-belastning passer inden for dens grænseflader og inspektionskapacitet.
2. Business LAN: Layer 2 Access med Layer 3 Core
Firewall|Layer 3 Switch /|\\ L2 SW L2 SW L2 SW|||Brugere Serverenheder
Her kan Layer 3-switchen give lokal routing til betroede interne netværk, mens firewallen forbliver ansvarlig for internetadgang og sikkerhedsfunktioner. Fiber uplinks mellem switches kan brugeSFP transceivereeller optiske moduler med højere hastighed afhængigt af porthastighed og afstand.
3. Aggregation med højere kapacitet eller campusnetværk
Efterhånden som adgangskontakter, brugere, trådløse systemer, kameraer og servernetværk vokser, bliver uplink-design lige så vigtigt som selve Layer 2/Layer 3-beslutningen.
En distributions- eller kerneswitch kan kræve redundante fiberlinks, linkaggregering, gateway-redundans og grænseflader med højere hastighed. Til 40G-uplinks kan switch- og kabeldesignet bruge40G QSFP transceivere; 100G-design kan i stedet bruge100G QSFP28 transceivere. Det optiske modul, fibertype, stikgrænseflade, rækkevidde og switchkompatibilitet skal alle matche.
Parallel-optik design kan også kræve høj tæthedMPO/MTP kabelsamlinger, så planlægning af fysiske lag bør afsluttes sammen med valg af switch i stedet for efter det.
Hvad med Layer 2+ eller Layer 3 Lite Switches?
Udtryk som "Layer 2+" og "Layer 3 Lite" er leverandørafhængige. De beskriver ofte switches, der giver mere end grundlæggende Layer 2-switch, men som ikke afslører det samme routingfunktionssæt som en fuld Layer 3-platform.
Et produkt understøtter muligvis VLAN'er og statiske ruter, mens det mangler en routingprotokol eller gateway-redundansfunktion, der kræves af designet.
Før du køber, skal du kontrollere den faktiske specifikation for:
- IPv4 og IPv6 routing
- Statiske ruter og standardruter
- SVI support
- Rutede fysiske grænseflader
- Rutebordskapacitet
- ACL-kapacitet
- Gateway redundans
- Dynamiske routingprotokoller, hvis det kræves
Funktionstabellen betyder mere end markedsføringsetiketten.
Sådan vælger du mellem en Layer 2 og Layer 3 Switch
1. Beslut, hvor hver VLAN-gateway skal leve
Angiv VLAN'erne, og identificer, hvilken enhed der skal være deres standardgateway: router, firewall eller Layer 3-switch. Dette enkelt trin løser ofte det meste af beslutningen om lag 2 vs. lag 3.
2. Kortlæg trafikken mellem VLAN'er
Identificer, hvilke netværk der faktisk kommunikerer med hinanden. Et netværk, hvor næsten al trafik går til internettet, har andre routingbehov end et, hvor servere, applikationer, lager og brugere udveksler store mængder øst-vest trafik.
3. Beslut hvilken trafik der kræver sikkerhedsinspektion
Hvis en VLAN-grænse også er en sikkerhedsgrænse, skal du afgøre, om trafikken skal have firewallinspektion frem for simpel videresendelse eller ACL-filtrering.
4. Bekræft de rutefunktioner, du har brug for
Tjek den faktiske switch-model for statisk routing, IPv6, SVI-understøttelse, routede porte, ACL'er, ruteredundans og enhver dynamisk protokol, der kræves af designet. Køb ikke på ordene "Layer 3" alene.
5. Tjek switching og uplink kapacitet
For netværk med højere kapacitet skal du sammenligne omskiftningskapacitet, videresendelseshastighed, adgangsporthastigheder, uplinkhastigheder og forventet overabonnement. Et L3-funktionssæt kompenserer ikke for underdimensionerede uplinks.
6. Match skiftet til det fysiske netværk
Bekræft, om hver uplink er kobber eller fiber, den optiske formfaktor, der understøttes af switchen, og den nødvendige afstand. Et komplet design skal justere switch-interface, transceiver, fiber og stiksystem.
Almindelige Layer 2 vs Layer 3 Switch fejl
Forudsat at VLAN-understøttelse betyder lag 3-routing
En administreret Layer 2-switch kan oprette og transportere VLAN'er. Det vigtige spørgsmål er, om den kan rute mellem de tilsvarende IP-undernet.
Køb af lag 3 overalt uden en ruteplan
Tilføjelse af routing-kapacitet til hver adgangsswitch forbedrer ikke automatisk et netværk. Beslut først, hvor routinggrænser hører hjemme, og hvordan ruter skal kontrolleres.
Flytning af gateways fra firewallen uden at gennemgå sikkerheden
Hvis firewallen i øjeblikket inspicerer trafik mellem VLAN'er, kan flytning af standardgateways til en L3-switch ændre eller omgå denne inspektionssti, medmindre arkitekturen omdesignes i overensstemmelse hermed.
Forudsat at hver lag 3-switch understøtter de samme protokoller
Grundlæggende statisk routing og et komplet virksomhedsroutingfunktionssæt er ikke det samme. Bekræft support på den nøjagtige hardware- og softwareudgivelse.
Ignorerer Uplink
En switch med mange hurtige adgangsporte kan stadig blive begrænset af en langsom eller overtegnet uplink. Evaluer ende-til-ende-trafikstien, ikke kun antallet af adgangsporte.
Lag 2 eller Lag 3: Den endelige beslutning
Vælg enLayer 2 switchnår enheden primært skal forbinde endepunkter, adskille trafik i VLAN'er og videresende disse VLAN'er til en anden router, firewall eller Layer 3 switch.
Vælg enLayer 3 switchnår selve switchen skal fungere som gateway mellem undernet, dirigere betydelig intern trafik eller deltage i et større routet LAN-design.
I mange erhvervsnetværk bruges begge sammen: Layer 2-switches giver endepunktsadgang, Layer 3-switches giver udvalgt intern routing, og en router eller firewall håndterer internet, WAN og sikkerhedstjenester. Den afgørende faktor er ikke lagnummeret alene; det er trafikstien og den rolle, hver enhed skal udføre.
Ofte stillede spørgsmål
Kan en Layer 2-switch have en IP-adresse?
Ja. En administreret Layer 2-switch kan have en IP-adresse til administration. Denne administrationsadresse betyder ikke automatisk, at switchen kan dirigere brugertrafik mellem forskellige IP-undernet.
Har jeg brug for en Layer 3-switch for at bruge VLAN'er?
Nej. Managed Layer 2-switche kan oprette og bære VLAN'er. En Layer 3-enhed er påkrævet, når trafik skal flyttes mellem de IP-netværk, der er forbundet med disse VLAN'er.
Kan en Layer 3-switch fungere som standard-gateway?
Ja, hvis switchen understøtter de nødvendige Layer 3-grænseflader og routingkonfiguration. En SVI bruges almindeligvis som standard gateway for værter i et VLAN.
Har en Layer 3-switch stadig brug for en router eller firewall?
Ofte, ja. En Layer 3-switch kan udføre intern routing, men internetforbindelse, NAT, VPN, WAN-funktioner og stateful sikkerhed kan stadig høre hjemme på en router eller firewall afhængigt af netværksdesignet.
Hvad er bedre for en lille virksomhed: Layer 2 eller Layer 3?
Hvis en egnet firewall allerede leverer VLAN-gateways, og der er begrænset intern cross-VLAN-trafik, kan administrerede Layer 2-adgangsswitche være tilstrækkelige. En Layer 3-switch bliver mere nyttig, efterhånden som internt routingbehov, VLAN-antal eller netværksskala stiger.
Hvad er en Layer 2+-switch?
Lag 2+ er ikke et universelt fast funktionsniveau. Det refererer almindeligvis til en administreret switch, der tilføjer begrænsede Layer 3-funktioner såsom statisk routing. Bekræft altid den nøjagtige funktionsliste i stedet for at stole på etiketten.
