En Layer 2-svitsj videresender Ethernet-rammer inne i et LAN eller VLAN primært ved å bruke MAC-adresser. En Layer 3-svitsj kan gjøre den samme Layer 2-svitsjen mens den også ruter IP-pakker mellom forskjellige VLAN og subnett.
Den praktiske avgjørelsen er derfor ikke om lag 3 bare er "bedre". Det er dethvor ruting skal skje i nettverket ditt. Hvis en ruter eller brannmur allerede fungerer som gateway mellom VLAN og trafikknivået er beskjedent, kan en administrert Layer 2-tilgangssvitsj være nok. Hvis betydelig intern trafikk må flyttes mellom VLAN, eller selve svitsjen må fungere som standard gateway for flere subnett, blir en Layer 3-svitsj mer nyttig.
Layer 2 vs Layer 3 Switch
| Trekk | Layer 2 Switch | Layer 3 Switch |
|---|---|---|
| Primær videresendingsvedtak | MAC-adresse | MAC-adresse og IP-adresse |
| Hovedrolle | Bytt trafikk i et Layer 2-nettverk eller VLAN | Bytt trafikk og rute mellom IP-nettverk |
| MAC-adressetabell | Ja | Ja |
| IP-rutingstabell | Brukes ikke til vanlig videresending av lag 2 | Ja |
| VLAN-støtte | Ja på administrerte modeller | Ja |
| Inter-VLAN ruting | Krever en annen Layer 3-enhet | Støttes på rutingkompatible modeller |
| Typisk utplassering | Tilgangsbytte | Distribusjon, kjerne- eller rutetilgang |
| Rutingfunksjoner | Ingen eller begrenset på enkelte L2+-modeller | Statisk og, avhengig av modell, dynamisk ruting |
En nyttig regel er enkel:bruk Layer 2 hvor du bare trenger å bytte; bruk Layer 3 hvor svitsjen også må ta rutingbeslutninger.
Hva en Layer 2-bryter faktisk gjør
En Layer 2-svitsj lærer hvilke MAC-adresser som kan nås gjennom hvilke fysiske porter og registrerer denne informasjonen i MAC-adressetabellen. Når en Ethernet-ramme ankommer, undersøker svitsjen destinasjons-MAC-adressen og videresender rammen mot riktig port når den destinasjonen er kjent.
Dette er den normale jobben til en tilgangssvitsj som kobler til datamaskiner, servere, IP-telefoner, kameraer, trådløse tilgangspunkter og andre Ethernet-enheter. Avhengig av distribusjonen kan disse endepunktene bruke kobber Ethernet gjennomnettverkskablereller koble oppstrøms gjennom fibergrensesnitt.
Layer 2-svitsjer kan fortsatt bruke VLAN
VLAN-støtte gjør ikke i seg selv en svitsj til en Layer 3-svitsj. Managed Layer 2-svitsjer kan separere porter i forskjellige VLAN-er og bære flere VLAN-er over en 802.1Q-trunk.
DeIEEE 802.1Q standarddefinerer driften av brokoblede nettverk og VLAN-broer. I praktiske Ethernet-nettverk brukes 802.1Q-tagging vanligvis til å overføre trafikk for flere VLAN-er mellom svitsjer, rutere, brannmurer og andre VLAN-bevisste enheter.
For eksempel:
- VLAN 10: kontorbrukere
- VLAN 20: applikasjonsservere
- VLAN 30: IP-kameraer
En administrert Layer 2-svitsj kan holde disse VLAN-ene logisk atskilt. Begrensningen vises når en enhet i ett IP-delnettverk trenger å kommunisere med en enhet i et annet.
Hvorfor ulike VLAN trenger lag 3-ruting
Tenk på to nettverk:
- VLAN 10: 192.168.10.0/24
- VLAN 20: 192.168.20.0/24
En vert i VLAN 10 kan kommunisere direkte med andre enheter i samme subnett gjennom Layer 2-svitsjing. Men en pakke destinert for 192.168.20.0/24 må sendes til en Layer 3-gateway fordi destinasjonen er utenfor det lokale IP-nettverket.
Denne gatewayen kan være en ruter, brannmur eller Layer 3-svitsj. Cisco sinDokumentasjon for konfigurasjon av inter-VLAN-rutingviser denne modellen direkte: Layer 2-svitsjer bærer VLAN-ene, mens en rutingskompatibel Catalyst-svitsj bruker VLAN-grensesnitt for å rute mellom de tilsvarende undernettene.
Hvordan en SVI fungerer som en VLAN-gateway
En vanlig Layer 3-svitsjdesign bruker svitsjede virtuelle grensesnitt, eller SVI-er. Hvert rutet VLAN kan ha et Layer 3-grensesnitt som fungerer som standard gateway for enheter i det subnettet.
VLAN 10 - UsersSubnet: 192.168.10.0/24SVI / Gateway: 192.168.10.1VLAN 20 - ServersSubnet: 192.168.20.0/24SVI / Gateway: 192.168.20.1
Hvis en bruker på 192.168.10.25 sender trafikk til en server på 192.168.20.50, kan banen være:
Bruker-PC→ 192.168.10.1 standard gateway→ Lag 3 rutingtabell→ VLAN 20→ Server
Svitsjen utfører normal Layer 2-videresending i hvert VLAN, men den bruker Layer 3-ruting når trafikk krysser subnettgrensen.
Noen Layer 3-svitsjer støtter også rutede fysiske porter. I så fall fungerer et grensesnitt som et IP-grensesnitt i stedet for en switchport som er tilordnet et VLAN. Nøyaktige muligheter avhenger av bryterplattformen og programvaren.
Layer 2 vs Layer 3 Switch: Forskjellene som betyr noe i et ekte nettverk
Videresending inne i et VLAN vs ruting mellom undernett
Lag 2-svitsjing er først og fremst opptatt av å videresende Ethernet-rammer i et lag 2-domene. Lag 3-svitsjing legger til rutingbeslutninger basert på destinasjons-IP-nettverk.
Denne forskjellen betyr mer enn produktetiketten. En svitsj som støtter VLAN-oppretting, men som ikke kan rute mellom disse VLAN-ene, er fortsatt avhengig av en ekstern Layer 3-gateway for kommunikasjon mellom undernettverk.
Tilgangslag vs rutinggrense
Layer 2-svitsjer brukes ofte nær endepunkter. Layer 3-svitsjer er ofte plassert der flere aksessnettverk konvergerer eller der nettverket trenger en lokal rutinggrense.
Dette er designmønstre, ikke harde regler. Arkitekturer med rutetilgang kan bringe Layer 3 nærmere endepunkter, mens mindre nettverk kan sentralisere all ruting på en brannmur.
Grunnleggende ruting vs full ruting funksjonssett
Ikke anta at hvert produkt merket "Layer 3" har de samme rutefunksjonene. En svitsj støtter kanskje bare tilkoblede og statiske ruter, mens en annen kan støtte IPv4- og IPv6-ruting, OSPF, ruteredundans, ACL-er og større rutingtabeller.
Når OSPF er et krav, kontroller at protokollstøtten på den eksakte modellen og programvareutgivelsen. OSPFv2 selv er definert av IETF iRFC 2328, men implementeringsstøtte varierer etter svitsjplattform.
Bør Inter-VLAN-ruting skje på en Layer 3-svitsj eller en brannmur?
Dette er et av de viktigste designspørsmålene, fordi ytelse og sikkerhetsinspeksjon ikke er det samme kravet.
Rute på Layer 3-bryteren når intern trafikk bør forbli i LAN
Hvis store mengder pålitelig øst-vest-trafikk beveger seg mellom interne VLAN-er, kan plassering av VLAN-gatewayene på en Layer 3-svitsj holde denne trafikken på svitsjeinfrastrukturen.
En forenklet vei kan være:
Access Switch → Layer 3 Core → Destination VLAN
Dette er vanlig når bruker-, server-, lagrings- eller applikasjonsnettverk utveksler betydelig intern trafikk og svitsjen er utformet for å gi nødvendig rutingkapasitet.
Rute gjennom brannmuren når inter-VLAN-inspeksjon er nødvendig
Hvis trafikk mellom to VLAN-er må passere gjennom stateful inspeksjon, applikasjonspolicyer, trusselforebygging eller annen brannmurkontroll, kan det å beholde VLAN-gatewayene på brannmuren være det bedre designet selv om banen er mindre direkte.
Banen kan se mer slik ut:
Tilgangsbryter→ Brannmur→ Sikkerhetspolicy / Inspeksjon→ Destinasjons-VLAN
Å flytte disse gatewayene til en Layer 3-svitsj kan endre den sikkerhetsbanen. En ACL på en svitsj kan begrense trafikk, men den tilsvarer ikke automatisk inspeksjonsfunksjonene til en brannmur.
Av denne grunn er "vi har mange VLAN" ikke nok informasjon til å bestemme hvor ruting hører hjemme. Du må også vitehvilke VLAN-er som kommuniserer, hvor mye trafikk som krysser grensen, og om den trafikken må inspiseres.
Når er en Layer 2-bryter nok?
En Layer 2-svitsj er ofte tilstrekkelig i følgende situasjoner:
- Nettverket bruker ett hoved-IP-undernett.
- Bryteren er først og fremst en tilgangsenhet som kobler sammen endepunkter.
- VLAN-gatewayer er allerede konfigurert på en ruter eller brannmur.
- Inter-VLAN-trafikken er beskjeden og den eksisterende gatewayen har nok kapasitet.
- Sikkerhetspolicy krever at VLAN-til-VLAN-trafikk passerer gjennom en brannmur.
For eksempel kan et lite kontor bruke separate ansatt-, tale- og gjeste-VLANer mens brannmuren gir standard gatewayer, DHCP-tjenester, Internett-tilgang, NAT og håndhevelse av retningslinjer. I den arkitekturen kan administrerte Layer 2-svitsjer fortsatt gi VLAN-tilkoblingen tilgangslaget trenger.
Når gir en Layer 3-bryter mer mening?
En Layer 3-svitsj blir mer nyttig når LAN selv må ta hyppige rutingbeslutninger.
- Flere VLAN utveksler betydelig intern trafikk.
- Svitsjen må fungere som standard gateway for flere undernett.
- Flere tilgangssvitsjer konvergerer på et distribusjons- eller kjernelag.
- Designet krever statisk eller dynamisk ruting inne i LAN.
- Nettverket trenger en klarere lag 3-grense for skalering eller feilisolering.
I større miljøer kan høyhastighetssvitsj-opplinker bruke optiske grensesnitt i stedet for kobber alene. Den tilgjengeligefiberoptisk transceiverfamilie, bryterporttype, støttet rekkevidde og fibertype bør derfor kontrolleres sammen i stedet for å behandle bryteren som en isolert enhet.
Tre praktiske nettverksdesign
1. Lite kontor: Lag 2-tilgang med brannmurruting
Internett |Brannmur |Managed Layer 2 Switch|| |Brukere telefoner tilgangspunkter
Denne utformingen er rimelig når brannmuren allerede håndterer VLAN-gatewayene og den forventede inter-VLAN-belastningen passer innenfor grensesnittene og inspeksjonskapasiteten.
2. Business LAN: Layer 2 Access med Layer 3 Core
Brannmur|Layer 3 Switch /|\\ L2 SW L2 SW L2 SW|||Brukere Serverenheter
Her kan Layer 3-svitsjen gi lokal ruting for pålitelige interne nettverk, mens brannmuren fortsatt er ansvarlig for Internett-tilgang og sikkerhetsfunksjoner. Fiber oppkoblinger mellom brytere kan brukeSFP transceivereeller optiske moduler med høyere hastighet avhengig av porthastighet og avstand.
3. Aggregasjon eller campusnettverk med høyere kapasitet
Etter hvert som tilgangssvitsjer, brukere, trådløse systemer, kameraer og servernettverk vokser, blir uplink-design like viktig som selve Layer 2/Layer 3-beslutningen.
En distribusjons- eller kjernesvitsj kan kreve redundante fiberkoblinger, lenkeaggregering, gateway-redundans og grensesnitt med høyere hastighet. For 40G opplinker kan bryteren og kablingsdesignen bruke40G QSFP transceivere; 100G-design kan i stedet bruke100G QSFP28 transceivere. Den optiske modulen, fibertypen, kontaktgrensesnittet, rekkevidden og bryterkompatibiliteten må alle stemme overens.
Parallelloptikkdesign kan også kreve høy tetthetMPO/MTP-kabelsammenstillinger, så planlegging av fysisk lag bør fullføres ved siden av valg av brytere i stedet for etter det.
Hva med Layer 2+ eller Layer 3 Lite-svitsjer?
Termer som «Layer 2+» og «Layer 3 Lite» er leverandøravhengige. De beskriver ofte brytere som gir mer enn grunnleggende Layer 2-svitsjing, men som ikke avslører det samme rutefunksjonssettet som en full Layer 3-plattform.
Et produkt kan støtte VLAN og statiske ruter mens det mangler en rutingprotokoll eller gateway-redundansfunksjon som kreves av designet.
Før du kjøper, sjekk den faktiske spesifikasjonen for:
- IPv4 og IPv6 ruting
- Statiske og standard ruter
- SVI-støtte
- Rutede fysiske grensesnitt
- Rutetabellkapasitet
- ACL-evne
- Gateway redundans
- Dynamiske rutingprotokoller, om nødvendig
Funksjonstabellen betyr mer enn markedsføringsetiketten.
Hvordan velge mellom en Layer 2 og Layer 3 Switch
1. Bestem hvor hver VLAN-gateway skal bo
List opp VLAN-ene og identifiser hvilken enhet som skal være deres standardgateway: ruter, brannmur eller lag 3-svitsj. Dette enkelt trinnet løser ofte det meste av lag 2 vs lag 3 avgjørelsen.
2. Kartlegg trafikken mellom VLAN
Identifiser hvilke nettverk som faktisk kommuniserer med hverandre. Et nettverk der nesten all trafikk går til Internett har andre rutingsbehov enn et der servere, applikasjoner, lagring og brukere utveksler store mengder øst-vest trafikk.
3. Bestem hvilken trafikk som krever sikkerhetsinspeksjon
Hvis en VLAN-grense også er en sikkerhetsgrense, avgjør om trafikken trenger brannmurinspeksjon i stedet for enkel rutet videresending eller ACL-filtrering.
4. Bekreft rutefunksjonene du trenger
Sjekk den faktiske svitsjmodellen for statisk ruting, IPv6, SVI-støtte, rutede porter, ACL-er, ruteredundans og enhver dynamisk protokoll som kreves av designet. Ikke kjøp på ordene "Layer 3" alene.
5. Sjekk svitsjings- og opplinkkapasitet
For nettverk med høyere gjennomstrømming, sammenligne svitsjingskapasitet, videresendingshastighet, tilgangsporthastigheter, opplinkhastigheter og forventet overabonnement. Et L3-funksjonssett kompenserer ikke for underdimensjonerte oppkoblinger.
6. Tilpass bryteren til det fysiske nettverket
Bekreft om hver opplink er kobber eller fiber, den optiske formfaktoren som støttes av bryteren, og den nødvendige avstanden. Et komplett design må justere brytergrensesnittet, transceiveren, fiberen og koblingssystemet.
Vanlige Layer 2 vs Layer 3 Switch feil
Forutsatt at VLAN-støtte betyr lag 3-ruting
En administrert Layer 2-svitsj kan opprette og transportere VLAN. Det viktige spørsmålet er om den kan rute mellom de tilsvarende IP-undernettene.
Kjøpe lag 3 overalt uten en ruteplan
Å legge til rutingfunksjoner til hver tilgangssvitsj forbedrer ikke automatisk et nettverk. Bestem først hvor rutegrenser hører hjemme og hvordan ruter skal kontrolleres.
Flytte gatewayer ut av brannmuren uten å gå gjennom sikkerheten
Hvis brannmuren for øyeblikket inspiserer trafikk mellom VLAN, kan flytting av standard gatewayer til en L3-svitsj endre eller omgå den inspeksjonsbanen med mindre arkitekturen er redesignet tilsvarende.
Forutsatt at hver lag 3-svitsj støtter de samme protokollene
Grunnleggende statisk ruting og et komplett sett med bedriftsrutingsfunksjoner er ikke det samme. Bekreft støtte på nøyaktig maskinvare- og programvareutgivelse.
Ignorerer oppkoblingen
En svitsj med mange hurtigtilgangsporter kan fortsatt bli begrenset av en langsom eller overtegnet opplink. Evaluer ende-til-ende-trafikkbanen, ikke bare antall tilgangsporter.
Lag 2 eller lag 3: Den endelige avgjørelsen
Velg enLag 2 bryternår enheten hovedsakelig trenger å koble til endepunkter, separere trafikk i VLAN-er og videresende disse VLAN-ene til en annen ruter, brannmur eller Layer 3-svitsj.
Velg enLag 3 bryternår selve svitsjen må fungere som gateway mellom subnett, rute betydelig intern trafikk eller delta i et større rutet LAN-design.
I mange forretningsnettverk brukes begge sammen: Layer 2-svitsjer gir endepunktstilgang, Layer 3-svitsjer gir valgt intern ruting, og en ruter eller brannmur håndterer Internett, WAN og sikkerhetstjenester. Den avgjørende faktoren er ikke lagnummeret alene; det er trafikkveien og rollen hver enhet må utføre.
Ofte stilte spørsmål
Kan en Layer 2-svitsj ha en IP-adresse?
Ja. En administrert Layer 2-svitsj kan ha en IP-adresse for administrasjon. Denne administrasjonsadressen betyr ikke automatisk at svitsjen kan rute brukertrafikk mellom forskjellige IP-undernett.
Trenger jeg en Layer 3-svitsj for å bruke VLAN?
Nei. Managed Layer 2-svitsjer kan opprette og bære VLAN. En Layer 3-enhet er nødvendig når trafikk må flyttes mellom IP-nettverkene som er knyttet til disse VLAN-ene.
Kan en Layer 3-svitsj fungere som standard gateway?
Ja, hvis svitsjen støtter de nødvendige Layer 3-grensesnittene og rutingkonfigurasjonen. En SVI brukes ofte som standard gateway for verter i et VLAN.
Trenger en Layer 3-svitsj fortsatt en ruter eller brannmur?
Ofte, ja. En Layer 3-svitsj kan utføre intern ruting, men Internett-tilkobling, NAT, VPN, WAN-funksjoner og stateful sikkerhet kan fortsatt høre hjemme på en ruter eller brannmur, avhengig av nettverksdesignet.
Hva er bedre for en liten bedrift: lag 2 eller lag 3?
Hvis en egnet brannmur allerede gir VLAN-gatewayene og det er begrenset intern trafikk på tvers av VLAN, kan administrerte Layer 2-tilgangssvitsjer være tilstrekkelig. En Layer 3-svitsj blir mer nyttig ettersom intern rutingbehov, VLAN-antall eller nettverksskala øker.
Hva er en lag 2+-bryter?
Laget 2+ er ikke et universelt fast funksjonsnivå. Det refererer vanligvis til en administrert svitsj som legger til begrensede Layer 3-funksjoner som statisk ruting. Kontroller alltid den nøyaktige funksjonslisten i stedet for å stole på etiketten.
