2. réteg vs 3. réteg kapcsoló: melyik illik a hálózatához?

A 2. rétegű kapcsoló elsősorban MAC-címek használatával továbbítja az Ethernet kereteket a LAN-on vagy VLAN-on belül. A 3. rétegbeli kapcsoló ugyanazt a 2. rétegbeli váltást tudja végrehajtani, miközben IP-csomagokat is irányíthat a különböző VLAN-ok és alhálózatok között.

A gyakorlati döntés tehát nem az, hogy a 3. réteg egyszerűen "jobb-e". Ez azahol az útválasztásnak meg kell történnie a hálózatában. Ha egy útválasztó vagy tűzfal már átjáróként szolgál a VLAN-ok között, és a forgalom szerény, akkor elég lehet egy felügyelt 2. rétegbeli hozzáférési kapcsoló. Ha jelentős belső forgalomnak kell mozognia a VLAN-ok között, vagy magának a kapcsolónak több alhálózat alapértelmezett átjárójaként kell működnie, a 3. rétegű kapcsoló hasznosabbá válik.

2. réteg vs 3. réteg kapcsoló

Egy hasznos szabály egyszerű:használja a Layer 2-t, ahol csak váltásra van szüksége; használja a 3. réteget, ahol a kapcsolónak is meg kell hoznia az útválasztási döntéseket.

Mit csinál valójában egy 2. rétegű kapcsoló

A 2. rétegbeli kapcsoló megtanulja, hogy mely MAC-címek milyen fizikai portokon keresztül érhetők el, és ezt az információt rögzíti a MAC-címtáblázatában. Amikor Ethernet-keret érkezik, a kapcsoló megvizsgálja a cél MAC-címét, és továbbítja a keretet a megfelelő port felé, amikor az ismert.

Ez a számítógépeket, szervereket, IP-telefonokat, kamerákat, vezeték nélküli hozzáférési pontokat és egyéb Ethernet-eszközöket összekötő hozzáférés-kapcsolók szokásos feladata. A telepítéstől függően ezek a végpontok réz Ethernetet használhatnakhálózati kábelezésvagy szálas interfészeken keresztül csatlakoztasson felfelé.

A 2. rétegbeli kapcsolók továbbra is használhatják a VLAN-okat

A VLAN támogatás önmagában nem teszi a kapcsolót Layer 3 kapcsolóvá. A felügyelt 2. rétegű kapcsolók a portokat különböző VLAN-okba különíthetik el, és több VLAN-t hordozhatnak egy 802.1Q törzsön keresztül.

AIEEE 802.1Q szabványáthidalt hálózatok és VLAN-hidak működését határozza meg. A gyakorlati Ethernet-hálózatokban a 802.1Q címkézést gyakran használják több VLAN forgalom átvitelére a switchek, útválasztók, tűzfalak és más VLAN-tudatos eszközök között.

Például:

• VLAN 10: irodai felhasználók
• VLAN 20: alkalmazásszerverek
• VLAN 30: IP kamerák

A felügyelt Layer 2 kapcsoló logikailag külön tudja tartani ezeket a VLAN-okat. A korlátozás akkor jelenik meg, ha az egyik IP-alhálózaton lévő eszköznek kommunikálnia kell egy másik eszközzel.

Miért van szükség a különböző VLAN-okhoz a 3. rétegű útválasztásra?

Vegyünk két hálózatot:

• VLAN 10: 192.168.10.0/24
• VLAN 20: 192.168.20.0/24

A VLAN 10-ben lévő gazdagép közvetlenül kommunikálhat más eszközökkel ugyanabban az alhálózatban a 2. rétegbeli kapcsoláson keresztül. A 192.168.20.0/24 címre szánt csomagot azonban el kell küldeni egy 3. rétegbeli átjárónak, mert a cél a helyi IP-hálózaton kívül van.

Ez az átjáró lehet útválasztó, tűzfal vagy 3. rétegbeli kapcsoló. CiscoInter-VLAN Routing konfigurációs dokumentációközvetlenül mutatja ezt a modellt: A 2. rétegbeli kapcsolók hordozzák a VLAN-okat, míg az útválasztásra képes Catalyst switch VLAN-interfészek segítségével irányítja a megfelelő alhálózatokat.

Hogyan működik az SVI VLAN-átjáróként

Az elterjedt Layer 3 switch-konstrukciók kapcsolt virtuális interfészeket vagy SVI-ket használnak. Minden átirányított VLAN rendelkezhet egy Layer 3 interfésszel, amely alapértelmezett átjáróként szolgál az adott alhálózatban lévő eszközök számára.

VLAN 10 - Felhasználók alhálózata: 192.168.10.0/24SVI / Átjáró: 192.168.10.1VLAN 20 - Szerverek alhálózata: 192.168.20.0/24SVI / Átjáró: 192.168.20.

Ha a 192.168.10.25-ös felhasználó forgalmat küld a 192.168.20.50-es kiszolgálónak, az elérési út a következő lehet:

Felhasználói számítógép → 192.168.10.1 alapértelmezett átjáró → 3. rétegbeli útválasztó tábla → VLAN 20 → kiszolgáló

A kapcsoló normál 2. rétegű továbbítást hajt végre minden VLAN-on belül, de a 3. rétegű útválasztást használja, ha a forgalom átlépi az alhálózati határt.

Egyes 3. rétegbeli kapcsolók az irányított fizikai portokat is támogatják. Ebben az esetben egy interfész IP-interfészként működik a VLAN-hoz rendelt switchport helyett. A pontos képességek a kapcsolóplatformtól és a szoftvertől függenek.

Layer 2 vs Layer 3 Switch: A valós hálózatban lényeges különbségek

VLAN-on belüli továbbítás vs alhálózatok közötti útválasztás

A 2. rétegbeli kapcsolás elsősorban a 2. rétegbeli tartományon belüli Ethernet keretek továbbítására vonatkozik. A 3. rétegbeli kapcsolás a cél IP-hálózatokon alapuló útválasztási döntéseket ad hozzá.

Ez a megkülönböztetés többet számít, mint a termék címkéje. Az a kapcsoló, amely támogatja a VLAN létrehozását, de nem tud e VLAN-ok között útvonalat vezetni, továbbra is egy külső 3. rétegbeli átjáróra támaszkodik az alhálózatok közötti kommunikációhoz.

Access Layer vs Routing Boundary

A 2. rétegbeli kapcsolókat általában a végpontok közelében használják. A 3. rétegbeli kapcsolók gyakran olyan helyeken vannak elhelyezve, ahol több hozzáférési hálózat fut össze, vagy ahol a hálózatnak helyi útválasztási határra van szüksége.

Ezek tervezési minták, nem szigorú szabályok. Az irányított hozzáférésű architektúrák közelebb hozhatják a 3. réteget a végpontokhoz, míg a kisebb hálózatok az összes útválasztást a tűzfalon központosíthatják.

Alapvető útválasztás vs teljes útválasztási szolgáltatáskészletek

Ne feltételezze, hogy minden „Layer 3” jelzésű termék ugyanazokat az útválasztási funkciókat biztosítja. Az egyik kapcsoló csak a csatlakoztatott és statikus útvonalakat támogathatja, míg a másik támogatja az IPv4- és IPv6-útválasztást, az OSPF-et, az útvonalredundanciát, az ACL-eket és a nagyobb útválasztási táblákat.

Ha az OSPF követelmény, ellenőrizze, hogy a protokoll támogatja-e a pontos modellt és szoftverkiadást. Magát az OSPFv2-t az IETF határozza megRFC 2328, de a megvalósítás támogatása kapcsolóplatformonként eltérő.

A VLAN-ok közötti útválasztás 3. rétegbeli kapcsolón vagy tűzfalon történjen?

Ez az egyik legfontosabb tervezési kérdés, mert a teljesítmény és a biztonsági ellenőrzés nem ugyanaz a követelmény.

Útvonal a 3. réteg kapcsolóján, amikor a belső forgalomnak a LAN-on kell maradnia

Ha nagy mennyiségű megbízható kelet-nyugati irányú forgalom mozog a belső VLAN-ok között, a VLAN-átjárók 3. rétegbeli kapcsolóra való elhelyezése megtarthatja ezt a forgalmat a kapcsoló infrastruktúrán.

Egy egyszerűsített út a következő lehet:

Hozzáférés a kapcsolóhoz → Layer 3 Core → Destination VLAN

Ez gyakori, amikor a felhasználói, szerver-, tároló- vagy alkalmazáshálózatok jelentős belső forgalmat cserélnek, és a kapcsolót úgy tervezték, hogy biztosítsa a szükséges útválasztási kapacitást.

Útvonal a tűzfalon keresztül, amikor VLAN-közi vizsgálatra van szükség

Ha a két VLAN közötti forgalomnak állapotalapú ellenőrzésen, alkalmazási szabályzaton, fenyegetés-megelőzésen vagy más tűzfalvezérlésen kell keresztülmennie, a VLAN-átjárók tűzfalon tartása lehet a jobb megoldás, még akkor is, ha az útvonal kevésbé közvetlen.

Az útvonal inkább így nézhet ki:

Hozzáférés a Switch → Firewall → Security Policy / Inspection → Destination VLAN eléréséhez

Az átjárók 3. rétegbeli kapcsolóra való áthelyezése megváltoztathatja ezt a biztonsági utat. A kapcsolókon található ACL korlátozhatja a forgalmat, de nem egyenértékű automatikusan a tűzfal ellenőrzési funkcióival.

Emiatt a "sok VLAN-unk van" nem elegendő információ annak eldöntéséhez, hogy hova tartozik az útválasztás. Azt is tudnia kellmely VLAN-ok kommunikálnak, mekkora forgalom lépi át a határt, és hogy ezt a forgalmat ellenőrizni kell-e.

Mikor elég egy 2. rétegű kapcsoló?

A Layer 2 kapcsoló gyakran elegendő a következő helyzetekben:

• A hálózat egy fő IP-alhálózatot használ.
• A kapcsoló elsősorban egy végpontokat összekötő hozzáférési eszköz.
• A VLAN-átjárók már konfigurálva vannak az útválasztón vagy a tűzfalon.
• A VLAN-ok közötti forgalom szerény, és a meglévő átjáró elegendő kapacitással rendelkezik.
• A biztonsági szabályzat megköveteli, hogy a VLAN-VLAN forgalom áthaladjon a tűzfalon.

Például egy kis iroda használhat külön alkalmazotti, hang- és vendég VLAN-okat, miközben a tűzfal biztosítja az alapértelmezett átjárókat, a DHCP-szolgáltatásokat, az internet-hozzáférést, a NAT-ot és a házirend-érvényesítést. In that architecture, managed Layer 2 switches can still provide the VLAN connectivity the access layer needs.

Mikor van értelme a 3. rétegbeli kapcsolónak?

A Layer 3 switch hasznosabbá válik, ha magának a LAN-nak kell gyakori útválasztási döntéseket hoznia.

• Több VLAN jelentős belső forgalmat cserél.
• A kapcsolónak több alhálózat alapértelmezett átjárójaként kell szolgálnia.
• Számos hozzáférési kapcsoló konvergál egy terjesztési vagy magrétegen.
• The design requires static or dynamic routing inside the LAN.
• A hálózatnak világosabb 3. rétegbeli határra van szüksége a lépték- vagy hibaleválasztáshoz.

Nagyobb környezetekben a nagy sebességű kapcsoló uplink optikai interfészeket használhat, nem csak rézt. Az elérhetőszáloptikai adó-vevőEzért a családot, a kapcsoló port típusát, a támogatott elérést és a száltípust együtt kell ellenőrizni, nem pedig elszigetelt eszközként kezelni.

Három gyakorlati hálózati terv

1. Kis iroda: 2. rétegű hozzáférés tűzfalútválasztással

Internet |Tűzfal |Managed Layer 2 Switch|| |Felhasználói telefonok hozzáférési pontjai

Ez a kialakítás akkor ésszerű, ha a tűzfal már kezeli a VLAN-átjárókat, és a várható VLAN-közi terhelés belefér az interfészeibe és az ellenőrzési kapacitásába.

2. Üzleti LAN: 2. rétegű hozzáférés 3. rétegű maggal

Tűzfal|3. réteg kapcsoló /|\\ L2 SW L2 SW L2 SW|||Felhasználók Szerverek Eszközök

Itt a Layer 3 switch helyi útválasztást tud biztosítani a megbízható belső hálózatok számára, míg a tűzfal továbbra is felelős az internetelérésért és a biztonsági funkciókért. A kapcsolók közötti optikai felfelé irányuló kapcsolatokat használhatjákSFP adó-vevőkvagy nagyobb sebességű optikai modulok a port sebességétől és távolságától függően.

3. Nagyobb kapacitású aggregáció vagy egyetemi hálózat

A hozzáférési kapcsolók, a felhasználók, a vezeték nélküli rendszerek, a kamerák és a szerverhálózatok növekedésével az uplink tervezése ugyanolyan fontossá válik, mint maga a 2. réteg/3. réteg döntése.

Egy elosztási vagy magkapcsolóhoz szükség lehet redundáns száloptikai kapcsolatokra, link-összesítésre, átjáróredundanciára és nagyobb sebességű interfészekre. A 40G-os felfelé irányuló kapcsolatok esetében a kapcsoló és a kábelezés használható40G QSFP adó-vevő; Ehelyett a 100G-s kivitelek is használhatók100G QSFP28 adó-vevő. Az optikai modulnak, a száltípusnak, a csatlakozó interfésznek, a hatótávolságnak és a kapcsolókompatibilitásnak meg kell egyeznie.

A párhuzamos optikájú kialakítások nagy sűrűséget is igényelhetnekMPO/MTP kábelszerelvények, ezért a fizikai réteg tervezését a kapcsolóválasztás mellett kell befejezni, nem pedig azt követően.

Mi a helyzet a Layer 2+ vagy Layer 3 Lite kapcsolókkal?

Az olyan kifejezések, mint a "Layer 2+" és a "Layer 3 Lite" szállítófüggőek. Gyakran olyan kapcsolókat írnak le, amelyek az alapvető 2. rétegű kapcsolásnál többet biztosítanak, de nem teszik elérhetővé ugyanazt az útválasztási szolgáltatáskészletet, mint egy teljes 3. rétegű platform.

Egy termék támogathatja a VLAN-okat és a statikus útvonalakat, miközben hiányzik a tervezés által megkövetelt útválasztási protokoll vagy átjáró-redundancia.

Vásárlás előtt ellenőrizze a tényleges specifikációt:

• IPv4 és IPv6 útválasztás
• Statikus és alapértelmezett útvonalak
• SVI támogatás
• Útirányított fizikai interfészek
• Útválasztó tábla kapacitása
• ACL képesség
• Átjáró redundancia
• Dinamikus útválasztási protokollok, ha szükséges

A jellemző táblázat többet számít, mint a marketingcímke.

Hogyan válasszunk a 2. és 3. rétegű kapcsoló között

1. Döntse el, hogy az egyes VLAN-átjárók hol fognak élni

Sorolja fel a VLAN-okat, és határozza meg, hogy melyik eszköz legyen az alapértelmezett átjáró: útválasztó, tűzfal vagy 3. rétegbeli kapcsoló. Ez az egyetlen lépés gyakran megoldja a 2. réteg és a 3. réteg közötti döntések nagy részét.

2. Térképezze fel a VLAN-ok közötti forgalmat

Határozza meg, mely hálózatok kommunikálnak ténylegesen egymással. Egy olyan hálózatnak, amelyben szinte az összes forgalom az internetre megy, eltérő útválasztási igényei vannak, mint egy olyan hálózatnak, amelyben a szerverek, alkalmazások, tárolók és felhasználók nagy mennyiségű kelet-nyugati forgalmat cserélnek.

3. Döntse el, hogy melyik forgalom igényel biztonsági ellenőrzést

Ha a VLAN-határ egyben biztonsági határ is, határozza meg, hogy a forgalomnak szüksége van-e tűzfal-ellenőrzésre, nem pedig egyszerű irányított továbbításra vagy ACL-szűrésre.

4. Ellenőrizze a szükséges útválasztási funkciókat

Ellenőrizze a tényleges kapcsolómodellben a statikus útválasztást, az IPv6-ot, az SVI-támogatást, az irányított portokat, az ACL-eket, az útvonalredundanciát és a tervezés által megkövetelt dinamikus protokollokat. Ne vásároljon egyedül a "3. réteg" szavakkal.

5. Ellenőrizze a Kapcsolási és felfelé irányuló kapcsolati kapacitást

Nagyobb áteresztőképességű hálózatok esetén hasonlítsa össze a kapcsolási kapacitást, a továbbítási sebességet, a hozzáférési port sebességét, a felfelé irányuló kapcsolati sebességet és a várható túlfizetést. Az L3 szolgáltatáskészlet nem kompenzálja az alulméretezett felfelé irányuló kapcsolatokat.

6. Illessze a kapcsolót a fizikai hálózatra

Ellenőrizze, hogy minden egyes felfelé irányuló kapcsolat réz vagy szálas-e, a kapcsoló által támogatott optikai alaktényezőt és a szükséges távolságot. A teljes kialakításnak össze kell hangolnia a kapcsoló interfészt, az adó-vevőt, az üvegszálat és a csatlakozórendszert.

Gyakori 2. réteg és 3. réteg közötti kapcsolási hibák

Feltételezve, hogy a VLAN támogatás a 3. rétegbeli útválasztást jelenti

Egy felügyelt Layer 2 kapcsoló VLAN-okat hozhat létre és szállíthat. A fontos kérdés az, hogy képes-e a megfelelő IP-alhálózatok között irányítani.

3. réteg vásárlása mindenhol útválasztási terv nélkül

Az útválasztási képesség hozzáadása minden hozzáférési kapcsolóhoz nem javítja automatikusan a hálózatot. Először döntse el, hová tartoznak az útválasztási határok, és hogyan fogják irányítani az útvonalakat.

Átjárók eltávolítása a tűzfalról a biztonság felülvizsgálata nélkül

Ha a tűzfal jelenleg vizsgálja a VLAN-ok közötti forgalmat, az alapértelmezett átjárók L3-as kapcsolóra való áthelyezése megváltoztathatja vagy megkerülheti ezt a vizsgálati útvonalat, hacsak az architektúrát ennek megfelelően nem alakítják át.

Feltéve, hogy minden 3. rétegbeli kapcsoló ugyanazokat a protokollokat támogatja

Az alapvető statikus útválasztás és a teljes vállalati útválasztási szolgáltatáskészlet nem ugyanaz. Ellenőrizze a pontos hardver- és szoftverkiadás támogatását.

Az Uplink figyelmen kívül hagyása

A sok gyors hozzáférésű porttal rendelkező kapcsolót továbbra is korlátozhatja a lassú vagy túlfizetett felfelé irányuló kapcsolat. Értékelje a végpontok közötti forgalmi útvonalat, ne csak a hozzáférési portok számát.

2. réteg vagy 3. réteg: A végső döntés

Válassz a2. rétegű kapcsolóamikor az eszköznek főleg végpontokat kell csatlakoztatnia, a forgalmat VLAN-okba kell szétválasztani, és ezeket a VLAN-okat egy másik útválasztóra, tűzfalra vagy 3. rétegbeli kapcsolóra továbbítani.

Válassz a3. réteg kapcsolóamikor magának a kapcsolónak átjáróként kell működnie az alhálózatok között, jelentős belső forgalmat kell irányítania, vagy részt kell vennie egy nagyobb, irányított LAN-tervezésben.

Számos üzleti hálózatban mindkettőt együtt használják: a 2. rétegbeli kapcsolók biztosítják a végpontok elérését, a 3. rétegbeli kapcsolók a kiválasztott belső útválasztást, az útválasztó vagy tűzfal pedig az internetet, a WAN-t és a biztonsági szolgáltatásokat kezeli. A döntő tényező nem egyedül a rétegszám; ez a forgalmi útvonal és az a szerep, amelyet minden eszköznek el kell látnia.

Gyakran Ismételt Kérdések

Lehet egy Layer 2 switchnek IP címe?

Igen. A felügyelt Layer 2 switch rendelkezhet IP-címmel a kezeléshez. Ez a felügyeleti cím nem jelenti automatikusan azt, hogy a kapcsoló képes irányítani a felhasználói forgalmat a különböző IP-alhálózatok között.

Szükségem van Layer 3 kapcsolóra a VLAN használatához?

Nem. A Managed Layer 2 switchek VLAN-okat hozhatnak létre és hordozhatnak. 3. rétegbeli eszközre van szükség, ha a forgalomnak az adott VLAN-okhoz társított IP-hálózatok között kell mozognia.

Működhet-e a Layer 3 kapcsoló alapértelmezett átjáróként?

Igen, ha a kapcsoló támogatja a szükséges Layer 3 interfészeket és útválasztási konfigurációt. Az SVI-t általában alapértelmezett átjáróként használják a VLAN-ban lévő gazdagépek számára.

A Layer 3 kapcsolóhoz továbbra is kell router vagy tűzfal?

Gyakran igen. A Layer 3 switch képes belső útválasztást végrehajtani, de az internetkapcsolat, a NAT, a VPN, a WAN funkciók és az állapotalapú biztonság továbbra is az útválasztóhoz vagy a tűzfalhoz tartozhat a hálózat kialakításától függően.

Melyik a jobb egy kisvállalkozásnak: a 2. réteg vagy a 3. réteg?

Ha egy alkalmas tűzfal már biztosítja a VLAN-átjárókat, és korlátozott a belső VLAN-közi forgalom, elegendőek lehetnek a felügyelt 2. rétegbeli hozzáférési kapcsolók. A Layer 3 switch hasznosabbá válik a belső útválasztási igény, a VLAN-szám vagy a hálózati méret növekedésével.

Mi az a Layer 2+ kapcsoló?

A 2+ réteg nem egy általánosan rögzített funkciószint. Általában egy felügyelt kapcsolóra utal, amely korlátozott 3. rétegbeli funkciókat ad hozzá, például a statikus útválasztást. Mindig ellenőrizze a szolgáltatások pontos listáját, ahelyett, hogy a címkére hagyatkozna.