老网工嘴里常说的二层交换机和三层交换机的区别是什么？

原创

圈圈
圈圈

网络技术干货圈

2026年11月7日 09:02
江苏

去阅读

机房搬迁那天，朋友站在一台 48 口交换机前问我：\"这台是二层还是三层？\"

我看了眼型号：\"三层。\"

他愣了一下：\"不都一样是插网线的铁盒子吗？\"

这话我听了十几年。外壳像、接口像、登录进去也是 console 口敲命令，看起来确实没差别。但真正不一样的东西在它脑子里——二层交换机只认\"这张网卡是谁\"，三层交换机还多认\"这个地址在哪个网段\"。就这一句差别，决定了它在网络里该站哪个位置。

这里的\"层\"，说的就是 OSI 参考模型里的层次，不用背全套七层，记住两层就够：

• 二层，数据链路层（Data Link Layer）：管的是同一段链路、同一个广播域内的帧怎么送，靠的是 MAC 地址（Media Access Control Address，网卡的物理地址，出厂烧死，全球唯一）。
• 三层，网络层（Network Layer）：管的是跨越不同网段，报文该往哪走，靠的是 IP 地址和路由表。

打个比方：二层是小区里的楼栋号——同一栋楼里找人，看门牌就够；三层是城市里的邮编和街道——要送到别的区，光有门牌不行，得先查路线。

所以\"二层交换机\"和\"三层交换机\"，不是两台完全不同的设备，而是同一类设备能力不同：三层交换机在二层交换的基础上，把路由能力也塞进去了。

二层交换机到底在干什么

核心就一件事：根据 MAC 地址表转发帧。

1. 学、查、转

收到一个帧，先看源 MAC，记下来\"这个 MAC 从我这个口进来\"，写进 MAC 地址表（也叫 CAM 表）；再看目的 MAC，表里有就直接从对应口送出去，这叫单播转发。查不到呢？从除入口外的所有口发一遍，这叫泛洪（Flooding）。

2. 广播域与 VLAN

同一台交换机上所有口默认属于一个广播域——一个口收到广播帧，其他口全都收到。口一多，广播就成灾。

于是有了 VLAN（Virtual Local Area Network，虚拟局域网）：把一台物理交换机逻辑上切成几个互不相通的广播域。VLAN 10 的机器怎么喊，VLAN 20 的机器都听不见。

关键点：VLAN 是二层隔离，只能把广播关起来，不能把它们连起来。 这一点后面还会反复用到。

3. STP 防环

交换机之间如果为了冗余接成环形，广播帧会在环里无休止地转——广播风暴，几秒钟整网瘫痪。所以有 STP（Spanning Tree Protocol，生成树协议）：自动在环上阻塞一个口，把环剪成树。

三层交换机多出来的是什么

它比二层多出来的，是路由。

1. SVI：给 VLAN 配个网关

三层交换机上可以创建 SVI（Switch Virtual Interface，交换机虚拟接口），本质是\"某个 VLAN 的三层接口\"，配个 IP 当网关：

interface Vlanif 10
 ip address 192.168.10.254 255.255.255.0

有了这个接口，192.168.10.0/24 就有了出口。VLAN 10 想访问 VLAN 20，报文被送到 Vlanif 10（网关），交换机查路由表，发现 192.168.20.0/24 直连在 Vlanif 20 上，再从 Vlanif 20 送出去。跨网段这一步，一定是三层干的，没有例外。

2. 硬件转发：一次路由、多次交换

普通路由器查路由靠 CPU 软件跑，慢；三层交换机的路由跑在 ASIC（专用集成电路）芯片里，用 TCAM 存表项，查表是硬件并行匹配，线速。

更关键的是转发模型——一次路由、多次交换（传统 MLS，多层交换的思路）：一条数据流的第一个包交上去，走一遍完整的三层处理，把结果写成硬件转发表项（含重写后的二层头）；后续同一个流的包不再上 CPU，直接命中硬件表项完成转发。

现在的设备多是用 CEF（Cisco Express Forwarding，快速转发）这类机制做等价的事：控制面预先算好转发表，数据面只查询不改表。名字变了，思想没变——第一下动脑，之后动手。

一张表看懂区别

二层是\"同一个网段内的搬运工\"，三层是\"能跨网段的搬运工 + 交警\"。

三层交换机能不能替代路由器？

这是争议最多的地方。答案是：在园区网内部，基本能替；在出口边界，替不了。

三层交换机干不了的活：

• 广域网接口：路由器有 Serial、E1、POS 这些口，能接专线；三层交换机基本都是以太口和光口。
• NAT 与拨号：NAT（Network Address Translation，网络地址转换）把内网私有地址转成公网地址。三层交换机多数 NAT 能力很弱，或者要额外板卡；路由器是原生强项，还带 PPPoE 拨号。
• 功能集成：防火墙、VPN、流量整形、策略路由，路由器一套全有。
• 大路由表：三层交换机的表项资源是给园区网准备的，扛不住几十万条互联网路由。

三层交换机赢在：端口密度高、每端口成本低、交换容量大、转发延迟低。 园区里几百上千个终端要互访，用路由器去扛，性能扛不住，钱包也扛不住。

那什么场景该\"宁可上路由器\"？

• 只有一条外线、要拨号、要 NAT：一台路由器全解决，别折腾。
• 分支小网点，终端不到五十个：一台路由交换一体机足够，上三层交换机是浪费。
• 需要跑 BGP、接运营商多线：路由器的路由协议能力和表项规模是另一套量级。
• 要做安全边界：防火墙比三层交换机的 ACL 靠谱得多。

判断标准其实很简单：看这台设备是不是\"边界\"。是边界，就用路由器/防火墙；是内部骨干，就用三层交换机。

真实组网里怎么选

标准的三层架构，分工其实很清楚：

• 接入层：二层。 端口密度要求高，还要 PoE 给 AP 和 IP 电话供电，终端都在同一个 VLAN 里，用不着路由。便宜、够用。
• 汇聚层 / 核心层：三层。 每一栋楼、每一个区域的 VLAN 网关都落在这里，做 SVI，做路由汇总，做 ACL 控制。
• 出口：路由器（或防火墙）。 NAT、拨号、专线、安全策略，交给专业设备。

典型的双核心设计：两台三层交换机做 VRRP（Virtual Router Redundancy Protocol，虚拟路由器冗余协议）或 HSRP，给每个 VLAN 提供一个虚拟网关 IP；STP 的根桥和 VRRP 的 Master 规划到同一台设备上。这样正常流量走一条路、故障时秒级切到另一条，不绕行、不打架。

还有一条容易忽略的：二层和三层之间要留\"上行口\"的余量。 一栋楼 200 个终端全挤在一个 VLAN 里，网关在核心，那所有跨网段流量都要沿着上行口跑一趟，上行带宽先被打满，然后你才发现瓶颈根本不在核心交换机上。VLAN 划细一点，上行做链路聚合，问题会少很多。

老网工踩过的几个坑

坑一：核心层堆一堆二层。

见过把核心做成纯二层、全网一个大广播域的网。省了配置，代价是：任何一个接入交换机的广播都灌到全网；STP 拓扑巨大，收敛慢到十几秒；某处一个环路，全网陪葬。广播域该切就得切，切完必须有地方做三层。

坑二：以为配了 VLAN 就能互通。

VLAN 是隔离，不是连接。配完 VLAN 10 和 VLAN 20，两边 ping 不通是正常的——中间缺一个三层网关。这时要么在三层交换机上起 SVI，要么找台路由器做单臂路由。ping 不通先想\"有没有网关\"，别急着查线。

坑三：STP 收敛和 VRRP 切换不同步。

这是最隐蔽的坑。链路断了，STP 在算新拓扑（秒级），VRRP 也在切换 Master（也是秒级），两个过程互不知道对方。曾经出现过网关已经切过去了，但二层路径还没通，业务断了七八秒。解决办法是把 STP 根桥和 VRRP Master 放在同一台设备上，让两者的切换方向一致，避免\"网关在这头、路在那头\"。

现场判断的方法也不复杂：故障时先 display stp brief 或 show spanning-tree 看阻塞口变没变，再 display vrrp 或 show standby 看 Master 变了没有，两头一对，就知道是谁先谁后。

坑四：接入层私自加线。

现场施工的人为了\"更稳\"，把两台接入交换机多接了一根线，又没做链路聚合。STP 能救，但那一瞬间的广播风暴足够让监控告警响成一片。双上行一定要做 Eth-Trunk / 链路聚合，或者至少确认 STP 在跑。

坑五：让三层交换机去当出口。

省一台路由器的钱，结果 NAT 会话数打满、拨号不支持、没地方配专线。省下的钱，后面用加班补回来。

二层认卡，三层认址；二层管一栋楼里串门，三层管跨楼投递；三层交换机是小区里会算路的保安，路由器是能出省的邮局。

下次再有人问\"这台是二层还是三层\"，你可以先反问一句：这个位置，需要跨网段吗？

你们单位的核心层是几层？网关又落在哪台设备上？有没有哪次环路或者网关切换，让你半夜爬起来过？评论区聊聊，我想听听别人的坑。