Un conmutador de Capa 2 reenvía tramas Ethernet dentro de una LAN o VLAN principalmente mediante direcciones MAC. Un conmutador de Capa 3 puede realizar la misma conmutación de Capa 2 y al mismo tiempo enrutar paquetes IP entre diferentes VLAN y subredes.
Por lo tanto, la decisión práctica no es si la Capa 3 es simplemente "mejor". Esdónde debe realizarse el enrutamiento en su red. Si un enrutador o firewall ya sirve como puerta de enlace entre las VLAN y el nivel de tráfico es modesto, un conmutador de acceso de Capa 2 administrado puede ser suficiente. Si se debe mover un tráfico interno sustancial entre las VLAN, o si el conmutador en sí debe actuar como puerta de enlace predeterminada para varias subredes, un conmutador de Capa 3 se vuelve más útil.
Conmutador de capa 2 frente a capa 3
| Característica | Conmutador de capa 2 | Conmutador de capa 3 |
|---|---|---|
| Decisión de reenvío primario | dirección MAC | Dirección MAC y dirección IP |
| papel principal | Cambie el tráfico dentro de una red de Capa 2 o VLAN | Cambiar tráfico y ruta entre redes IP |
| tabla de direcciones MAC | Sí | Sí |
| tabla de enrutamiento IP | No se utiliza para el reenvío normal de Capa 2 | Sí |
| Soporte VLAN | Sí en modelos administrados | Sí |
| Enrutamiento entre VLAN | Requiere otro dispositivo de Capa 3 | Compatible con modelos con capacidad de enrutamiento |
| Implementación típica | Cambio de acceso | Acceso de distribución, núcleo o enrutado |
| Funciones de enrutamiento | Ninguno o limitado en algunos modelos L2+ | Enrutamiento estático y, según el modelo, dinámico |
Una regla útil es simple:use la Capa 2 donde solo necesita cambiar; Utilice la Capa 3 donde el conmutador también debe tomar decisiones de enrutamiento.
Qué hace realmente un conmutador de capa 2
Un conmutador de Capa 2 aprende qué direcciones MAC son accesibles a través de qué puertos físicos y registra esa información en su tabla de direcciones MAC. Cuando llega una trama Ethernet, el conmutador examina la dirección MAC de destino y reenvía la trama hacia el puerto correcto siempre que se conozca ese destino.
Este es el trabajo normal de un conmutador de acceso que conecta computadoras, servidores, teléfonos IP, cámaras, puntos de acceso inalámbrico y otros dispositivos Ethernet. Dependiendo de la implementación, esos puntos finales pueden usar Ethernet de cobre a través decableado de redo conectarse aguas arriba a través de interfaces de fibra.
Los conmutadores de capa 2 aún pueden usar VLAN
La compatibilidad con VLAN no convierte por sí sola a un conmutador en un conmutador de Capa 3. Los conmutadores administrados de capa 2 pueden separar puertos en diferentes VLAN y transportar varias VLAN a través de una troncal 802.1Q.
ElEstándar IEEE 802.1QDefine el funcionamiento de redes puenteadas y puentes VLAN. En las redes Ethernet prácticas, el etiquetado 802.1Q se usa comúnmente para transportar tráfico para múltiples VLAN entre conmutadores, enrutadores, firewalls y otros dispositivos compatibles con VLAN.
Por ejemplo:
- VLAN 10: usuarios de oficina
- VLAN 20: servidores de aplicaciones
- VLAN 30: cámaras IP
Un conmutador de Capa 2 administrado puede mantener esas VLAN separadas lógicamente. La limitación aparece cuando un dispositivo en una subred IP necesita comunicarse con un dispositivo en otra.
Por qué diferentes VLAN necesitan enrutamiento de capa 3
Considere dos redes:
- VLAN 10: 192.168.10.0/24
- VLAN 20: 192.168.20.0/24
Un host en VLAN 10 puede comunicarse directamente con otros dispositivos en la misma subred a través de la conmutación de Capa 2. Pero un paquete destinado a 192.168.20.0/24 debe enviarse a una puerta de enlace de Capa 3 porque el destino está fuera de la red IP local.
Esa puerta de enlace puede ser un enrutador, un firewall o un conmutador de capa 3. CiscoDocumentación de configuración de enrutamiento entre VLANmuestra este modelo directamente: los conmutadores de capa 2 transportan las VLAN, mientras que un conmutador Catalyst con capacidad de enrutamiento utiliza interfaces VLAN para enrutar entre las subredes correspondientes.
Cómo funciona un SVI como puerta de enlace VLAN
Un diseño de conmutador de capa 3 común utiliza interfaces virtuales conmutadas o SVI. Cada VLAN enrutada puede tener una interfaz de Capa 3 que sirve como puerta de enlace predeterminada para los dispositivos en esa subred.
VLAN 10 - Subred de usuarios: 192.168.10.0/24SVI / Puerta de enlace: 192.168.10.1 VLAN 20 - Subred de servidores: 192.168.20.0/24SVI / Puerta de enlace: 192.168.20.1
Si un usuario en 192.168.10.25 envía tráfico a un servidor en 192.168.20.50, la ruta puede ser:
PC del usuario→ 192.168.10.1 puerta de enlace predeterminada→ Tabla de enrutamiento de capa 3→ VLAN 20→ Servidor
El conmutador realiza el reenvío normal de Capa 2 dentro de cada VLAN, pero utiliza el enrutamiento de Capa 3 cuando el tráfico cruza el límite de la subred.
Algunos conmutadores de capa 3 también admiten puertos físicos enrutados. En ese caso, una interfaz funciona como una interfaz IP en lugar de un puerto de conmutación asignado a una VLAN. Las capacidades exactas dependen de la plataforma y el software del conmutador.
Switch de capa 2 versus capa 3: las diferencias que importan en una red real
Reenvío dentro de una VLAN versus enrutamiento entre subredes
La conmutación de Capa 2 se ocupa principalmente del reenvío de tramas Ethernet dentro de un dominio de Capa 2. La conmutación de capa 3 agrega decisiones de enrutamiento basadas en las redes IP de destino.
Esta distinción importa más que la etiqueta del producto. Un conmutador que admite la creación de VLAN pero que no puede enrutar entre esas VLAN aún depende de una puerta de enlace externa de Capa 3 para la comunicación entre subredes.
Capa de acceso versus límite de enrutamiento
Los conmutadores de capa 2 se utilizan habitualmente cerca de los puntos finales. Los conmutadores de capa 3 a menudo se colocan donde convergen múltiples redes de acceso o donde la red necesita un límite de enrutamiento local.
Estos son patrones de diseño, no reglas estrictas. Las arquitecturas de acceso enrutado pueden acercar la Capa 3 a los puntos finales, mientras que las redes más pequeñas pueden centralizar todo el enrutamiento en un firewall.
Conjuntos de funciones de enrutamiento básico versus conjuntos de funciones de enrutamiento completo
No asuma que todos los productos marcados como "Capa 3" proporcionan las mismas funciones de enrutamiento. Un conmutador puede admitir solo rutas conectadas y estáticas, mientras que otro puede admitir enrutamiento IPv4 e IPv6, OSPF, redundancia de rutas, ACL y tablas de enrutamiento más grandes.
Cuando OSPF sea un requisito, verifique que el protocolo sea compatible con el modelo exacto y la versión de software. El propio OSPFv2 está definido por el IETF enRFC 2328, pero el soporte de implementación varía según la plataforma de conmutación.
¿Debería realizarse el enrutamiento entre VLAN en un conmutador de capa 3 o en un firewall?
Esta es una de las cuestiones de diseño más importantes, porque la inspección de rendimiento y seguridad no son el mismo requisito.
Ruta en el conmutador de capa 3 cuando el tráfico interno debe permanecer en la LAN
Si grandes cantidades de tráfico confiable de este a oeste se mueven entre VLAN internas, colocar las puertas de enlace de VLAN en un conmutador de Capa 3 puede mantener ese tráfico en la infraestructura de conmutación.
Una ruta simplificada podría ser:
Switch de acceso→ Núcleo de capa 3→ VLAN de destino
Esto es común cuando las redes de usuarios, servidores, almacenamiento o aplicaciones intercambian tráfico interno sustancial y el conmutador está diseñado para proporcionar la capacidad de enrutamiento requerida.
Ruta a través del firewall cuando se requiere una inspección entre VLAN
Si el tráfico entre dos VLAN debe pasar por inspección de estado, políticas de aplicación, prevención de amenazas u otro control de firewall, mantener las puertas de enlace de VLAN en el firewall puede ser el mejor diseño incluso si la ruta es menos directa.
El camino puede parecerse más a:
Switch de acceso→ Firewall→ Política de seguridad/Inspección→ VLAN de destino
Mover esas puertas de enlace a un conmutador de Capa 3 puede cambiar esa ruta de seguridad. Una ACL en un conmutador puede restringir el tráfico, pero no equivale automáticamente a las funciones de inspección de un firewall.
Por esta razón, "tenemos muchas VLAN" no es información suficiente para decidir a dónde pertenece el enrutamiento. También necesitas saberqué VLAN se comunican, cuánto tráfico cruza el límite y si ese tráfico debe ser inspeccionado.
¿Cuándo es suficiente un conmutador de capa 2?
Un conmutador de Capa 2 suele ser suficiente en las siguientes situaciones:
- La red utiliza una subred IP principal.
- El conmutador es principalmente un dispositivo de acceso que conecta puntos finales.
- Las puertas de enlace VLAN ya están configuradas en un enrutador o firewall.
- El tráfico entre VLAN es modesto y la puerta de enlace existente tiene suficiente capacidad.
- La política de seguridad requiere que el tráfico de VLAN a VLAN pase a través de un firewall.
Por ejemplo, una oficina pequeña puede utilizar VLAN separadas para empleados, voz e invitados, mientras que el firewall proporciona puertas de enlace predeterminadas, servicios DHCP, acceso a Internet, NAT y aplicación de políticas. En esa arquitectura, los conmutadores administrados de Capa 2 aún pueden proporcionar la conectividad VLAN que la capa de acceso necesita.
¿Cuándo tiene más sentido un conmutador de capa 3?
Un conmutador de Capa 3 se vuelve más útil cuando la propia LAN necesita tomar decisiones de enrutamiento frecuentes.
- Varias VLAN intercambian un tráfico interno sustancial.
- El conmutador debe servir como puerta de enlace predeterminada para varias subredes.
- Varios conmutadores de acceso convergen en una capa central o de distribución.
- El diseño requiere enrutamiento estático o dinámico dentro de la LAN.
- La red necesita un límite de Capa 3 más claro para escalar o aislar fallas.
En entornos más grandes, los enlaces ascendentes de conmutación de alta velocidad pueden utilizar interfaces ópticas en lugar de cobre únicamente. El disponibletransceptor de fibra ópticaPor lo tanto, la familia, el tipo de puerto del switch, el alcance admitido y el tipo de fibra deben verificarse juntos en lugar de tratar el switch como un dispositivo aislado.
Tres diseños de red prácticos
1. Oficina pequeña: acceso de capa 2 con enrutamiento de firewall
Internet |Firewall |Switch administrado de capa 2|| |Usuarios Teléfonos Puntos de Acceso
Este diseño es razonable cuando el firewall ya maneja las puertas de enlace VLAN y la carga esperada entre VLAN se ajusta a sus interfaces y capacidad de inspección.
2. LAN empresarial: acceso de capa 2 con núcleo de capa 3
Cortafuegos|Conmutador de capa 3 /|\\ L2 SW L2 SW L2 SW|||Usuarios Servidores Dispositivos
Aquí, el conmutador de Capa 3 puede proporcionar enrutamiento local para redes internas confiables, mientras que el firewall sigue siendo responsable del acceso a Internet y las funciones de seguridad. Los enlaces ascendentes de fibra entre conmutadores pueden utilizarTransceptores SFPo módulos ópticos de mayor velocidad dependiendo de la velocidad y la distancia del puerto.
3. Agregación de mayor capacidad o red de campus
A medida que crecen los conmutadores de acceso, los usuarios, los sistemas inalámbricos, las cámaras y las redes de servidores, el diseño del enlace ascendente se vuelve tan importante como la propia decisión de Capa 2/Capa 3.
Un conmutador central o de distribución puede requerir enlaces de fibra redundantes, agregación de enlaces, redundancia de puerta de enlace e interfaces de mayor velocidad. Para enlaces ascendentes de 40G, el diseño del conmutador y del cableado puede utilizarTransceptores QSFP 40G; Los diseños de 100G pueden utilizar en su lugarTransceptores 100G QSFP28. El módulo óptico, el tipo de fibra, la interfaz del conector, el alcance y la compatibilidad del conmutador deben coincidir.
Los diseños de óptica paralela también pueden requerir alta densidad.Conjuntos de cables MPO/MTP, por lo que la planificación de la capa física debe completarse junto con la selección del conmutador y no después.
¿Qué pasa con los conmutadores Layer 2+ o Layer 3 Lite?
Términos como "Capa 2+" y "Capa 3 Lite" dependen del proveedor. A menudo describen conmutadores que proporcionan más que conmutación básica de Capa 2 pero que no exponen el mismo conjunto de funciones de enrutamiento que una plataforma de Capa 3 completa.
Un producto puede admitir VLAN y rutas estáticas y carecer de un protocolo de enrutamiento o una característica de redundancia de puerta de enlace requerida por el diseño.
Antes de comprar, verifique las especificaciones reales para:
- Enrutamiento IPv4 e IPv6
- Rutas estáticas y predeterminadas
- soporte SVI
- Interfaces físicas enrutadas
- Capacidad de la tabla de enrutamiento
- Capacidad de ACL
- Redundancia de puerta de enlace
- Protocolos de enrutamiento dinámico, si es necesario
La tabla de características importa más que la etiqueta de marketing.
Cómo elegir entre un conmutador de capa 2 y de capa 3
1. Decida dónde residirá cada puerta de enlace VLAN
Enumere las VLAN e identifique qué dispositivo debe ser su puerta de enlace predeterminada: enrutador, firewall o conmutador de capa 3. Este único paso a menudo resuelve la mayor parte de la decisión entre Capa 2 y Capa 3.
2. Mapear el tráfico entre VLAN
Identifique qué redes realmente se comunican entre sí. Una red en la que casi todo el tráfico va a Internet tiene diferentes necesidades de enrutamiento que una en la que los servidores, las aplicaciones, el almacenamiento y los usuarios intercambian grandes cantidades de tráfico de este a oeste.
3. Decida qué tráfico requiere inspección de seguridad
Si un límite de VLAN también es un límite de seguridad, determine si el tráfico necesita una inspección del firewall en lugar de un simple reenvío enrutado o filtrado ACL.
4. Verifique las funciones de enrutamiento que necesita
Verifique el modelo de conmutador real para conocer el enrutamiento estático, IPv6, compatibilidad con SVI, puertos enrutados, ACL, redundancia de rutas y cualquier protocolo dinámico requerido por el diseño. No compre solo con las palabras "Capa 3".
5. Verifique la capacidad de conmutación y enlace ascendente
Para redes de mayor rendimiento, compare la capacidad de conmutación, la tasa de reenvío, las velocidades de los puertos de acceso, las velocidades de enlace ascendente y la sobresuscripción esperada. Un conjunto de funciones L3 no compensa los enlaces ascendentes de tamaño insuficiente.
6. Haga coincidir el conmutador con la red física
Confirme si cada enlace ascendente es de cobre o fibra, el factor de forma óptica admitido por el conmutador y la distancia requerida. Un diseño completo debe alinear la interfaz del conmutador, el transceptor, la fibra y el sistema de conectores.
Errores comunes en los conmutadores de capa 2 frente a capa 3
Suponiendo que la compatibilidad con VLAN significa enrutamiento de capa 3
Un conmutador de Capa 2 administrado puede crear y transportar VLAN. La pregunta importante es si puede enrutar entre las subredes IP correspondientes.
Comprar Capa 3 en todas partes sin un plan de enrutamiento
Agregar capacidad de enrutamiento a cada conmutador de acceso no mejora automáticamente una red. Primero decida dónde pertenecen los límites de las rutas y cómo se controlarán las rutas.
Sacar puertas de enlace del firewall sin revisar la seguridad
Si el firewall actualmente inspecciona el tráfico entre VLAN, mover las puertas de enlace predeterminadas a un conmutador L3 puede alterar o evitar esa ruta de inspección a menos que la arquitectura se rediseñe en consecuencia.
Suponiendo que cada conmutador de capa 3 admita los mismos protocolos
El enrutamiento estático básico y un conjunto completo de funciones de enrutamiento empresarial no son lo mismo. Verifique la compatibilidad con la versión exacta de hardware y software.
Ignorando el enlace ascendente
Un conmutador con muchos puertos de acceso rápido aún puede verse limitado por un enlace ascendente lento o con exceso de suscripción. Evalúe la ruta del tráfico de un extremo a otro, no solo el recuento de puertos de acceso.
Capa 2 o Capa 3: La Decisión Final
Elige unConmutador de capa 2cuando el dispositivo necesita principalmente conectar puntos finales, separar el tráfico en VLAN y reenviar esas VLAN a otro enrutador, firewall o conmutador de capa 3.
Elige unConmutador de capa 3cuando el propio conmutador necesita actuar como puerta de enlace entre subredes, enrutar un tráfico interno sustancial o participar en un diseño de LAN enrutado más grande.
En muchas redes empresariales, ambos se utilizan juntos: los conmutadores de capa 2 brindan acceso a los puntos finales, los conmutadores de capa 3 brindan enrutamiento interno seleccionado y un enrutador o firewall maneja Internet, WAN y servicios de seguridad. El factor decisivo no es sólo el número de capas; es la ruta del tráfico y la función que debe desempeñar cada dispositivo.
Preguntas frecuentes
¿Puede un conmutador de capa 2 tener una dirección IP?
Sí. Un conmutador de Capa 2 administrado puede tener una dirección IP para administración. Esa dirección de administración no significa automáticamente que el conmutador pueda enrutar el tráfico de usuarios entre diferentes subredes IP.
¿Necesito un conmutador de capa 3 para usar VLAN?
No. Los conmutadores administrados de capa 2 pueden crear y transportar VLAN. Se requiere un dispositivo de Capa 3 cuando el tráfico necesita moverse entre las redes IP asociadas con esas VLAN.
¿Puede un conmutador de capa 3 actuar como puerta de enlace predeterminada?
Sí, si el conmutador admite las interfaces de capa 3 requeridas y la configuración de enrutamiento. Un SVI se utiliza comúnmente como puerta de enlace predeterminada para los hosts en una VLAN.
¿Un conmutador de capa 3 todavía necesita un enrutador o firewall?
Muchas veces sí. Un conmutador de Capa 3 puede realizar enrutamiento interno, pero la conectividad a Internet, NAT, VPN, funciones WAN y seguridad con estado pueden seguir perteneciendo a un enrutador o firewall, según el diseño de la red.
¿Qué es mejor para una pequeña empresa: la Capa 2 o la Capa 3?
Si un firewall capaz ya proporciona puertas de enlace VLAN y hay un tráfico interno entre VLAN limitado, los conmutadores de acceso administrados de Capa 2 pueden ser suficientes. Un conmutador de Capa 3 se vuelve más útil a medida que aumenta la demanda de enrutamiento interno, el número de VLAN o la escala de la red.
¿Qué es un conmutador de capa 2+?
La capa 2+ no es un nivel de característica fijo universal. Comúnmente se refiere a un conmutador administrado que agrega funciones limitadas de Capa 3, como el enrutamiento estático. Verifique siempre la lista exacta de características en lugar de confiar en la etiqueta.
