三大設備定位速覽
| 設備 | OSI 層級 | 轉發依據 | 廣播域 | 衝突域 | 典型功能 |
|---|
| 集線器 | L1 物理層 | 無 (廣播所有埠) | 1 個 (全網) | 每埠 1 個 (共享頻寬) | 已淘汰 |
| 交換器 (L2) | L2 資料鏈路層 | MAC 位址表 | 1 個 (預設) | 每埠 1 個 (獨享頻寬) | MAC 學習、VLAN 劃分廣播域 |
| 三層交換器 | L2+L3 | MAC + IP 路由表 | 每 VLAN 1 個 | 每埠 1 個 | 硬體加速路由、SVI 介面、線速轉發 |
| 路由器 | L3 網路層 | IP 路由表 (最長前綴匹配) | 每介面 1 個 (天然隔離) | N/A (點對點/乙太網) | NAT、防火牆、VPN、QoS、策略路由 |
核心差異深度解析
1. 工作層級決定智能程度
- Hub：物理層重訊號，收到封包**無腦泛洪**所有其他埠，半雙工、共享頻寬、極易衝突。
- L2 Switch：學習 MAC 地址表，**單播精準轉發**，廣播/未知單播/多播才泛洪。全雙工、無衝突、支援 VLAN 隔離廣播域。
- Router：理解 IP 位址、子網、路由協議 (OSPF/BGP/IS-IS/靜態)，**跨網段/跨自治系統轉發**，支援 NAT、ACL、防火牆、VPN 終結。
2. 轉發依據：MAC vs IP
- MAC：燒錄在網卡、全球唯一 (OUI+擴展)、不可路由 (僅本地鏈路)。
- IP：邏輯位址、可聚合、可路由、支援子網劃分、VLSM、CIDR、NAT 轉換。
3. 廣播域與安全邊界
- Hub/Switch (無 VLAN)：**單一大廣播域**，ARP/DHCP/NetBIOS 廣播風暴風險高。
- VLAN：邏輯劃分廣播域，**VLAN 間必須經路由器/三層交換器**通信，實現安全區域隔離。
- Router：**每個介面天然是一個廣播域邊界**，廣播封包不穿越路由器，天然阻斷廣播風暴。
4. 防火牆與邊界防護
路由器具備 **ACL、狀態檢測防火牆 (SPI)、NAT、IPS/IDS、VPN** 等邊界安全功能；交換器僅支援 Port Security、DHCP Snooping、DAI、IP Source Guard 等**存取層安全**，無法替代邊界防火牆。
家庭/SOHO 組網建議
- 光貓 **橋接模式** → **無線路由器 (NAT+防火牆+DHCP+Wi-Fi)** → **千兆交換器 (擴充有線埠)** → 各終端。
- 若光貓不開橋接：光貓路由模式 → 關閉光貓 Wi-Fi/DHCP → 自購路由器 **AP 模式/旁路模式** 接光貓 LAN 口 (雙重 NAT 但簡單)。
- 交換器選 **8 口千兆非網管** (約 50-80 元)，品牌：TP-LINK TL-SG1008D、水星 SG108、華為 S110-8T、UBNT USW-Lite-8-PoE (需 PoE)。