「買交換機還是路由器？」是網絡小白最常問的問題。雖然長得像、都有網口、都能讓電腦上網，但兩者在OSI 分層、轉發依據、廣播域控制、安全功能上有本質區別。搞懂這四點，選型不再迷茫。

差異一：工作層次不同——L2 處理幀，L3 處理包

關鍵點：L3 交換機 = L2 交換機 + 硬體路由引擎，適合大型 LAN 內部 VLAN 互通；路由器專攻WAN 接入、NAT、VPN、防火牆、SD-WAN等邊界服務。

差異二：轉發依據——MAC 物理地址 vs IP 邏輯地址

• MAC 位址：網卡出廠燒錄、全球唯一、不可改 (理論上)、扁平化無層級 → 只能在同一廣播域內轉發
• IP 位址：邏輯分配、有網段層級 (網路位/主機位)、可彙總、支援路由協定動態學習 → 可跨越多個網段/自治系統

這是為什麼交換機不能直接連 Internet：它不懂 IP 路由、不做 NAT、不支援 PPPoE 撥號。

差異三：廣播域與衝突域控制——交換機分衝突域，路由器分廣播域

• 衝突域：CSMA/CD 競爭介質的範圍。交換機每個埠口獨立一個衝突域 (全雙工無衝突)，Hub 整台共享一個衝突域
• 廣播域：廣播封包 (ARP、DHCP、NetBIOS) 能到達的範圍。交換機預設不隔離廣播域 (除非配置 VLAN)，路由器天然隔離廣播域 (每個介面一個廣播域)

實戰啟示：

• 單一廣播域超過 500 裝置 → 廣播風暴風險大增，必須用 VLAN + L3 交換機/路由器劃分
• VLAN 間通訊：L3 交換機 (硬體線速) > 路由器 (軟體處理)，但跨網段出口仍需路由器

差異四：安全與邊界服務——路由器是「關卡」，交換機是「走廊」

選型決策樹

需要連 Internet / 異構網路互聯 / NAT / VPN / 防火牆 / SD-WAN
    │
    ├─ 是 → 必須部署路由器 (邊界網關)
    │
    └─ 否 (純內網互通)
         │
         ├─ 單一網段、裝置 < 50、無 VLAN 需求 → 未管理型交換機 (即插即用)
         │
         ├─ 多 VLAN、需 VLAN 間路由、裝置 > 100 → L3 交換機 (核心) + L2 交換機 (接入)
         │
         └─ 需 PoE 供電 AP/IP Phone/攝影機 → PoE+ (30W) / PoE++ (60W/90W) 交換機

典型部署拓撲

[Internet] ── [路由器/防火牆] ── [核心 L3 交換機] ── [聚合 L2/L3 交換機] ── [接入 PoE 交換機] ── [AP/PC/IP Phone/IoT]
                (邊界: NAT/FW/VPN)      (核心: VLAN間路由/策略)    (聚合: 聚合/策略)        (接入: PoE/端口安全/隔離)

一句話總結

路由器連接不同網路 (Inter-network)，交換機連接同網路內設備 (Intra-network)。 家庭用戶：光貓後接路由器，再接交換機擴充有線口。企業用戶：邊界路由器 + 核心三層交換機 + 接入二層交換機，分工明確、各司其職。