三層交換機是大型區域網路的「核心大腦」，結合二層線速交換與三層硬體路由，實現「一次路由、多次交換」的高效轉發。本文系統梳理原理、應用場景、部署最佳實踐，並劃清與路由器的職責邊界。

核心原理：硬體加速的路由轉發

• 控制平面 (CPU/軟體)：運行路由協定 (OSPF/IS-IS/BGP/RIP/靜態路由)、維護 RIB、計算最佳路徑、下發 FIB、處理例外封包 (TTL 過期、選項、MTU 超大、需分片、ICMP 重導向)
• 資料平面 (ASIC/NPU)：
  — FIB (Forwarding Information Base)：壓扁後的前綴表，TCAM/SRAM 存儲，支援最長前綴匹配 (LPM) 線速查找
  — 鄰接表 (Adjacency Table)：封裝重寫資訊 (Dst MAC、Src MAC、VLAN Tag、出介面、MPLS 標籤)
  — 封包處理管線：解析 → 查 FIB → 查鄰接表 → 重寫封裝 → QoS/ACL/計數 → 交換矩陣 → 輸出
• 關鍵差異：傳統路由器「每包查路由表、軟體封裝」；三層交換機「首包查 RIB/慢路徑、建立鄰接、後續包走 FIB/快路徑」，實現線速路由

為什麼需要三層交換機？VLAN 間路由瓶頸

傳統架構 (單臂路由器/Router-on-a-stick)：
[VLAN 10] ─┐
[VLAN 20] ─┤
[VLAN 30] ─┼── Trunk (單一物理介面) ── Router (子介面 VLAN 10/20/30) ── Internet
[VLAN 40] ─┘        瓶頸：所有跨 VLAN 流量擠單一介面，吞吐受限、延遲高、CPU 狂轉

三層交換機架構：
[VLAN 10] ─┐
[VLAN 20] ─┤
[VLAN 30] ─┼── Access L2 Switch → Aggregation L3 Switch (SVI: VLAN 10/20/30/40 介面) → Core L3 Switch → Router/FW → Internet
[VLAN 40] ─┘        跨 VLAN 流量在 ASIC 內部線速轉發，不經上聯鏈路，延遲 < 5μs

SVI (Switch Virtual Interface) —— 三層交換機的虛擬閘道

• 每個 VLAN 建立一個 interface vlan ，配置 IP 位址 → 成為該 VLAN 的預設閘道
• 支援 VRRP/HSRP/GLBP 雙機熱備，閘道不單點故障
• 支援 DHCP Server/Relay、IP Helper (轉發 DHCP/BOOTP/TFTP 至指定伺服器)

典型部署架構：三層交換機在哪層？

網絡層級	設備角色	典型設備	關鍵功能
核心層	核心三層交換機 (雙機熱備)	Cisco Catalyst 9500/9600, H3C S12500, Huawei CloudEngine 16800, Arista 7500R	高密度 100G/400G、大容量 FIB (百萬級)、MPLS/SRv6/EVPN、微秒級收斂
聚合層	聚合三層交換機	Cisco Catalyst 9400/9300, H3C S7500, Huawei CloudEngine 8800, Ruijie RG-N18000	VLAN 彙總、策略路由、QoS、安全邊界 (ACL/802.1X)、伺服器區接入
接入層	二層交換機 (PoE+)	Cisco Catalyst 9200, H3C S5560, Huawei CloudEngine 5800, Ubiquiti/FS/MikroTik	端口安全、MAC 認證、LLDP-MED、PoE 預算管理、STP 邊緣埠

三層交換機 vs 路由器：分工不取代

能力維度	三層交換機	專業路由器/防火牆
VLAN 間線速路由	✅ 核心優勢 (ASIC)	⚠️ 軟體/NP 處理，吞吐受限
WAN 接入 (PPPoE/DHCP/專線)	❌ 缺乏介面類型/協定支援	✅ 原生支援、介面豐富 (Serial/POS/CPOS/OTN/xPON)
NAT/NAPT	⚠️ 部分支援、效能低、無 PAT/ALG	✅ 核心功能、硬體加速、完整 ALG
VPN (IPsec/SSL/WG)	❌ 極少/極弱	✅ 專用加速引擎、千條隧道級
狀態防火牆/IDS/IPS	⚠️ 僅 ACL/簡易狀態	✅ 完整狀態檢測、應用識別、威脅情報
QoS 複雜度	DSCP/802.1p 佇列調度	CBQ/HTB/FQ_CoDel + DPI 應用級
SD-WAN	❌	✅ 核心功能
管理/自動化	CLI/NETCONF/Telemetry	REST/gRPC/Ansible/Terraform/Controller

黃金部署原則

1. 核心/聚合層用三層交換機做 VLAN 間路由、策略、聚合
2. 邊界出口用專業路由器/防火牆做 NAT、VPN、安全、SD-WAN
3. 兩者間跑動態路由 (OSPF/BGP) 或靜態路由 + BFD，秒級故障切換
4. 三層交換機不做 NAT、不做 VPN、不終結 WAN，專注內部高效轉發

選型關鍵指標

• FIB 容量：IPv4/IPv6 路由條數 (萬/百萬級)，含主機路由 (/32 /128)
• 轉發效能：Mpps (百萬封包/秒) @ 64B、Tbps 線速、延遲 μs
• ACL/TCAM 資源：規則條數、IPv6 支援、UDF (用戶定義欄位)
• 緩衝區：MB/GB，無損網路 (PFC/ECN) 支援、突發吸收能力
• 堆疊/VCF/VSS/MLAG：邏輯單一管理、跨機箱鏈路聚合、控制平面冗餘
• PoE++ 預算：聚合/接入層供電 Wi-Fi 7 AP、IP Phone、IoT 閘道
• 開放生態：SONiC/SAI/ONIE/OpenConfig/gNCI 支援度

避坑提醒

• 不要用三層交換機當邊界 NAT 閘道 (效能差、功能缺、安全風險)
• 不要在核心層跑複雜 ACL/QoS/DPI (消耗 TCAM/CPU，影響收斂)，下推至聚合/邊界
• SVI 數量別超過硬體上限 (通常 1K-4K)，大量 VLAN 採用 VXLAN/EVPN 擴展
• 堆疊線纜/模組必須原廠認證，混用導致腦裂/數據面不通

三層交換機是大型 LAN 高效轉發引擎，路由器是網絡邊界服務中樞。分工明確、各司其職，才是穩定、可擴展、可運維的企業網絡架構。