Layer-3-Switch
Switch, der auch routen kann.

Layer 2 und Layer 3

Ein Layer-2-Switch verbindet Geräte innerhalb eines Netzes anhand ihrer Hardwareadressen. Sollen Daten von einem VLAN in ein anderes, braucht es einen Router. Ein Layer-3-Switch hat diese Routing-Funktion eingebaut und erledigt sie in Hardware, also mit voller Geschwindigkeit.

Wo er im Netz steht

In vielen Unternehmensnetzen ist der Layer-3-Switch meist der Core-Switch im Serverraum. An ihm hängen die Etagenverteiler, Server und die Firewall. Er routet den Verkehr zwischen den internen VLANs, die Firewall kümmert sich um den Weg ins Internet und um besonders schützenswerte Übergänge.

Switch oder Firewall routen lassen?

Das ist eine Abwägung zwischen Leistung und Kontrolle:

• Routing auf dem Switch: sehr schnell, aber nur einfache Filter über Zugriffslisten
• Routing auf der Firewall: volle Kontrolle mit Protokollierung und Gefahrenabwehr, braucht aber eine ausreichend starke Firewall

Wir trennen meist so: Bereiche mit viel Verkehr und ähnlichem Schutzbedarf routet der Switch, Übergänge zu Servern, Backup, Produktion und Gästen laufen über die Firewall.

Ausfallsicherheit

Weil am Core-Switch das ganze Netz hängt, planen wir ihn oft doppelt, etwa mit HPE Aruba VSX oder Juniper Virtual Chassis. Die Etagenverteiler werden dann mit beiden Core-Switches verbunden, siehe Link Aggregation.