二層交換機與三層交換機有何分別？

二層交換機（Layer 2 Switch）在數據鏈路層按 MAC 地址轉發框幀；三層交換機（Layer 3 Switch）在此之上加入硬件路由功能，可按 IP 地址在網絡層轉發封包，同時充當多個網段的閘道。本頁比較兩者的工作原理、功能差異與適用場景，協助香港商廈、舖面與屋苑的弱電工程選型。

兩者的核心差異：轉發依據不同

二層交換機是多埠網橋：它學習每個埠所接裝置的 MAC 地址，建立 MAC 地址表，收到框幀時查表把數據只轉發到目的裝置所在的埠。這種按 MAC 地址的硬件轉發正是交換機取代集線器的原因——流量只送到需要的地方，各埠全雙工互不干擾。它的視野止於單一廣播域：面對不同 IP 網段之間的流量，二層交換機無能為力。關於交換機的基礎原理，可參考網絡交換機是什麼。

三層交換機（亦稱多層交換機，Multilayer Switch）在二層交換之上加入網絡層路由能力：它可以檢視封包的 IP 地址，在不同網段（通常對應不同 VLAN）之間路由轉發。與傳統路由器不同，三層交換機的路由決策由專用 ASIC 晶片配合內容可尋址記憶體在硬件完成，二層與三層轉發之間沒有效能差距，可達線速。簡言之：同網段流量兩者處理方式相同；跨網段流量，只有三層交換機能夠直接處理。

功能比較一覽

比較項目二層交換機三層交換機
工作層級OSI 第二層（數據鏈路層）第二層＋第三層（網絡層）
轉發依據MAC 地址表MAC 地址表＋IP 路由表
VLAN 支援網管型可劃分 VLAN 及 Trunk，但 VLAN 之間不能互通可為每個 VLAN 建立 SVI 充當閘道，直接做 VLAN 間路由
路由功能無靜態路由為基本，中高階支援 RIP/OSPF 等動態路由協定
ACL 管控部分型號支援二層 ACL支援基於 IP 與埠號的三層／四層 ACL，管控網段互訪
典型角色接入層——接駁電腦、電話、攝影機、AP核心層／匯聚層——集中路由與管控全網流量
價格較低較高，但同級價格已日趨普及

如何判斷應選哪一種

  1. 數一數網段——全網只有單一網段（例如小型舖面十數部裝置），二層交換機已足夠，跨網段路由交給路由器或防火牆即可。
  2. 檢視 VLAN 間流量——已劃分或計劃劃分多個802.1Q VLAN，且網段之間有經常性流量（辦公存取伺服器、管理主機接觸監控網段），核心位置應選三層交換機，避免單臂路由樽頸；詳見如何實現 VLAN 間路由。
  3. 分清角色——中大型網絡採分層設計：核心用三層交換機，樓層或房間的接入層用二層網管型交換機經 Trunk 上行，接入層毋須為三層功能付費。
  4. 考慮管控需求——需要以 ACL 限制網段互訪（例如隔離訪客與監控網段），或需要 DHCP Snooping、802.1X 等安全功能，應選相應規格的網管型號；網管與非網管的分別可參考另文。
  5. 預留擴充——屋苑、商廈項目網段數目會隨系統增加，核心三層交換機的埠數、上行頻寬（萬兆／LACP 聚合）與路由表容量應預留餘量。

香港弱電工程的典型部署

① 小型舖面／診所

單一網段，一部二層交換機（按需要選 PoE 型號供電予攝影機及 AP）接防火牆或路由器出街，架構簡單、成本最低。

② 中型辦公室

辦公、電話、監控、訪客各佔一個 VLAN，核心放一部三層交換機集中路由與 ACL 管控，接入層以二層 PoE 交換機接駁終端，是最常見的性價比架構。

③ 商廈／屋苑多座場地

各座或各層接入交換機以光纖上行至核心三層交換機，VLAN 跨座延伸、路由集中管理；監控與門禁網段以 ACL 收窄互訪，日後加系統只需加 VLAN。

④ 監控專網

攝影機數量大的項目可用三層交換機把攝影機分成多個網段，縮小廣播域並分散流量，NVR 網段集中收流，管理與擴展都更清晰。

常見問題

三層交換機可以取代路由器嗎？
在內部網絡可以，在網絡邊界一般不可以。三層交換機的強項是內部網段之間的高速硬件路由，但通常不具備或只有有限的 NAT、PPPoE 撥號、VPN 及深度安全檢測功能，這些屬於路由器與防火牆的職責。常見架構是三層交換機做內網核心，防火牆或路由器負責互聯網出口，兩者互補。
二層交換機支援 VLAN，是否代表可以做 VLAN 間路由？
不可以。網管型二層交換機可以劃分 VLAN 並以 Trunk 傳送多個 VLAN 的流量，但它只在二層按 MAC 地址轉發，無法跨越 VLAN 邊界。不同 VLAN 之間的通訊必須經由三層裝置按 IP 地址路由——可以是外部路由器（單臂路由），也可以是三層交換機。劃分 VLAN 與路由 VLAN 是兩件事。
三層交換機的路由效能為何比傳統路由器高？
三層交換機以專用 ASIC 晶片配合內容可尋址記憶體（CAM/TCAM）在硬件層面完成路由決策與轉發，二層與三層轉發之間沒有效能差距，可達線速。傳統路由器不少功能以軟件處理，吞吐量受處理器限制。因此內部大流量的網段間路由交給三層交換機，複雜的邊界功能才交給路由器或防火牆。
什麼情況下用二層交換機已經足夠？
網絡只有單一網段，或雖有多個 VLAN 但路由集中在核心完成時，接入層用二層交換機已經足夠。典型例子是小型舖面、單一辦公室，以及大型網絡中負責接駁終端裝置的樓層接入交換機——後者只需支援 VLAN 與 Trunk，把跨網段流量上行交給核心三層交換機處理即可。
三層交換機是否一定是網管型？
是。路由功能必須經管理介面設定網段、介面地址與路由條目，因此三層交換機必然屬於網管型。相反，網管型不一定是三層——市場上大量網管型交換機只具備二層功能（VLAN、QoS、鏈路聚合等）。選型時應以「是否需要在交換機上做網段間路由」判斷是否需要三層型號。

需要為項目選配交換機？

我們代理多個品牌的二層與三層交換機，工程師可按網絡規模與預算建議合適型號，由供貨、佈線到組態調試一站式完成，歡迎查詢及免費報價。

WhatsApp 免費報價 →

延伸閱讀

網絡交換機是什麼？網管型與非網管型交換機分別如何實現VLAN間路由？VLAN 是什麼？什麼是端口安全Port Security？弱電工程＋網絡佈線指南廣播域與碰撞域有何分別？

若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。

本頁內容由人手或AI輔助生成，雖經核對仍可能存在誤差，僅供參考；產品規格以原廠最新文件為準；有需要請聯絡我們工程師。