Switch layer 2 và layer 3 khác nhau ở một điểm cốt lõi: switch Layer 2 chuyển khung Ethernet theo địa chỉ MAC trong phạm vi một VLAN, còn switch Layer 3 làm thêm việc định tuyến gói IP giữa các VLAN và mạng con ngay trên thiết bị. Cần lưu ý ngoại lệ quan trọng: tính năng định tuyến của switch Layer 3 thường tắt theo mặc định, và có model hoặc gói phần mềm “Layer 3” chỉ hỗ trợ định tuyến tĩnh, không chạy được OSPF hay BGP (ví dụ Cisco Catalyst 3750-X bản LAN Base). Bài này dành cho kỹ sư mạng và nhà thầu đang thiết kế hạ tầng văn phòng, tòa nhà hoặc nhà máy có từ hai VLAN trở lên và cần quyết định có mua switch Layer 3 hay không. Nội dung gồm bảng so sánh, các trường hợp cần và không cần Layer 3, các bước cấu hình liên VLAN, tiêu chí đọc datasheet và lỗi thường gặp.

Switch Layer 2 và Layer 3 là gì?

Layer 2 và Layer 3 là tên hai tầng trong mô hình OSI. Switch Layer 2 quyết định chuyển tiếp dựa trên địa chỉ MAC ở tầng liên kết dữ liệu. Switch Layer 3 làm được việc đó và còn quyết định dựa trên địa chỉ IP ở tầng mạng, tức là có chức năng của một router trên cùng thiết bị.

Thuật ngữ “managed” hay “unmanaged” là trục phân loại khác, mô tả có cấu hình được hay không. Một switch Layer 2 có thể là unmanaged switch cắm là chạy, hoặc dòng quản lý có VLAN và giám sát. Switch Layer 3 luôn thuộc nhóm quản lý, vì phải cấu hình địa chỉ IP và bảng định tuyến.

Switch Layer 2 làm được gì và không làm được gì?

Switch Layer 2 học địa chỉ MAC, chuyển khung trong cùng một VLAN và chia mạng thành nhiều VLAN. Giới hạn của nó: thiết bị ở hai VLAN khác nhau không thể liên lạc với nhau nếu không có một thiết bị Layer 3 đứng giữa.

Tài liệu cấu hình Cisco Catalyst 3750-X/3560-X nêu rõ nguyên tắc này: thiết bị ở các VLAN khác nhau không thể liên lạc nếu thiếu thiết bị Layer 3 (router). Với mạng chỉ có switch Layer 2, thiết bị Layer 3 thường là router hoặc firewall nối vào cổng trunk, mọi lưu lượng giữa hai VLAN đều đi vòng qua đó. Cách này chạy tốt khi lưu lượng liên VLAN nhỏ.

Trong dòng sản phẩm TCNET, model mang tên layer 2 managed switch RS636-2GF4GT thuộc nhóm switch Layer 2 có quản lý theo tên sản phẩm niêm yết. Các tính năng cụ thể như số VLAN, giao thức giám sát cần xem datasheet của model trước khi đưa vào thiết kế.

Switch Layer 3 làm thêm được những gì?

Switch Layer 3 định tuyến gói IP giữa các VLAN bằng hai loại giao diện: SVI (giao diện VLAN ảo, tạo bằng lệnh interface vlan) và routed port (cổng vật lý chuyển sang chế độ Layer 3). Nhờ đó, lưu lượng giữa hai VLAN đi thẳng qua switch mà không cần router ngoài.

Theo hướng dẫn Cisco Catalyst 3750-X và 3560-X, SVI là giao diện VLAN và là giao diện Layer 3 theo mặc định; routed port là cổng chuyển sang Layer 3 bằng lệnh no switchport. Switch ở chế độ chuyển mạch Layer 2 và định tuyến IP bị tắt cho đến khi bật bằng lệnh ip routing. Mọi giao diện Layer 3 dùng để định tuyến đều cần địa chỉ IP, và theo hướng dẫn cấu hình giao diện của cùng dòng switch, mỗi VLAN chỉ gắn được một SVI.

Về tốc độ, tài liệu Cisco về Multilayer Switching (MLS) mô tả việc chuyển tiếp IP được chuyển sang phần cứng ASIC, giảm tải cho router. Gói không có đường chuyển mạch phần cứng vẫn do router chuyển bằng phần mềm. Bài viết này không đưa con số throughput chung, vì mỗi model có datasheet riêng.

Bảng so sánh switch Layer 2 và Layer 3

Bảng dưới tóm tắt sáu tiêu chí phân biệt, dựa trên mô tả của tài liệu Cisco về Catalyst 3750-X/3560-X và MLS. Giá trị cụ thể của từng model trên thị trường cần đối chiếu datasheet.

Tiêu chí	Switch Layer 2	Switch Layer 3
Căn cứ chuyển tiếp	Địa chỉ MAC	Địa chỉ MAC và địa chỉ IP
Liên lạc giữa hai VLAN	Không, cần thiết bị Layer 3 ngoài	Có, qua SVI hoặc routed port
Địa chỉ IP trên switch	Chỉ để quản lý	Mỗi VLAN có thể có IP làm gateway
Định tuyến	Không	Tĩnh, và động tùy phiên bản phần mềm
Bật chức năng	Không cần	Phải bật routing (ví dụ ip routing trên Cisco)
Vị trí điển hình	Lớp truy cập, nối thiết bị đầu cuối	Lớp lõi hoặc phân phối, nối các VLAN

Hàng cuối cùng là thực hành thiết kế phổ biến trong mạng phân lớp, không phải ràng buộc kỹ thuật: có mạng nhỏ dùng một switch Layer 3 làm cả lõi lẫn truy cập.

Switch Layer 3 hỗ trợ những giao thức định tuyến nào?

Giao thức định tuyến phụ thuộc vào gói phần mềm của từng model, không phải tên “Layer 3”. Cisco Catalyst 3750-X ví dụ: gói LAN Base chỉ có định tuyến tĩnh trên SVI với tối đa 16 route, gói IP Base thêm RIP, còn OSPF, EIGRP và BGP cần gói IP Services.

Đây là lý do cần đọc kỹ bảng tính năng trước khi mua. Một switch quảng cáo “Layer 3” nhưng chỉ có định tuyến tĩnh phù hợp cho mạng nhỏ có vài mạng con. Mạng nhiều tầng, có nhiều đường đi dự phòng cần giao thức động như OSPF và switch đủ bộ nhớ bảng định tuyến.

Với dòng công nghiệp, TCNET có Wintop YT-CM3728-4WF24GT, theo tên sản phẩm niêm yết là switch công nghiệp Layer 3 quản lý 24 cổng Gigabit và 4 cổng SFP 10G. Danh sách giao thức định tuyến và dung lượng bảng route cần lấy từ datasheet của Wintop.

Khi nào cần dùng switch Layer 3?

Cần Layer 3 khi mạng có từ hai VLAN trở lên và lưu lượng giữa chúng lớn đến mức router hoặc firewall trở thành điểm nghẽn: camera sang máy chủ ghi hình, văn phòng sang máy chủ file, các tầng của tòa nhà. Mạng một VLAN không cần Layer 3.

Tòa nhà hoặc campus nhiều VLAN: mỗi tầng, phòng ban hoặc hệ thống (camera, điện thoại IP, Wi-Fi) một VLAN, lưu lượng liên VLAN thường xuyên. Bài triển khai hệ thống mạng quang campus mô tả kiến trúc trục quang cho loại mạng này.
Nhà máy tách mạng OT và IT: định tuyến nội bộ giữa các khu máy, có thể kết hợp danh sách kiểm soát truy cập (ACL) để giới hạn lưu lượng được phép.
Trục lõi 10G quang: khi uplink dùng module SFP+ nhiều VLAN chạy chung, Layer 3 ở lõi giảm đường vòng. Với các liên kết này, nên chọn module SFP đúng tốc độ, khoảng cách và tương thích với switch; xem bài module SFP phù hợp switch.

Không cần Layer 3 khi: mạng phẳng một VLAN, hoặc lưu lượng liên VLAN nhỏ và đã có router, firewall đảm nhận. Mua thêm Layer 3 ở những mạng này tăng chi phí và độ phức tạp cấu hình mà không cải thiện hiệu năng rõ rệt.

Cấu hình liên VLAN trên switch Layer 3 gồm những bước nào?

Quy trình liên VLAN gồm năm bước: tạo VLAN, gán cổng, tạo SVI kèm địa chỉ IP, bật định tuyến, và đặt gateway cho thiết bị đầu cuối trùng với địa chỉ SVI. Tên lệnh khác nhau giữa các hãng, bước làm thì giống nhau.

Tạo VLAN trên switch và gán các cổng truy cập vào đúng VLAN.
Tạo SVI cho từng VLAN (trên Cisco là lệnh interface vlan kèm số VLAN) và gán địa chỉ IP. Địa chỉ này sẽ là default gateway của mạng con.
Bật định tuyến IP. Trên Cisco là lệnh ip routing, vì mặc định tắt.
Đặt gateway trên thiết bị đầu cuối bằng đúng địa chỉ SVI của VLAN chứa thiết bị.
Thêm route ra ngoài: route mặc định về firewall hoặc router biên, hoặc bật giao thức động nếu model hỗ trợ.

Khi cần nối switch Layer 3 vào thiết bị lõi khác theo dạng cổng định tuyến thuần (không phải VLAN), chuyển cổng sang chế độ routed port và gán IP trực tiếp. Bài về giám sát SFP qua SNMP hữu ích khi cần theo dõi các cổng uplink này sau triển khai.

Chọn switch Layer 3 cần đọc những gì trên datasheet?

Sáu mục cần đọc: giao thức định tuyến và gói phần mềm, số route tối đa, số SVI hoặc VLAN, loại và số cổng uplink, dự phòng nguồn và đường, và hỗ trợ giám sát. Thiếu mục đầu tiên là lý do phổ biến nhất khiến switch mua về không đáp ứng thiết kế.

Giao thức định tuyến: tĩnh, RIP, OSPF, BGP, có phải mua thêm license hay không.
Dung lượng bảng route: ảnh hưởng khi mạng có nhiều mạng con.
Cổng uplink: số cổng SFP/SFP+ và tốc độ, tương thích với module quang đang dùng.
Dự phòng: hai nguồn, stack hoặc cặp lõi, giao thức chống vòng lặp.
Giám sát: SNMP, syslog, hiển thị trạng thái cổng.
Môi trường: nhiệt độ làm việc nếu đặt trong tủ nóng hoặc nhà xưởng.

Khi đã có danh sách yêu cầu theo sáu mục trên, có thể so sánh các model trong nhóm thiết bị chuyển mạch layer 3 của TCNET và yêu cầu datasheet của model định chọn.

Nên chọn Layer 2 hay Layer 3 theo quy mô mạng?

Chọn theo số VLAN và lưu lượng liên VLAN: mạng nhỏ dưới 3 VLAN dùng switch Layer 2 quản lý kèm router hoặc firewall; mạng vừa nhiều VLAN dùng một lõi Layer 3 với truy cập Layer 2; mạng lớn dùng cặp lõi Layer 3 dự phòng và trục quang. Các mốc số VLAN là gợi ý thực hành của TCNET để phân nhóm, không phải ràng buộc của chuẩn hay hãng.

Quy mô	Gợi ý cấu hình	Lưu ý
Nhỏ: văn phòng, cửa hàng, dưới 3 VLAN	Switch Layer 2 quản lý; router hoặc firewall định tuyến liên VLAN	Chưa cần Layer 3, chi phí thấp nhất
Vừa: tòa nhà, nhà xưởng, 3 đến 20 VLAN	Một switch Layer 3 ở lõi; switch Layer 2 quản lý ở các tầng, tủ	Dự phòng nguồn cho lõi; uplink SFP
Lớn: campus, khu công nghiệp	Hai switch Layer 3 làm lõi dự phòng, Layer 3 hoặc Layer 2 ở phân phối, trục quang giữa các tòa	Lập sơ đồ VLAN và địa chỉ IP trước; chọn bản có giao thức động

Nếu hạ tầng có tuyến quang đường trục, xem thêm bài hệ thống backbone cáp quang doanh nghiệp để phối hợp thiết kế lõi mạng và tuyến truyền dẫn.

Những lỗi cấu hình Layer 3 nào hay gặp?

Lỗi hay gặp nhất là chưa bật định tuyến, gateway trên thiết bị đầu cuối không khớp SVI, thiếu route mặc định và hiểu nhầm khả năng của switch “Layer 3” chỉ có định tuyến tĩnh. Cả bốn đều khắc phục được bằng kiểm tra cấu hình có hệ thống.

Lỗi	Dấu hiệu	Cách kiểm tra
Chưa bật định tuyến	Các VLAN đã có SVI nhưng không liên lạc được với nhau	Kiểm tra lệnh bật routing (ip routing trên Cisco) hoặc tùy chọn tương đương
Gateway đầu cuối sai	Ping được trong VLAN, không ping được sang VLAN khác	Đối chiếu gateway với địa chỉ SVI
Thiếu route mặc định	Liên VLAN tốt nhưng không ra Internet	Thêm route mặc định về firewall hoặc router biên
Mua nhầm bản chỉ định tuyến tĩnh	Không cấu hình được OSPF hoặc bị giới hạn số route	Đọc bảng tính năng và gói license trong datasheet trước khi mua

Câu hỏi thường gặp

Switch Layer 3 có thay được router không?

Thay được phần định tuyến giữa các VLAN trong mạng nội bộ. Chức năng WAN như NAT, VPN, cân bằng nhiều đường Internet thường vẫn đặt ở router hoặc firewall; đây là cách phân vai thiết kế phổ biến, không phải quy định của chuẩn. Nhiều mạng dùng cả hai: Layer 3 ở lõi, router hoặc firewall ở biên.

Có thể dùng switch Layer 2 để chia VLAN rồi để router định tuyến không?

Có. Đây là cách làm phổ biến cho mạng nhỏ. Cổng nối từ switch tới router dùng chế độ trunk để mang nhiều VLAN. Hạn chế là lưu lượng liên VLAN đều đi qua router nên dễ nghẽn khi lưu lượng lớn.

SVI là gì?

SVI (Switched Virtual Interface) là giao diện ảo gắn với một VLAN, mang địa chỉ IP dùng làm gateway cho các thiết bị trong VLAN đó. Theo tài liệu cấu hình Cisco Catalyst 3750-X/3560-X, mỗi VLAN chỉ gắn được một SVI.