一、 第三层交换机基本原理简介

    第三层交换机，实际上就好象是将传统交换器与传统路由器结合起来的网络设备，它既可以完成传统交换机的端口交换功能，又可完成部分路由器的路由功能。当然，这种二层设备与三层设备的结合，并不是简单的物理结合，而是各取所长的逻辑结合，其中最重要的表现是，当某一信息源的第一个数据流进入第三层交换机后，其中的路由系统将会产生一个MAC地址与IP地址映射表，并将该表存储起来，当同一信息源的后续数据流再次进入第三层交换时，交换机将根据第一次产生并保存的地址映射表，直接从二层由源地址传输到目的地址，而不再需经过第三路由系统处理，从而消除了路由选择时造成的网络延迟，提高了数据包的转发效率，解决了网间传输信息时路由产生的速率瓶颈。
    第三层交换机的出现，实际上已经历了三代。第一代产品是一种由分立电子元件和原语式软件相结合的简单混合体，设备体积大、重量重、功耗高，所需散热风扇功率高、体积大，而性能较差。运行在一个固定内存处理机上的软件系统，虽然在管理和协议功能方面有许多改善，但当用户的日常业务更加依赖于网络，使得网络流量不断增加时，网络设备便成了传输瓶颈；第二代交换机的硬件引进了专门用于优化第二层处理的专用集成电路ASIC（Application Specific Integrated Circuit）芯片，体积、功耗、性能得到了极大改善与提高，并降低了系统的整体成本，这就是我们传统的第二层交换机；第三代交换机并不是简单地建立在第二代交换设备上，而是在第三层路由、组播及用户可选策略等方面提供了线速性能，在硬件方面也采用了性能与功能更先进的ASIC芯片。

二、第三层交换机的优势与路由器的区别

    总之，与路由器相比第三层交换机具有如下优势：
    ⑴子网间传输带宽可任意分配：传统路由器的每个串口都可以连接一个子网，而这种通过路由器进行传输的子网速率就会受到接口带宽的直接限制。三层交换机则不同，它可以把多个端口定义成一个虚拟网（VLAN），把多个端口组成的虚拟网作为虚拟网接口，该虚拟网内的信息可通过组成虚拟网的端口送给三层交换机，由于端口数可任意指定，子网间的传输带宽便没有什么限制了。
    ⑵合理配置信息资源：利用三层交换机连接的网络系统，因其访问子网内资源速率和访问全局网中资源速率没有区别，子网设置单独服务器便没有什么意义了。这样，直接通过在全局网中来设置服务器群，在保证内联网宽带传输速率的前提下，不仅可以节省费用，利用服务器集群的软硬件资源优势，更可以做到合理配置和管理所有信息资源，这一点是路由器组网很难办到的。
    ⑶降低成本：在企业网络设计中，由于人们通常只用二层交换机构成同一广播域子网，用路由器进行各子网间的互连，使企业网络形成一个内联网，所以支持内联网的企业网络无法在设备上降低成本。目前，人们采用三层交换机进行内联网络系统设计时，既可以进行任意虚拟子网划分，又可以通过交换机三层路由功能完成子网间的通信，即建立子网与内联子网都可以用交换机完成，大大节省了价格昂贵的路由器。
    ⑷交换机之间连接灵活：在计算机网络通信设备中，作为交换机，它们之间是不允许存在任何回路的，而作为路由器，又可以采用多条通路（如主、备路由）来提高网络的可靠性和平衡负载。为了解决这类矛盾，在三层交换机中，一方面采用生成树算法来阻塞造成回路的端口，在进行路由选择时，又能依然把阻塞掉的通路作为可以选择的路径来参与路由选择，从而极大地提高了交换机连接的灵活性。
   
三、 第三层交换机主要技术

    由于第三层交换技术主要是针对交换子网之间的带宽与速率问题，即可以在子网间路由时，使传输数据仍然采用交换的带宽与速率。为了达到这样的目的，第三层交换机产生厂商做了大量工作，因而也创建了许多基于路由的第三层交换新技术。
    当前，广泛应用的第三层交换技术主要有：
    Ipsilon IP交换：IP交换技术由Ipsilon公司首倡，该技术具有识别数据包流，尽量在第二层进行交换，以绕过路由器，改善网络性能的功能。Ipsilon改进了ATM交换机，删去了控制器中的软件，加上一个IP交换控制器，与ATM交换机通信。采用该技术的第三层交换机非常适用于机构内部的局域网和校园网的内联组网规划。
    Cisco标签交换：该技术在给数据包直接贴上标签（即在对原有数据包不作任何改动的完全封装后，另外加上一个源/目标地址包头），而此标签可在交换节点处直接读出，并能通过标签中的目标地址判断数据包需要传送路径。该技术适用于大型网络和Internet。
    3Com Fast IP：该技术是3Com开发的第三层交换协议，侧重于三层交换中的数据策略管理、优先原则和服务质量等特性。Fast IP协议的最大优势，就是可以保证实时音频或视频数据流在交换中可得到它所需的带宽。Fast IP协议还支持其它协议（如IPX），并可以运行在除ATM外的其它交换环境中。当然，使该技术的客户机还需要有设置优先等级的相关软件等。
    FIRE：被称为灵活智能路由引擎的FIRE，是3Com公司的第三层交换机的核心技术之一，是一个创新的集成化的网间互联体系结构。该技术提供了广泛的第二层和第三层功能，同时还可在多种网络接口类型上，为第三层路由、组播（Multicast）及用户可选策略（Policy）等方面提供了线速性能。
    IBM ARIS（Aggregate Route based IP Switching）：与Cisco的标签交换技术相似，即在传输数据包上附上相关地址标记，借以穿越交换网。ARIS一般用于ATM网，也可扩展到其它交换技术。边界设备是进入ATM交换环境的入口，含有第三层路由映射到第二层虚电路的路由表。允许ATM网同一端两台以上的计算机通过一条虚电路发送数据，从而减少网络流量。
    MPOA（Multi Protocol Over ATM）：ATM论坛提出的一种规范。经源客户机请求，路由服务器执行路由计算后给出最佳传输路径。然后，建立一条交换虚电路，即可越过子网边界，不用再做路由选择。

四、怎样选择合适的第三层交换机

    第三层交换机作为组建内联企业网系统的关键设备，在设备选择中应该从哪方面入手才能真正获得自己所必须的产品呢？虽然第三层交换机市场占有率还有限，但却呈现较强的增长趋势，正在局域网应用领域挤占路由器。虽然CISCO产品仍然是市场的大头份额，但第三层交换机巨大的市场潜力正在吸引大量国内外厂商加入角逐。目前，国内市场主要产品有安奈特、3COM、极进（EXTREME）、网捷（FOUNTRY）、亚美亚（AVAYA）、北电（NORTEL）、凯创（ENTERASYS）、上广电（SVA）、联想-DLINK、华为、TCL等。
    面对如此丰富多彩的品牌，用户在选择时一定要注意如下几方面：
    ⑴选择可信的技术指标：与任何电子产品一样，选择第三层交换机时，首先要分析各种产品的性能指标，然而面对诸如交换容量（Gbps）、背板带宽（Gbps）、处理能力（Mpps）、吞吐量（Mpps）等众多技术指标，你最好还是紧紧抓住“满配置时的吞吐量”这个指标，因为其它技术指标用户没有能力进行测量，全是厂商自己说了算，唯有吞吐量是用户可以使用Smart Bits和IXIA等测试仪表直接测量和验证的指标。
    ⑵选择正确的产品模块：不同品牌交换机所采用交换机技术完全不同，主要分为集中式和分布式两类，传统总线式交换结构模块是集中式，现代交换矩阵模块是分布式。由于企业内联网中运行的音频、视频及数据信息量越来越大，使之对交换机处理能力的要求也越来越高，为了实现在高端口密度条件下的高速无阻塞交换，采用分布式第三层交换机是明智的选择。因为总线式交换机模块在以太环境下，仍然免不了冲突测试，而矩阵式恰恰避免了端口交换时的冲突现象。
    ⑶关注延时与延时抖动指标：企业内联网几乎都是高速局域网，其目的就是为了音频、视频等大容量多媒体数据的传输，而这些大容量多媒体数据包最忌因延时较长而因数据包丢失使信息传输产生抖动。有些传统集中式交换机的延时高达2毫秒，而某些现代分布式交换机的延时只有10微秒左右，两者相差上百倍。而导致延时过高的原因通常包括阻塞设计的交换结构、过量使用缓冲等。所以，关注延时实际上得关注产品的模块结构。
    ⑷性能稳定：第三层交换机多用于骨干和汇聚层，位居网络中心关口，如果性能不稳定，则会波及网络系统的大部分主机，甚至整个网络系统。所以，只有性能稳定的第三层交换机才是网络系统连续、可靠、安全、正常运行的保证。 当然，性能稳定看似抽象，似乎需要历史检测才能有说服力。其实不然，由于设备性能实际上是通过多项基本技术指标和市场声誉来实现的。所以，你完全可以通过测试吞吐量、延迟、丢帧率、背对背功能、地址表深度、线端阻塞、多对一功能等多项指标以及市场应用调查来确定。其中背对背交换能力直接影响到整体包转发和数据流处理能力，对于性能稳定具有较强的参考价值。
    ⑸安全可靠：作为网络核心设备的第三层交换机，自然是黑客攻击的重要对象，这就要求我们必须将第三层交换机纳入网络安全防护的范围。当然，这里所说的“安全可靠”，应该包括第三层交换机的软件和硬件。所以，从“安全”上讲，配备支持性能优良、没有安全漏洞防火墙功能的第三层交换机是非常必要的。从“可靠”上看，因客观上任何产品都不能保证其不发生故障，而发生故障时能否迅速切换到一个好设备上，是令人关心的问题。另外，在硬件上要考虑冗余能力，如电源、管理模块、端口等重要部件是否支持冗余，这对诸如电信、金融等对安全可靠性要求高的用户尤其重要。再就是散热方式，如散热风扇等设置是否合理、美观等。最后考虑的则是，产品符合何种安全性国际或国家标准，如电磁辐射标准、各种安全标准等。对宽带运营商来说还有一个重要的方面是认证，以前交换机是给企业用的，上了网就直接连出去了，不需要认证。而宽带运营商则需要确认用户是否记录在案。用户访问Internet时出现了一个窗口，输入用户名和密码才能通过认证，所以宽带运营商的第三层交换机还应支持一些特殊的协议如802.1x等，以实现认证。
    ⑹功能齐全：产品不但要满足现有需求，还应满足未来一段时间内的需求，从而给用户一个增值空间，为将来网络扩展提供保障。如当公司员工增加时，可以插上模块来扩充而不必淘汰原有设备。还有一些功能，如组播、QoS、端口干路（port trunking）、802.1d跨越树(Spanning Tree)以及是否支持RIP、OSPF协议等路由协议，对第三层交换机来说都是十分重要的，若不支持则难以满足用户需求。以组播为例，在VOD应用中，如果一组用户同时点播一个节目，用组播协议可以保证交换机在高密度视频流点播时非常顺畅地进行数据处理；反之，如果交换机不支持组播协议，则占用的带宽就相当大。再如QoS功能根据用户不同需求将其划分为不同等级，可以使宽带运营商按端口流量计费，从而为不同用户提供不同服务。以往交换机速率是固定的100M，最多自适应到千兆。而现在QoS功能则可支持几百K、1兆，甚至更高，运营商可向不同用户收取不同的费用。此外还可以按协议（即按端口号）收费。还有一个重要功能就是访问列表。如果在接入层划分VLAN，则不同VLAN用户间是不能通讯的，因为这是基于第二层的VLAN。如若想通讯，则必须通过第三层。如企业的财务部与市场部，一般都不来往，若有用户需要访问，则网管人员可以通过第三层交换机一个简单命令行设置，使VLAN间正常通讯，这就是访问列表功能。它是从路由器移植到第三层交换机上的一个功能，可以实现不同VLAN间的单向或双向通讯。如果发现外部某IP地址总发送无用数据包到自己网络上，则可以在访问列表中设置成禁止其发送数据包。还可通过在访问列表中的设置，禁止员工访问非法站点等。
    ⑺良好的服务：用户购买的不仅仅是设备，也包括对公司网络的承诺，即要选择那些具有对自己提供相关售后服务保证能力的厂商产品。所以，选购时你应考察厂家是否能快速响应用户的疑难问题、能否快速更换产品和配件，能否为用户提供定制的功能和服务等。
    ⑻良好的易用性：第三层交换机所支持的功能较强，不管是硬件，还是软件，较之传统二层设备，在管理方面都较复杂。因此，在外观上应看一看指示灯设置是否合理，是否设有故障指示灯和流量指示灯等; 是否有电源开关; 是否有供机架安装的附件; 说明书应明了、详尽，最好有中文说明书。网管软件也最好有中文界面等。
    ⑼较好的性价比：IT设备的特点是升级快、性能增强快、降价也快，所以用户在选购设备时，应该考虑自已的资金和需求实际情况，在充分考虑日后升级的前提下，以设备性能稳定、好用和够用为标准，切莫片面追求高性能、全功能，不必为那些不需要的功能付钱。

五、第三层交换机应用分析

    第三层交换机无法替代路由器是不争的事实，因为它们各有自己的用武之地。第三层交换机非常适应局域网环境，而路由器可在广域网中尽显英雄本色。也就是说，第三层交换机无法适应网络拓扑各异，传输协议不同的广域网络系统。近年来，随着第三层交换技术的不断发展与创新，第三层交换机的应用已从企业网络环境的骨干层、汇聚层，开始渗透到网络边缘接入层。尤其是小区宽带网络的普及，第三层交换机完全适合放置在小区中心和多个小区的汇聚层位置。从这个方面来看，三层交换机虽然无法替代路由器，但却完全动摇了企业路由器的地位，即在企业内联网络系统中，第三层交换机正在取代路由器。
    目前，普遍应用于企业网络中的第三层交换技术，主要是VLAN（虚拟局域网），因为第三层VLAN技术，打破了传统网络许多固有观念，可使网络结构更加灵活多变，使用户组网更加方便和随心所欲。所谓第三层VLAN，就是不需要考虑用户的物理位置，根据信息端的IP地址、用户名等直接与用户联系的特定标志及应用因素，就可将用户在逻辑上划分为一个个功能相对独立的工作组，且每个用户主机都连接在一个支持VLAN的交换机端口上，并属于一个VLAN。在同一个VLAN中的成员都可共享广播，不同VLAN之间的广播信息是相互隔离的。这就相当于将整个网络分割成了多个不同的广播域，从而加强了企业内联网络的管理与维护。而不同VLAN成员的通信与否权限，完全可以由网管员通过对第三层交换机作相关设置来完成。
    我公司的计算机网络是一个核心网络系统相对集中的中型企业内联网系统，其中位于公司大楼中的核心网络，可以分为业务系统、办公系统和财务系统三个专业职能部分。业务系统网络又可分为数据库核心子网、内部营业系统接入子网、外部代办系统接入子网、客户服务系统子网等几个相对独立的子网。除了内部营业和外部代办接入系统有远程接入子网外，其它子网同在一个大楼内，属于典型的企业内联网系统。在我公司的三大专业网络系统中，因为业务系统和办公系统子网的信息终端较多、数据通讯量大、相互访问频繁，且各子网用户相互访问权限复杂。为了保证公司大楼网络系统能够100M交换到桌面，减小冲突域，防止广播风暴，同时还考虑成本与实用等方面，除了各子网内部采用二层交换机外，在公司核心网络系统——计算机中心机房采用了第三层交换机Cisco Catalyst4000。
    Catalyst4000是一个功能强大的中低端模块核心交换机，针对我公司的组网需求，性能价格比较高。其中WS-X4232-L3是一块支持三层交换功能的模块，该模块提供了6个内部千兆光纤连接接入交换机背板，其中的2个路由交换引擎与交换机背板相连，另外4个则用来连接一组32个10/100M自适应以太口，此外路由引擎还有两个对外路由端口。整个模块功能类似于在一个32端口百兆二层交换机上，联接一个具有2个千兆端口的路由器。值得注意的是，也只有这2个千兆端口才具有第三层路由功能，其他32个百兆端口则是纯粹的二层交换端口。
    正因为Catalyst4000支持2个千兆路由端口，所以我们将核心网络系统的所有服务器设备及控制终端直接接在32个百兆端口上，使之成为一个VLAN。将办公系统汇接交换机和财务系统汇接交换机通过光纤分别接在2个千兆路由端口上，使它们分成为2个不同的支持第三层功能的VLAN。这样，我们不仅将整座大楼的信息点接在一个高速局域网上，而且还将三个功能完全不同的网络系统从逻辑上彻底分开，既保证了公司企业网络数据传输的高速性，又保证了公司网络系统的安全性，同时还为整个大楼网络系统的管理、维护提供了极大方便。更重要的是，网管员可以随时根据办公和财务系统用户的需要，提供可否访问中心机房服务器的权利。
    由于公司核心网络中的服务器与控制终端少于30个，2千兆的背板带宽完全胜任这些主机的通信需要。