Switch Layer 3 là gì? 5 lý do chi nhánh nên cân nhắc nâng cấp

Switch Layer 3 là gì và chi nhánh doanh nghiệp có cần nâng cấp từ Layer 2 không? Câu hỏi này thường xuất hiện khi chi nhánh có thêm camera, Wi-Fi và máy chủ nội bộ. Trong khi đó, firewall vẫn phải gánh toàn bộ việc định tuyến. Cùng Thi Thiên Solutions tìm hiểu về Switch Layer 3 là gì? 5 lý do chi nhánh doanh nghiệp nên nâng cấp từ Layer 2.

Hình 1: Switch Layer 3 định tuyến giữa các VLAN tại chi nhánh doanh nghiệp

Switch Layer 3 là gì?

Switch Layer 3 (switch lớp 3) là thiết bị chuyển mạch có thêm chức năng định tuyến. Thiết bị hoạt động ở cả tầng 2 (liên kết dữ liệu) và tầng 3 (mạng) của mô hình OSI. Nhờ vậy, switch vừa chuyển dữ liệu theo địa chỉ MAC, vừa định tuyến theo địa chỉ IP.

VLAN (mạng LAN ảo) là cách chia một mạng vật lý thành nhiều mạng logic theo chức năng. Ví dụ, doanh nghiệp có thể tách riêng VLAN kế toán, VLAN camera và VLAN Wi-Fi khách. Trong thực tế, switch Layer 3 thường được đặt tại tủ mạng trung tâm. Thiết bị này làm điểm kết nối giữa các switch ở từng tầng lầu và firewall.

Khi dữ liệu cần sang VLAN khác, máy trạm gửi đến cổng mặc định (default gateway) trên switch. Sau đó, switch tra bảng định tuyến và chuyển dữ liệu sang VLAN đích. Riêng lưu lượng đi Internet sẽ được chuyển lên firewall.

Hình 2: Đường đi dữ liệu giữa hai VLAN khi dùng switch Layer 2 và switch Layer 3

Switch Layer 2 và Layer 3 khác nhau thế nào?

5 lý do chi nhánh doanh nghiệp nên cân nhắc nâng cấp lên switch Layer 3

1. Giảm tải cho firewall, truy cập nội bộ nhanh hơn

Với switch Layer 2, mọi dữ liệu đi giữa các VLAN đều phải lên firewall để định tuyến. Đó có thể là lệnh in, thao tác mở file trên máy chủ hay luồng dữ liệu camera. Trong khi đó, firewall chi nhánh thường được chọn theo băng thông Internet. Vì vậy, thiết bị này dễ bị quá tải vào giờ cao điểm.

Khi chuyển việc định tuyến nội bộ sang switch Layer 3, firewall chỉ còn xử lý Internet và VPN. Nhờ đó, truy cập nội bộ cũng nhanh hơn.

2. Chia VLAN theo chức năng mà không lo nghẽn

Chia VLAN theo chức năng giúp khoanh vùng sự cố, chẳng hạn như bão broadcast do vòng lặp dây. Khi đó, sự cố chỉ ảnh hưởng trong phạm vi một VLAN. Tuy nhiên, với switch Layer 2, càng nhiều VLAN thì lưu lượng dồn về firewall càng lớn. Do đó, nhiều đơn vị ngại chia nhỏ mạng.

Switch Layer 3 gỡ nút thắt này vì các VLAN trao đổi trực tiếp tại switch. Nhờ vậy, chi nhánh dễ dàng tách riêng người dùng, máy chủ, camera và Wi-Fi khách.

3. Kiểm soát luồng dữ liệu giữa các VLAN ngay tại switch

Khi một thiết bị bị xâm nhập, kẻ tấn công thường tìm cách di chuyển sang thiết bị khác. Theo CrowdStrike, bước này trung bình chỉ mất 29 phút. Vì vậy, switch Layer 3 cho phép đặt danh sách kiểm soát truy cập (ACL) ngay tại switch. Chẳng hạn, doanh nghiệp có thể chặn camera truy cập vào vùng máy chủ. Ngoài ra, có thể chỉ cho phòng kế toán kết nối với máy chủ kế toán.

Tuy nhiên, ACL chỉ lọc theo địa chỉ IP và cổng, không kiểm tra sâu như tường lửa thế hệ . Vì thế, nhiều chi nhánh chỉ định tuyến tại switch cho lưu lượng nội bộ tin cậy. Còn Wi-Fi khách và thiết bị IoT vẫn đi qua firewall.

4. Giữ mạng nội bộ hoạt động khi firewall gặp sự cố

Với switch Layer 2, khi firewall gặp sự cố, nhân viên không in được và không mở được file. Camera cũng không ghi được hình về đầu ghi. Ngược lại, với switch Layer 3, sự cố firewall chủ yếu chỉ làm gián đoạn Internet và VPN. Điều kiện là DHCP, DNS và xác thực không phụ thuộc vào firewall.

Đổi lại, switch Layer 3 trở thành thiết bị trung tâm của mạng nội bộ. Vì vậy, doanh nghiệp cần tính đến phương án dự phòng.

5. Mở rộng chi nhánh dễ dàng hơn

Khi chi nhánh thêm tầng hay thêm thiết bị, switch Layer 3 hỗ trợ mở rộng nhờ ba tính năng:

• Tự cập nhật đường đi: với định tuyến động như OSPF, switch tự cập nhật đường đi khi mạng thay đổi, kỹ thuật viên không phải khai báo lại thủ công.
• Xếp chồng (stacking): nhiều switch cùng dòng được quản lý như một thiết bị, ví dụ, HPE CW 2150 ghép được tối đa 9 switch.
• Dự phòng: hai switch Layer 3 chạy song song, nên một thiết bị hỏng thì thiết bị kia vẫn giữ mạng hoạt động. 

Khi nào chi nhánh cần switch Layer 3?

Chi nhánh nên nâng cấp khi có nhiều VLAN, có camera hoặc máy chủ nội bộ. Ngoài ra, nhu cầu kiểm soát truy cập giữa các vùng cũng là dấu hiệu cần nâng cấp. Ngược lại, chi nhánh chỉ có một VLAN thì chưa cần.

Chuẩn bị gì khi nâng cấp từ Layer 2 lên Layer 3?

Để quá trình chuyển đổi diễn ra suôn sẻ, bạn nên thực hiện theo bốn bước sau:

1. Kiểm kê hiện trạng: liệt kê VLAN, dải IP và vị trí đặt dịch vụ DHCP, DNS.
2. Chuyển cổng mặc định: tạo giao diện VLAN (SVI) trên switch, kết nối switch với firewall và khai báo tuyến trả về trên firewall. 
3. Cấu hình DHCP relay và ACL: chỉ mở những luồng cần thiết, thử trước trên một VLAN.
4. Chọn giờ bảo trì: lưu cấu hình cũ để quay lại nếu có sự cố.

Switch Layer 3 giúp chi nhánh phân chia lại vai trò: switch đảm nhận kết nối và kiểm soát bên trong, firewall tập trung vào Internet, VPN và bảo mật vòng ngoài. Chi nhánh có nhiều VLAN, camera hoặc máy chủ nội bộ nên cân nhắc nâng cấp; chi nhánh chỉ có một VLAN thì chưa cần.

Tư vấn nâng cấp switch Layer 3 cho chi nhánh

Thi Thiên Solutions là đối tác cung cấp thiết bị mạng HPE chính hãng với hơn 18 năm kinh nghiệm về giải pháp CNTT tại Việt Nam. Khi chi nhánh cần nâng cấp từ Layer 2 lên Layer 3, đội ngũ của chúng tôi hỗ trợ:

• Khảo sát hiện trạng mạng, đánh giá chi nhánh đã cần nâng cấp hay chưa
• Đề xuất dòng switch Layer 3 HPE phù hợp, chính hãng, đầy đủ tem bảo hành
• Triển khai, cấu hình chuyển đổi và hỗ trợ kỹ thuật sau bán hàng

Nếu chi nhánh của bạn có nhiều VLAN, camera hoặc máy chủ nội bộ, hãy liên hệ Thi Thiên để được tư vấn dòng switch Layer 3 HPE phù hợp.