Un switch de niveau 3 peut router des paquets IP entre plusieurs sous-réseaux, notamment entre des VLAN. Il permet de traiter certains échanges locaux directement sur le réseau de commutation, sans imposer un détour par le routeur Internet.
Le principe suppose de distinguer la séparation en VLAN du routage entre ces réseaux. Le bon emplacement de la passerelle dépend des débits, des règles de sécurité, des fonctions disponibles et de la redondance attendue.
En effet, un switch de niveau 2 ne fait pas de routing et donc les échanges entre des VLANs différents passe donc par un routeur (ou par un switch de niveau 2+ ou 3).
On parle de "niveau" en référence aux couches du modèle OSI :
Comment ça se passe si on laisse le routing inter-vlan au niveau du routeur ?
Dans une installation avec un switch de niveau 2 et un routeur, avec mettons 3 VLANs déclarés sur le routeur, si vous permettez la communication inter-VLANs sur le routeur, c’est lui qui assurera la communication entre par exemple le VLAN 100 et le VLAN 110.
Si vous avez fait un VLAN avec vos imprimantes, un autre VLAN avec vos ordinateurs du département comptable, les données envoyées de l’un à l’autre passeront donc par votre routeur et utiliseront de ses ressources. A la limite pour de l’impression basique, pas de souci.
Maintenant prenez le même exemple mais imaginez un NAS situé dans un VLAN, des ordinateurs se connectant à ce NAS dans un autre VLAN. Si vous faites toujours le routing du trafic inter-VLAN au niveau du routeur, vous n’allez probablement pas obtenir toutes les performances possibles entre vos clients et ce NAS, serveur de fichier. C’est d’autant plus vrai si vous reliez ce serveur en plusieurs fois 1 Gbps ou en 10 Gbps.. ou 20.. et que vous avez mettons un routeur connecté en 1 Gbps sur le réseau : il sera limité à la fois par son interface ethernet, par son CPU.. bref pas joli joli. Faites le test avec un routeur un peu moyen et vous verrez vite.
En utilisant - dans un réseau fortement sollicité - votre routeur / passerelle Internet pour le routage inter-VLAN, vous risquez de dégrader les performances de votre réseau.
De l’intérêt du switch « layer 3/niveau 3 »
Un switch L3 peut traiter les flux inter-VLAN avec du matériel spécialisé, selon le modèle et les fonctions activées. Le gain dépend de ses capacités de transfert, des liens et du routeur auquel on le compare : un switch n’est pas systématiquement plus rapide qu’un routeur.
Dans le schéma ci-dessus, on voit que le PC A et le PC B sont situés dans deux VLANs différents (le 10 et le 20) et que quand le PC A , en 192.168.10.5 va essayer de joindre le PC en 192.168.20.5, il va passer traverser le switch de niveau 2 qui connaît ces deux VLANs et transiter par le switch de niveau 3 (en haut du schéma) qui lui a des IP dans les 2 VLANs : 192.168.10.1 et 192.168.20.1 (nécessaires à faire le routing).
Le PC A .. a en fait comme passerelle le switch en 192.168.10.1 , le PC B a comme passerelle le switch en 192.168.20.1.
Tout le trafic du PC A à destination de son propre VLAN dont le sous réseau est en 192.168.10.0/X n’a pas besoin de traverser le switch de niveau 3. En revanche quand il veut atteindre un autre VLAN, géré sur le switch de niveau 3, il va s’en servir comme passerelle. Dans le schéma ci-dessus on ne voit pas de routeur qui pourrait donner à internet mais c’est vers là que le trafic à destination continuerait, depuis le PC A ou B.
Quels critères retenir pour l’achat de switches de niveau 3
Il y a plusieurs critères à garder à l’esprit si vous souhaitez faire du routage de niveau 3 sur vos switches :
- Le nombre d’adresses MAC qu’ils savent gérer
- Combien de VLANs gèrent-ils
- Leur capacité « forwarding rate » en paquets par seconde
- Leur capacité de routing (backplane non blocking)
- Sont-ils stackables physiquement
- Sont-ils équipables d’alimentations redondantes
Et bien sûr la chose à considérer avant tout est : avez vous besoin du routing de niveau 3 .. côté switch. Ce qui se détermine vite : faites vous beaucoup communiquer vos VLANs entre eux.
Déplacer le routage peut aussi déplacer le point d’application de la sécurité. Vérifiez les ACL, le retour des routes et le relais DHCP ; les flux locaux routés par le switch peuvent ne plus traverser le pare-feu Internet.
Pensez aussi à bien dimensionner la redondance et l’interconnexion de vos switches pour ne pas vous faire dépasser par le trafic que votre réseau peut avoir à véhiculer.
Dans un réseau on parle souvent des switches de distribution (niveau 3) et des « access » switches (niveau 2) . Les switches de distribution sont placés en haut du réseau (dans leur cœur de réseau) et les access, près des appareils branchés au réseau (ordinateurs, caméras, bornes WiFi).
Comparez les fiches du modèle exact : débits de routage, paquets par seconde, nombre de routes, interfaces IP, fonctions de redondance et limites des ACL. La capacité de commutation du fond de panier ne prouve pas à elle seule les performances de toutes les fonctions L3.
Questions fréquentes
À quoi sert un switch de niveau 3 ?
Un switch de niveau 3 peut router entre plusieurs VLAN directement au niveau du réseau local. Il évite de faire passer tout le trafic inter-VLAN par le routeur Internet.
Quand le routage inter-VLAN sur le routeur pose-t-il problème ?
Cela devient problématique quand des flux importants circulent entre VLAN, par exemple entre postes et serveurs, NAS, caméras ou stockage. Le routeur peut devenir un goulot d’étranglement.
Pourquoi un switch de niveau 3 est-il souvent plus performant ?
Un switch L3 peut disposer d’un traitement matériel adapté aux flux locaux. Le gain dépend du modèle, des fonctions activées, des liens et du routeur auquel il est comparé ; la supériorité n’est pas systématique.
Faut-il toujours choisir des switches layer 3 ?
Non. Un petit réseau avec peu de VLAN et peu de trafic interne peut très bien fonctionner sans. Le choix dépend du nombre de VLAN, des débits, de la redondance et des usages internes.
BoucheCousue peut-il concevoir une architecture L2/L3 ?
Oui. BoucheCousue peut cadrer les VLAN, le routage, les switches, le firewall, la redondance, la supervision et la documentation du réseau.