补充上面的回答. 一般三层交换机不能做NAT (思科的65, 45系列, 华为9700以上系列增加板卡是可以支持的), 所以最外层接口还是需要一台路由或者防火墙. PS: 谢谢 @北极 的提醒.

接触过一些路由器和三层交换机说下我的理解，所说的大多为平时总结，找不到具体来源了。 我们看现在的结果，难理解的话，往前找，看看历史。 先说下历史： 就是普通的2层交换机，和路由器。 如果要执行三层转发，必须使用2层交换机和路由器配合。 仅仅使用三层转发，增加路由器很不划算。于是演进出了三层转发。 三层转发芯片，替代了cpu，带有更强的转发能力，而且容易扩展，后来发展成专门的NP网络处理器。 网络发展都向着高性能，低成本发展。 三层交换机就有专门的np和弱点的cpu组成，主要执行转发任务，转发表多或者方法来自于直联路由和静态路由。ospf,bgp也是支持的，算点小型的网络还可以，大型的根本无法计算。 路由器除了转发功能为了成本,也会使用NP，来降低CPU的使用，还要负责计算。这样必须使用强的cpu，来负责计算路由，支持mpls，组播，vpn等路由，接口齐全：E1,Ether,xDsl,支持多种接入。特殊的需求，时钟同步，1588等协议，这些都是交换机所不擅长的． 说了这么多，简单的说说数通设备(交换机,路由器等)的结构，帮你理解下。 一般分为转发平面,而控制平面. 转发平面一般决定性能,比如同时支持多少G或者多少T的转发能力. 比如可以做到200 * 1G的端口同时线性转发, 那么转发能力就是200G的容量.现在可以做到上T的能力. 控制平面决定如何将转发表计算出来,然后下发到转发平面,比如支持多少路由表.比如省出口,运营商出口,国家出口需要支持多少万条路由.比如出现断路了,需要路由切换,需要多少秒收敛. 那么交换机能注重转发平面,而路由器更注重控制平面. 高端交换机除了转发平面非常强以外,同时控制平面也会做到很强. 高端路由器除了控制平面强大以为,转发平面也会做的很强. 所以差距就没那么明显. 一句话：同样的价钱，买交换机能买到转发能力很强的设备，买路由器能买到协议计算能力更强的设备． 补充说下：以上仅仅是我的理解，来源四面八方，如有理解错误，欢迎指出，纠正

现在在测试华为的边缘路由器。就我认为： 1：产品的定位：交换机的主要目的实现数据包的线速转发否则局域网的延时都可以大的惊人了，违背初衷。路由器是为了链接不同的“局域网”所以需要计算一些数据信息。 2：协议计算，路由表，收敛时间等等都体现在大型网络中，中小型网络这些基本上可以忽视所以没所谓。 3：三层交换先路由后交换有专门的交换芯片实现，就是先缓存后交换但是如果发生网络抖动在预定时间内没有同类数据包通过就删除缓存，那么再次处理该数据包时就要做路由的操作调用CPU。 4：回答楼上的问题：不同网段不能互访是由于TCP/IP本身的隔离，广播域的问题。无法通过ARP获取MAC地址。广播域越大需要占用的存储空间就越大。关于VLAN是一个软件虚拟出来的东西，在设备上软件实现广播域的细分实现的。

这么说吧，A要把包裹送给C，但是A不知道C在哪里，于是A去询问B，B是管理员，他通过一系列操作查询找到了C的地址，A要一直向C送东西，于是B帮他们铺了一条传送带，以后不用问B直接发送就行；如果A又想给D发包裹了，需要在找B，然后B再去进行一系列操作，然后再铺设传送带。这就是三层交换机的作用，传送带相当于交换转发芯片，B相当于控制CPU，只要一次找到了以后它就不管了交给传送带来做。 对于路由器，同样是A想发给C发包裹，他不知道地址于是去找B，这个B能力很强聪明手巧，B说我可以给你找到C送给他，另外我还能帮你再包装一下美化一下上个保险啥的，于是A每次发包裹都找到B去做，B相当于路由器的CPU，路由器所有的数据转发都走CPU。 综上可见，在进行大量的传送时使用“传送带”的三层交换机显然更快也更省时省力，但是一旦遇上复杂的网络情况，比如C的地址到处变，A还要给EFGHIJ...等等地方发送时三层交换机的B就忙不过来了，它本身就不怎么擅长找路，还要不断拆装传动带，很快就手忙脚乱了；这种情况下对路由器的B而言不过是送包裹任务量大了一点儿，他还是走正常的流程，找路然后送过去，而且它本身找路的能力就非常强，只是多跑几趟。反之如果A只是固定给C、D们送东西，不过每次都是成吨的送，对于三层交换机的传送带而言无所谓，都给范厨师装上走你┏ (゜ω゜)=☞，但是路由器的B可累坏了，很快就完蛋了。 简言之，三层交换机就像是铁路，运量大但是灵活性差，太偏僻的地方送起来有难度；路由器就像汽车，运量小但是再偏僻再难找的地方都能送到。 现在的三层交换机路由功能越来越强，路由器的转发能力也越来越强，但是终究术业有专攻，在高压和极端情况下它们依然不能相互取代。

从硬件上说，三层交换机是通过交换芯片转发数据的，交换芯片是带有三层转发能力的，也就是路由的功能。 路由器则是通过CPU转发的，所有的报文的重新计算和转发任务是在CPU的计算下完成的。 我看到之前有人说交换芯片的路由功能很差。我想说，你们都是从什么时代过来的？现在国产厂商的设备，09年我做交换机那会，三层路由表表项都能达到64K个，这还不够多吗？支持OSPF/BGP/IS-IS这些都是软件层面的事情，跟交换芯片没什么关系。至于防火墙/ACL等功能，交换芯片都自带的，写几个寄存器就可以搞定的。并且路由器的表项一旦变大，CPU查找的时间会更长，转发速度会更慢的。 三层交换机无法取代路由器是因为以下几个致命的弱点： 1、交换机（下面所有的交换机都指的是三层交换机）网络打通速度很慢，有一个专业的说法叫做线速转发，比如交换机的带宽是1Gbps，带在没有达到线速转发之前，速度是很低的，并且达到线速转发的时间可能要很久，以IPv6为例，有些设备需要十几分钟才能达到线速转发，而路由器是不需要消耗这么久的，路由器的路由表计算是走CPU的，任何时间都是线速转发的（当然如果CPU负载太重则例外）——这是交换机最致命的弱点。 2、交换机支持的网络类型很少，串行链路，ATM，这些口一般交换机支持的都很差，有些大型交换机会用专门的一个板卡提供这些网络接口的支持。交换机通常支持的都是以太网光口或者电口。路由器则不一样，一个核心路由器通常是带一堆各种各样的接口，反而是以太网口不太多。虽然如今大部分线路都改造成光纤了，但在ISP那边，串行链路还是很多的，所以路由器就排上用场了。 3、路由器可以改造成网关或者防火墙——带日志记录的网关，因为所有报文都走CPU，所以CPU有能力记录下所有的报文，但交换机的交换芯片则没有这个能力——因为交换芯片太快了。路由器的这个特点，也用在了很多企业、ISP的出口网络上，以及伟大的GFW也是工作在路由器这个层面上的。 4、三层交换机的转发速度很快，但设计复杂，不管是交换机还是路由器，都有一个控制CPU，路由器里转发CPU跟控制CPU通常是分开的。对于所有发往路由器或者交换机自身的报文，走控制CPU。对于路由器来说，如果加防火墙之类的，都是软件实现的，代码可以是一套。但对于三层交换机则不同，三层交换机的交换芯片控制的防火墙等ACL控制（访问控制列表）是分成两套代码的，一套是控制走芯片转发的部分，另一套是控制走控制CPU的部分，实际上是多出了一套代码。 5、交换机抗网络震荡能力很弱，前面说了线速转发的问题，同样，网络一旦开始震荡，路由表不稳定的时候，交换机就又不能线速转发了，而路由器则基本不受影响。 因为上面几个原因，路由器是不可替代的。但确实路由器已经被边缘化了，路由器在核心网络里，一般都充当着出口和核心转发这一块，接入层和汇聚层基本上都被三层交换机所取代了。