1. Khái quát về Layer 2 Switch

1.1 Tổng quan về Layer 2 Switch

Layer 2 Switch là thiết bị mạng hoạt động chủ yếu ở Tầng 2 — Data Link Layer của mô hình OSI.

Chức năng chính của Layer 2 switch bao gồm:

• Kết nối các thiết bị đầu cuối trong cùng một mạng LAN.
• Chuyển tiếp (forward) Ethernet frame dựa trên địa chỉ MAC đích.
• Giảm thiểu xung đột (collision) bằng cách tách mỗi port thành một collision domain riêng biệt.
• Hỗ trợ VLAN để phân chia nhỏ các miền quảng bá (broadcast domain).

Tóm lược: Switch Layer 2 xử lý và chuyển tiếp frame trong phạm vi một mạng LAN hoặc VLAN duy nhất dựa trên địa chỉ MAC.

Ví dụ:

1

PC1 ---- SW1 ---- PC2

Khi PC1 và PC2 thuộc cùng một VLAN, switch Layer 2 có thể chuyển frame giữa hai thiết bị này dựa trên bảng địa chỉ MAC.

1.2 Đơn vị dữ liệu xử lý (PDU)

Switch Layer 2 xử lý frame, không xử lý packet như ở Layer 3.

Cấu trúc tiêu chuẩn của một Ethernet frame:

1

Source MAC      Destination MAC      Data      FCS

Switch Layer 2 sẽ trích xuất thông tin Destination MAC để quyết định cổng giao tiếp (port) cần chuyển frame ra.

1.3 MAC Address Table (Bảng địa chỉ MAC)

Switch Layer 2 sử dụng MAC Address Table (hoặc CAM Table - Content Addressable Memory) để ánh xạ giữa địa chỉ MAC và cổng kết nối tương ứng.

Ví dụ:

Khi nhận được một frame có Destination MAC là BB:BB:BB:BB:BB:BB, switch sẽ tra bảng và chỉ chuyển tiếp frame đó ra cổng Fa0/2.

Đây là ưu điểm cốt lõi giúp switch hoạt động hiệu quả hơn so với hub, vì hub chỉ có khả năng phát tán (flood) tín hiệu ra toàn bộ các cổng.

1.4 Nguyên lý hoạt động cơ bản

1.4.1 Learning (Học địa chỉ MAC)

Khi một frame đi vào switch, switch đọc source MAC address (địa chỉ MAC nguồn) và ghi nhận vào bảng MAC Address Table cùng với cổng tiếp nhận.

Ví dụ: Thiết bị PC1 có địa chỉ MAC AA:AA:AA:AA:AA:AA được kết nối vào cổng Fa0/1. Khi PC1 gửi frame đầu tiên, switch học được ánh xạ: AA:AA:AA:AA:AA:AA → Fa0/1

Lưu ý quan trọng: Switch luôn tiến hành quá trình “learning” từ Source MAC của frame đầu vào, tuyệt đối không học từ Destination MAC.

1.4.2 Forwarding và Filtering (Chuyển tiếp và Lọc frame)

Sau khi kiểm tra MAC nguồn, switch tiếp tục kiểm tra Destination MAC (địa chỉ MAC đích). Nếu địa chỉ MAC đích đã tồn tại trong MAC Address Table, switch sẽ forward (chuyển tiếp) frame ra đúng cổng được ánh xạ.

Trường hợp đặc biệt: Nếu thiết bị đích kết nối cùng một cổng vật lý với nguồn phát, switch sẽ thực hiện hành động filter (lọc/loại bỏ) frame vì không cần thiết phải chuyển ngược tín hiệu lại cổng vừa nhận.

1.4.3 Flooding (Phát tán frame)

Switch sẽ thực hiện hành vi flooding trong ba tình huống sau:

• Gặp Broadcast frame (địa chỉ MAC đích: FF:FF:FF:FF:FF:FF).
• Gặp Unknown unicast frame (địa chỉ MAC đích chưa tồn tại trong bảng MAC).
• Gặp một số loại Multicast frame.

Khi flood, switch sẽ sao chép và chuyển frame ra tất cả các cổng thuộc cùng một VLAN, ngoại trừ cổng vừa nhận frame.

Sơ đồ: Layer 2 Switch

1.5 Collision Domain và Broadcast Domain

1.5.1 Miền xung đột (Collision Domain)

Mỗi port trên một switch hoạt động như một collision domain độc lập. Trong môi trường mạng Ethernet hiện đại, các thiết bị và switch port thường được đàm phán (negotiate) ở chế độ full-duplex, do đó xung đột (collision) gần như đã bị triệt tiêu hoàn toàn so với mô hình hub truyền thống.

Ghi nhớ: Switch cô lập các miền xung đột theo từng port vật lý.

1.5.2 Miền quảng bá (Broadcast Domain)

Theo mặc định, toàn bộ các cổng trên một switch chia sẻ chung một broadcast domain. Tuy nhiên, khi quản trị viên phân chia cấu trúc logic bằng VLAN, mỗi VLAN sẽ trở thành một broadcast domain biệt lập.

Ví dụ: Traffic quảng bá (broadcast) xuất phát từ PC1 thuộc VLAN 10 sẽ không bao giờ được chuyển tới PC2 thuộc VLAN 20.

Ghi nhớ: Mỗi VLAN tương ứng với một broadcast domain riêng biệt.

Sơ đồ: VLAN và Broadcast Domain

2. VLAN và Trunking

2.1 VLAN trên Layer 2 Switch

VLAN (Virtual LAN) là công nghệ cho phép chia cắt một switch vật lý thành nhiều mạng switch logic (hoặc miền quảng bá) độc lập.

Ví dụ quy hoạch:

• VLAN 10: Khối Tài chính - Kế toán
• VLAN 20: Khối Kỹ thuật - R&D
• VLAN 30: Guest Wi-Fi

Các thiết bị thuộc các VLAN khác nhau hoàn toàn bị cô lập ở mức Layer 2. Để hai VLAN có thể giao tiếp, hệ thống yêu cầu một thiết bị xử lý Layer 3 (như Router hoặc Layer 3 Switch).

2.2 Access Port và Trunk Port

2.2.1 Access Port

Access port là cổng vật lý được gán tĩnh cho một VLAN duy nhất, thường dùng để kết nối với các thiết bị đầu cuối (End devices) như PC, Máy in, IP Phone.

Cấu hình mẫu Cisco IOS:

1
2
3

interface fa0/1
 switchport mode access
 switchport access vlan 10

2.2.2 Trunk Port

Trunk port là kết nối điểm-điểm (point-to-point) có khả năng mang dữ liệu của nhiều VLAN đồng thời. Thường được cấu hình trên các đường uplink (Switch-to-Switch hoặc Switch-to-Router).

2.3 Giao thức 802.1Q (VLAN Tagging)

Khi frame truyền qua kết nối trunk, thiết bị nhận cần phân biệt được frame đó thuộc về VLAN nào. Do đó, chuẩn đóng gói IEEE 802.1Q sẽ chèn thêm một trường dữ liệu (VLAN tag) vào header của Ethernet frame ban đầu.

Giao thức này đảm bảo việc cô lập lưu lượng của các VLAN kể cả khi chúng truyền tải trên cùng một liên kết vật lý.

Sơ đồ: Trunk Port và 802.1Q

2.4 Native VLAN

Trong giao thức 802.1Q, Native VLAN là một VLAN đặc biệt. Khi lưu lượng thuộc Native VLAN đi qua cổng trunk, chúng không bị dán nhãn (untagged).

Mặc định trên thiết bị Cisco, Native VLAN là VLAN 1. Trong các tiêu chuẩn thiết kế an toàn bảo mật, Native VLAN thường được khuyến nghị thay đổi sang một VLAN giả (dummy VLAN) không được sử dụng bởi thiết bị đầu cuối.

Lưu ý bảo mật: Native VLAN ở hai đầu liên kết trunk phải được cấu hình đồng nhất. Sự không nhất quán (Native VLAN mismatch) có thể dẫn đến rò rỉ dữ liệu (VLAN hopping) và gián đoạn kết nối.

3. Giao thức Spanning Tree (STP)

Việc dự phòng các đường liên kết vật lý giữa các switch Layer 2 thường gây ra nguy cơ hình thành vòng lặp logic (Layer 2 loop). Hậu quả của Layer 2 loop là hiện tượng bão quảng bá (Broadcast storm), bảng MAC hoạt động bất ổn, và làm tê liệt toàn bộ hệ thống mạng.

Để ngăn chặn vấn đề này, switch sử dụng giao thức STP (Spanning Tree Protocol). STP thuật toán hóa sơ đồ mạng và chủ động khóa (block) các đường dẫn dự phòng để đảm bảo tính phi chu trình (loop-free) của hệ thống. Nếu đường dẫn chính gặp sự cố, STP sẽ tự động mở khóa đường dự phòng.

Sơ đồ: Spanning Tree Protocol (STP)

4. Layer 3 Switch và Inter-VLAN Routing

4.1 Khái niệm Layer 3 Switch

Layer 3 Switch (hoặc Multilayer Switch) là thiết bị phần cứng được tích hợp khả năng xử lý của hai phân lớp:

• Chuyển mạch tốc độ cao dựa trên địa chỉ MAC (Layer 2).
• Định tuyến các luồng gói tin dựa trên địa chỉ IP (Layer 3).

Tóm lược: Layer 3 Switch = Switch Layer 2 + Tính năng Router tích hợp (Integrated Routing).

4.2 Sự cần thiết của Layer 3 Switch

Trong hệ thống mạng quy mô lớn, việc chia VLAN tạo ra nhiều broadcast domain độc lập. Để các thiết bị giữa các mạng (VLAN 10 và VLAN 20) giao tiếp được với nhau, dữ liệu cần phải trải qua quá trình định tuyến. Tuy Router có thể đảm nhiệm việc này, nhưng Layer 3 Switch mang lại hiệu suất vượt trội trong môi trường campus nội bộ, giảm tải hiện tượng thắt cổ chai và tăng tốc độ xử lý gói tin (packet forwarding).

4.3 Phân loại Interface trên Layer 3 Switch

4.3.1 SVI (Switched Virtual Interface)

Là một interface định tuyến ảo logic đại diện cho một VLAN cụ thể, thực hiện chức năng Layer 3 (Default Gateway) để định tuyến giữa các VLAN nội bộ.

4.3.2 Routed Port

Cổng vật lý có thể chuyển đổi thành giao diện định tuyến thuần túy thông qua lệnh no switchport. Port này không còn thuộc bất kỳ VLAN nào và cho phép gán địa chỉ IP trực tiếp. Thường được sử dụng làm liên kết point-to-point Layer 3.

4.4 Cấu hình Inter-VLAN Routing

Ứng dụng quan trọng nhất của Layer 3 switch trong chương trình CCNA là định tuyến liên mạng (Inter-VLAN Routing). Thay vì định tuyến bằng các cổng vật lý, Layer 3 Switch sử dụng các giao diện ảo được gọi là SVI (Switched Virtual Interface) để làm default gateway cho từng VLAN.

Cấu hình mẫu:

1
2
3
4
5
6
7
8
9

ip routing

interface vlan 10
 ip address 192.168.10.1 255.255.255.0
 no shutdown

interface vlan 20
 ip address 192.168.20.1 255.255.255.0
 no shutdown

Cảnh báo cấu hình: Lệnh ip routing ở chế độ global configuration là bắt buộc để kích hoạt bộ máy định tuyến Layer 3 trên Switch Cisco.

Sơ đồ: Inter-VLAN Routing bằng SVI

4.5 Cơ chế Cisco Express Forwarding (CEF)

Khác với Router truyền thống thường xử lý gói tin qua CPU, Layer 3 Switch dựa vào phần cứng chuyên dụng (ASIC) để chuyển tiếp. Cisco sử dụng CEF làm công nghệ định tuyến chủ lực. CEF xây dựng hai bảng dữ liệu trong phần cứng:

• FIB (Forwarding Information Base): Chứa thông tin về tuyến đường đã tối ưu.
• Adjacency Table: Cung cấp thông tin địa chỉ MAC đích của chặng kế tiếp (Next-hop MAC).

Ghi nhớ: Sự kết hợp của CEF và phần cứng ASIC giúp Layer 3 Switch duy trì tốc độ định tuyến ngang bằng tốc độ đường truyền (wire-speed).

4.6 Tình huống thực tế: Inter-VLAN Packet Walk

Phân tích quá trình truyền gói tin trong sơ đồ sau:

1
2

PC1 ---- SW-L3 ---- PC2
        VLAN 10    VLAN 20

Thông số:

• PC1: IP: 192.168.10.10/24 | Default Gateway: 192.168.10.1 | VLAN: 10
• PC2: IP: 192.168.20.10/24 | Default Gateway: 192.168.20.1 | VLAN: 20

Tiến trình PC1 ping PC2:

1. PC1 xác định PC2 khác subnet, do đó nó đóng gói MAC đích là địa chỉ MAC của Default Gateway (192.168.10.1).
2. Layer 3 switch nhận được frame trên SVI VLAN 10. Switch sẽ bóc tách header Layer 2.
3. Switch kiểm tra địa chỉ IP đích và tra cứu bảng định tuyến (FIB). Xác định Next-hop là mạng 192.168.20.0/24.
4. Switch đóng gói lại frame mới tại giao diện SVI VLAN 20 với MAC đích của PC2 và chuyển gói tin đi.
5. PC2 tiếp nhận thành công gói tin ICMP.

Quá trình định tuyến liên mạng này hoàn toàn không thể diễn ra nếu thiết bị trung tâm chỉ là một Layer 2 Switch thông thường.

5. Thiết kế và Vận hành

5.1 Phân tích so sánh các thiết bị mạng

5.1.1 So sánh Router và Layer 3 Switch

5.1.2 So sánh Layer 2 Switch và Layer 3 Switch

5.2 Kiến trúc mạng phân tầng (Hierarchical Network Design)

Trong mạng doanh nghiệp, Cisco đề xuất triển khai Switch theo cấu trúc ba lớp:

• Access Layer (Lớp truy cập): Trực tiếp kết nối thiết bị người dùng. Thường triển khai Layer 2 Switch với các tính năng Port Security, VLAN, và PoE.
• Distribution Layer (Lớp phân phối): Gom lưu lượng từ Access Layer. Triển khai Layer 3 Switch để cấu hình Inter-VLAN routing, ACL (Kiểm soát truy cập), và dự phòng.
• Core Layer (Lớp lõi): Xương sống của toàn bộ hệ thống. Sử dụng thiết bị định tuyến hiệu năng cực cao để vận chuyển gói tin nhanh nhất có thể.

Sơ đồ: Mô hình mạng 3 lớp (Three-Tier)

5.3 Tính năng Cấp nguồn qua mạng (PoE)

PoE (Power over Ethernet) là tính năng đặc biệt trên Access Switch, cho phép thiết bị truyền tải nguồn điện trực tiếp qua cáp UTP để cấp nguồn cho thiết bị IP Phone, Wireless Access Point, hoặc Camera an ninh mà không cần adapter rời.

5.4 Các sự cố Switch phổ biến (Troubleshooting)

Khi quản trị mạng, các kỹ sư cần chú ý các lỗi sau:

• Mismatched Duplex: Lỗi bất đồng bộ về chế độ truyền dẫn (một bên Full-duplex, một bên Half-duplex), gây ra hiện tượng rớt gói (packet loss) và suy giảm băng thông.
• Mismatched Speed: Sai lệch cấu hình tốc độ truyền vật lý.
• Access VLAN Configuration: Thiết bị đầu cuối bị gán sai vào VLAN không phù hợp, dẫn đến không thể truy cập tài nguyên.
• Trunking Issues: Lỗi kết nối Trunk do lệch cấu hình Native VLAN, chế độ DTP (Dynamic Trunking Protocol) sai, hoặc các VLAN bị cấm chặn (VLAN not allowed).

5.5 Câu lệnh kiểm tra cấu hình Cisco IOS

Bảng tóm tắt các lệnh xác minh trạng thái hệ thống:

Simulation: Cisco IOS CLI cơ bản trên Switch

6. Tổng kết

6.1 Kiểm tra kiến thức (Knowledge Check)

1. Switch thu thập địa chỉ MAC từ đâu? → Switch chỉ lấy thông tin từ trường Source MAC trong header của frame đầu vào.
2. Switch xử lý Unknown Unicast như thế nào? → Switch sẽ flood (phát tán) frame ra toàn bộ các cổng cùng VLAN, trừ cổng nhận được tín hiệu.
3. Mối quan hệ giữa VLAN và Broadcast Domain? → Trong mô hình logic, một VLAN định nghĩa một Broadcast Domain.
4. Interface SVI đảm nhận vai trò gì? → Đóng vai trò là một interface logic định tuyến (Layer 3) đại diện cho một VLAN, làm Default Gateway cho các thiết bị thuộc VLAN đó.
5. Giao thức 802.1Q có chức năng gì? → Chèn nhãn VLAN (VLAN tag) vào Ethernet frame để phân loại dữ liệu khi đi qua môi trường Trunking.

6.2 Tổng kết nội dung

Đối với Layer 2 Switch:

• Hoạt động thuần túy ở Tầng 2, chuyển tiếp frame thông qua phân tích MAC Address Table.
• Hành vi mặc định: Học thông qua Source MAC, Flood Broadcast và Unknown Unicast.
• Cung cấp cơ chế chia nhỏ Collision Domain qua các cổng và chia nhỏ Broadcast Domain qua cấu hình VLAN.

Đối với Layer 3 Switch:

• Thiết bị kết hợp năng lực Switching Tầng 2 và định tuyến Routing Tầng 3.
• Định tuyến Inter-VLAN qua interface logic SVI, đạt tốc độ chuyển tiếp cao nhờ công nghệ CEF phần cứng.
• Không được thiết kế để hoàn toàn thay thế Router trong các bài toán quy mô lớn ở môi trường WAN/Internet (như NAT, bảo mật sâu).

Khái quát: Layer 2 Switch đóng vai trò kiểm soát lưu lượng cục bộ dựa trên địa chỉ MAC, tương tự một hệ thống phân loại giao thông nội bộ. Layer 3 Switch có khả năng phân luồng mạnh mẽ hơn nhờ bổ sung thêm bộ định tuyến liên mạng (Inter-VLAN), xác định đường đi bằng địa chỉ IP một cách tự động và tối ưu.