二层交换机按 MAC 地址转发，三层交换机还能按 IP 地址「路由」——简单说，二层管「同一个网段内怎么通」，三层管「不同网段之间怎么走」。
当你只需要把设备连起来、划 VLAN 隔离广播，二层足够；当多个 VLAN 要互访、要做子网路由，才需要三层。
维度 | 二层交换机 | 三层交换机 |
工作层级 | 数据链路层（MAC） | 网络层（IP）+ 二层 |
转发依据 | MAC 地址 | MAC + IP 路由 |
VLAN 间互通 | 不能（需上层路由） | 能（自身做路由） |
路由能力 | 无 | 静态/动态路由 |
典型位置 | 接入层 | 汇聚/核心层 |
方案 A：纯二层 + 核心路由器（小型网络）
VLAN 之间要互访，流量得先上到路由器再回来，路由器是瓶颈。
方案 B：三层交换机做核心（中大型网络）
VLAN 间流量在三层交换机内部就路由完了，延迟低、不占路由器带宽。
多 VLAN 且要互访：比如办公网、监控网、设备网彼此隔离又要互通，三层核心一处搞定。
大型网络降广播：按部门/区域划子网，三层控制广播域，网络更稳。
核心本地路由：把 VLAN 间流量留在交换机内，路由器只管出口，性能更好。
小型单网段、所有设备在一个广播域。
只用一台路由器拨号上网、做 NAT，终端都在同一层。
接入层点位：一般二层即可，三层留给汇聚/核心。
误区一：「三层交换机就是路由器。」 三层交换机路由能力有限，通常只做静态和基础的动态路由；NAT、VPN、广域网出口仍靠路由器或防火墙。
误区二：「接入层也要上三层。」 接入层只做接入和 VLAN 划分，用二层更省；三层放在汇聚/核心才有价值。
误区三：「二层不能划 VLAN。」 二层完全能划 VLAN，只是划完各 VLAN 之间默认不通——这正是隔离广播的目的。
误区四：「能网管就是三层。」 网管型二层交换机也能配 VLAN、环网、限速，但不能做 IP 路由，别和三层混淆。
