Switch oder Router – die Frage klingt einfach, und doch wird sie häufig falsch beantwortet. Der Unterschied liegt nicht in der Größe oder im Preis, sondern darin, auf welcher Ebene die Geräte arbeiten und welche Informationen sie für ihre Entscheidung nutzen.
Die grundlegende Unterscheidung
SWITCH - arbeitet auf Ebene 2 (Sicherungsschicht)
Entscheidet anhand der MAC-Adresse (physische Adresse)
Baut eine Weiterleitungstabelle auf:
"MAC aa:bb:cc -> Port 7"
Lernen durch Beobachten: Quelladresse eines
eingehenden Rahmens + Eingangsport
Weiterleitung: Ziel-MAC nachschlagen, an den
passenden Port senden
Unbekannte Zieladresse: an ALLE Ports (Flut!)
# Ein Switch trennt Kollisionsbereiche, nicht
# aber Netzwerke (Broadcasts gehen durch).
ROUTER - arbeitet auf Ebene 3 (Vermittlungsschicht)
Entscheidet anhand der IP-Adresse
Nutzt eine Routingtabelle:
"10.0.0.0/24 ist ueber 10.0.0.1 erreichbar"
Verbindet VERSCHIEDENE Netzwerke
Baut die MAC-Adresse des naechsten Hops neu auf
Sendet NICHT an unbekannte Ziele - verwirft
# Ein Router trennt Netzwerke UND Broadcast-Domaenen.
Merksatz:
Ein Switch bringt Verbindungen INNERHALB
eines Netzwerks zustande.
Ein Router verbindet Netzwerke MITEINANDER.
Heute verschwimmen die Grenzen:
Ein "Layer-3-Switch" routet zwischen VLANs
(IP-Adressen), aber ohne NAT, VPN, Firewall.
Ein "Router" kann mehrere Switch-Ports haben.
Eine "Firewall" ist ein Router mit Regeln und
Zustandsverfolgung.
# Die Zuordnung richtet sich nach der AUFGABE,
# nicht nach dem Gehaeusenamen.Was das praktisch bedeutet
Wann ein Switch genuegt:
- Mehrere Geraete im gleichen Netz
- Sie muessen sich gegenseitig erreichen
- Ein DHCP-Server versorgt alle
# Beispiel: Ein Bueronetz mit 20 Arbeitsplaetzen,
# einem Server, einem Drucker.
# -> Ein Switch, kein Router.
Wann ein Router (oder L3-Switch) noetig ist:
- Trennung von Netzwerken (Technik/Buer/Gaeste)
# Sicherheit: Ein Gastzugang muss vom Buer getrennt sein!
# -> Ein VLAN allein trennt nur auf Ebene 2; fuer
# die Trennung auf IP-Ebene braucht es Routing
# UND Filterregeln.
- Verbindung zum Internet (NAT, Firewall)
- Verbindung zwischen Standorten (VPN)
- Netzwerke mit mehr als ca. 500 Geraeten
(Broadcast-Last)
# Beispiel: Gaestewlan, Techniknetz, Servernetz,
# Internetanbindung -> Router/L3-Switch mit
# Filterregeln.
Wann eine Firewall noetig ist (und nicht nur ein Router):
- Wenn REGELN gebraucht werden (wer darf wohin)
- Wenn Zustandsverfolgung gebraucht wird
(Antwortverkehr automatisch erlauben)
- Wenn Protokollierung gebraucht wird
# Ein reiner Router laesst alles durch.
# Ein Router mit Filterregeln IST eine Firewall -
# die Begriffe vermischen sich zu Recht.Einsatz in virtualisierten Umgebungen
# In Containern und virtuellen Maschinen sind
# dieselben Konzepte, nur virtuell:
# Docker: standardmaessig eine Bruecke (bridge)
docker network create --subnet 172.20.0.0/16 mein_netz
# -> Das ist ein virtueller Switch!
# Container im gleichen Netz sehen sich wie
# Geraete an einem Switch.
# Container in VERSCHIEDENEN Netzen sind getrennt -
# wie zwei VLANs ohne Router. Sie brauchen
# Weiterleitung (Router-Container, Host-Routing).
# Kubernetes: Netzwerkmodell
# Jeder Pod hat eine eigene IP, alle Pods
# erreichen sich (flaches Netz - logisch ein Switch)
# Netzwerkrichtlinien (NetworkPolicy) sind die
# Filterregeln (Firewall!) zwischen Pods
#
# Beispiel NetworkPolicy: Datenbank nur fuer die Anwendung
# apiVersion: networking.k8s.io/v1
# kind: NetworkPolicy
# metadata: {name: db-nur-api, namespace: prod}
# spec:
# podSelector:
# matchLabels: {app: datenbank}
# policyTypes: [Ingress]
# ingress:
# - from:
# - podSelector:
# matchLabels: {app: api}
# ports:
# - {protocol: TCP, port: 5432}
# # OHNE solche Richtlinien ist das Kubernetes-Netz
# # ein flaches Netz: Jeder Pod kann jeden erreichen.
# # Das ist der Standard - und ein Sicherheitsproblem.
# Wirklich abgeschirmte Container (starke Trennung):
# Kata Containers, gVisor - jede Last bekommt
# einen eigenen Kernel bzw. eine Systemaufruf-Schicht.
# # Mehr Aufwand, mehr Isolation.Auswahlkriterien für Hardware
SWITCH
Portzahl und Typ
- Anzahl der Geraete + Wachstumsreserve
- Geschwindigkeit: 1G reicht meist, 10G fuer Server
- Uplink (Glasfaser fuer Strecken ueber 100 m!)
Durchsatz (Weiterleitungsleistung)
- Muss kleiner sein als die Summe der Ports
(bei 48x1G etwa 96 Gbit/s, also volle Parallelitaet)
Puffergroesse
- Kleine Puffer bei vielen gleichzeitigen
grossen Uebertragungen fuehren zu Verlusten
Funktionen
- VLAN (802.1Q) - eigentlich Pflicht
- Port-Spiegelung (Fuers Mitschnitt!) - wichtig
- LACP/Bonding
- Management (SSH, SNMP) - fuer Ueberwachung
Stromversorgung
- PoE fuer Kameras/Telefone/Access Points?
- Zwei Netzteile bei kritischen Switches
# Wichtig: Bei gestapelten Switches das Stapelkabel
# redundant fuehren (Schleife!) - sonst ist ein
# Kabelausfall ein Netzausfall.
ROUTER / FIREWALL
Durchsatz MIT eingeschalteten Regeln
# Datenblattwerte gelten oft ohne Regeln und
# ohne VPN! Der Wert mit 500 Regeln und VPN
# ist 5-10x niedriger. Immer diesen Wert fragen.
Gleichzeitige Verbindungen (Verbindungstabelle)
# Bei HTTPS viele kurze Verbindungen:
# 10.000 Nutzer = 30.000-50.000 gleichzeitige
Neue Verbindungen pro Sekunde
VPN-Durchsatz (je Tunnel und in Summe)
Redundanz (zwei Geraete, Hochverfuegbarkeit)
Protokollierung und Auswertung
# Und: Updates! Ein Router, der keine Sicherheitsupdates
# bekommt, ist ein Einfallstor. Beim Kauf pruefen,
# wie lange der Hersteller Updates liefert.
WLAN ACCESS POINT (heute meist "Router" im Baumarkt)
# WICHTIG: Der Baumarktrouter ist Router, Switch,
# Access Point, Firewall und DHCP in einem.
# Fuer ein Unternehmen ist das oft ausreichend -
# aber:
# - Trennung Gastzugang pruefen!
# - Kein Herstellerzugriff in die Cloud
# - Keine automatische Firmware ohne Kontrolle
# - Updateverfuegbarkeit
# Fuer mehrere Access Points: zentrale Verwaltung
# (Controller), Funkfeldausleuchtung planen,
# Roaming zwischen Punkten (802.11r/k/v),
# Kanäle koordinieren (2,4 GHz: nur 1, 6, 11 nutzen).
# Fuer Gaestezugang: eigenes VLAN + Captive Portal.Prüfliste
- Ist klar, welche Geräte in welchem Netz liegen sollen (Netztrennung)?
- Sind Gästenetze vom Produktivnetz getrennt (auf IP-Ebene, nicht nur WLAN-Passwort)?
- Unterstützen die Switches VLANs (802.1Q)?
- Ist Port-Spiegelung für Mitschnitte möglich?
- Sind die Switches überwachbar (SNMP, Syslog)?
- Ist die Uplink-Geschwindigkeit ausreichend (Glasfaser über 100 m)?
- Ist der Durchsatz der Firewall mit Regeln und VPN geprüft?
- Ist die Verbindungstabelle groß genug für die Nutzerzahl (mit Faktor 3–5)?
- Sind die WLAN-Kanäle koordiniert (2,4 GHz: 1, 6, 11)?
- Gibt es eine Updatequelle für alle Netzkomponenten?
- Ist die Management-Oberfläche in einem eigenen Netz?
- Sind übergangsweise Geräte im Inventar mit Supportende erfasst?
Häufige Fehler
- Gästenetz nur per WLAN-Passwort getrennt. Ohne VLAN und Firewallregeln kann ein Gast die Produktivsysteme erreichen.
- Datenblattdurchsatz geglaubt. Der Wert gilt ohne Regeln, ohne VPN. Mit 500 Regeln und VPN bricht die Leistung ein.
- Verbindungstabelle zu klein. Bei HTTPS entstehen viele kurze Verbindungen. Zu klein = Verbindungsabbrüche, die niemand erklären kann.
- Glasfaser über Kupfer. Über 100 m braucht es Lichtwellenleiter – Punkt.
- Stapelkabel nicht redundant. Ein Kabelausfall legt den ganzen Stapel lahm.
- Keine Port-Spiegelung. Ohne sie wird die Fehlersuche zur Ratestunde – ein Tcpdump auf dem Server hilft nicht bei einem Switch-Problem.
- Baumarktrouter im Unternehmen ohne Prüfung. Herstellerzugriff in die Cloud, unbemerkte Firmware-Aktualisierung, ungeprüfte Fernwartung.
- WLAN-Kanäle überlappen. Alle auf Kanal 1 oder „automatisch“: Durchsatz bricht ein.
- Management-Interface im Produktivnetz. Ein Switch mit Verwaltungszugang am Büro-Netz ist ein Einfallstor.
- Netzwerktopologie nicht dokumentiert. Bei einem Ausfall sucht man im Dunkeln. Eine einfache Zeichnung, aktuell gehalten, spart Stunden.
Verwandte Grundlagen: NAT und Portweiterleitung, Firewall, nftables, VLAN.