Przełącznik (switch) bada docelowe adresy Media Access Control (MAC) i używa bazy filtrowania do wyboru odpowiedniego portu wyjściowego. Może uczyć się lokalizacji urządzeń z adresów źródłowych obserwowanych na przychodzących ramkach zamiast wymagać ręcznej konfiguracji każdego wpisu przekazywania.
Ramki dla znanych celów mogą być przekazywane selektywnie, podczas gdy ruch rozgłoszeniowy (broadcast), istotny multicast i o nieznanym celu może być replikowany do wielu portów w obowiązującej domenie rozgłoszeniowej. Mosty potrzebują też mechanizmów kontroli pętli, bo redundantne ścieżki warstwy 2 mogą w przeciwnym razie krążyć i mnożyć ramki. IEEE 802.1Q specyfikuje zachowanie mostów i wirtualnych sieci lokalnych (VLAN) oraz powiązane funkcje klasy ruchu.
Najważniejsze punkty
Uczenie i starzenieDynamiczne wpisy przekazywania odzwierciedlają niedawne obserwacje adresów źródłowych i wygasają w czasie; wpisy i kontrole statyczne mogą nadpisywać lub ograniczać uczenie.
Zakres przekazywaniaVLAN-y tworzą odrębne domeny rozgłoszeniowe warstwy 2 na współdzielonej infrastrukturze przełączania, a trunki mogą przenosić ruch dla wielu VLAN-ów między skonfigurowanymi urządzeniami.
Projekt bezpieczeństwaChroń zarządzanie przełącznikami, ograniczaj nieużywane porty i tworzenie trunków, kontroluj protokoły warstwy 2 i łącz komutację z uwierzytelnionym dopuszczeniem, filtrowaniem, routingiem i monitorowaniem odpowiednim do ryzyka.
Istotne ograniczeniePrzełącznik lub VLAN nie jest automatycznie godną zaufania granicą bezpieczeństwa. Adresy MAC mogą być sfałszowane, konfiguracja może powodować wycieki ruchu między zamierzonymi strefami, a ataki lub awarie mogą zakłócać uczenie adresów i kontrolę pętli.