网管型交换机
非网管、智能与网管交换机比较：VLAN、PoE 与路由
适用于办公室、摄像机与接入点的实用交换机选购指南。比较所需控制功能、计算 PoE 负载，并避免将路由与防火墙保护混为一谈。
办公室有 WiFi 接入点、PoE 摄像机、电话和 NAS。所有设备都能接入廉价交换机，但访客能访问办公设备、摄像机夜间重启，而且无人能看到哪条上联繁忙。仅增加端口不能解决这些问题。缺少的是隔离、供电规划和可视性。
非网管、智能与全网管：有什么不同？
| 交换机类别 | 典型作用 | 购买前应问的问题 |
|---|---|---|
| 非网管 | 提供直接连接，可配置控制功能很少或没有 | 能否接受扁平网络？如何发现故障和环路？ |
| 智能 / 简易网管 | 厂商定义的一部分管理功能 | 实际包含哪些 VLAN、监控、生成树和安全功能？ |
| Layer 2 网管 | 提供有文档说明的网络控制功能的交换 | 是否支持所需 VLAN、链路聚合、环路预防及管理方式？ |
| Layer 2+ / Layer 3 | 增加特定路由功能 | 支持静态还是动态路由？支持多大规模、哪些 ACL 及运行模式？ |
不同厂商和产品系列的标签各不相同。应比较准确的功能表、固件和管理模式，不要假设所有“智能”交换机都相同。对较小场所，Layer 2 网管交换机配合配置良好的网关，通常是实用方案。
VLAN 隔离网络；策略控制访问
VLAN 划分 Layer 2 广播域。常见办公室设计设有员工、访客与摄像机网络，并通过带标签的上联在兼容设备之间承载所需 VLAN。接入端口、AP SSID、网关及地址分配必须符合这一设计。
员工 VLAN
办公设备与获准服务。定义员工可以访问哪些其他网络。
访客 VLAN
按明确的互联网访问和隔离策略提供访客接入。
摄像机 VLAN
摄像机与录像路径，仅开放所需管理及服务访问。
VLAN 编号本身不是访问策略。如果路由器允许这些网络之间的所有流量，交换机上的隔离并不能阻止访客网络访问服务器。应定义允许的流向，并实施适当的网关规则或交换机支持的 ACL。
还应规划管理网络。管理员应有明确途径访问交换机及 AP，而不向访客暴露这些接口。更改管理 VLAN 前，应保留配置备份和获准的恢复路径。
计算每个端口及整台交换机的 PoE 功率
PoE 有两项独立检查：单个端口是否提供设备所需的标准与功率，以及交换机总功率是否足以支持所有连接设备。八个 PoE 端口不代表八个端口能同时输出各自的最大功率。
以规划示例而言，为两个 AP 各预留 25 W、四台摄像机各 12 W、两部电话各 7 W。这些是选定的设计输入，并非指定产品的实测值：
(2 × 25 W) + (4 × 12 W) + (2 × 7 W) = 112 W。
检查实际设备的最大需求、交换机可用总功率、电源配置及线缆损耗，再为启动条件与扩充保留适当余量。不能假设需要 802.3bt 的设备可在 PoE+ 端口上完整运行。 PoE 标准与功率预算指南 解释了这一区别。
端口速率与上联速率解决不同问题
2.5GbE AP 端口可连接多千兆无线接入点，而 10GbE 上联可承载多个接入端口的汇总流量。两者都不会改变 1GbE 客户端或较慢上游服务的速度。
绘出最繁忙的流量路径。同一交换机内的 NAS 传输可能保持本地转发；发往其他楼层、网关或服务器的流量则经过上联。应按实际并发需求配置这条共享路径。同时确认连接器、收发模块或 DAC、光纤类型、距离及散热要求，不只看速率标签。
沿繁忙流量路径检查
- 客户端 / AP
- 接入交换机
- 上联 / 核心
- 服务 / 网关
按实际经过的流量配置共享上联容量。在每一阶段检查链路速率、错误和利用率。
当两端都支持相应配置时，链路聚合可将多个会话分散到成员链路。它通常不会把一条普通连接变成所有成员链路速率的总和。还应确认环路预防：非网管或配置错误的交换机之间连接两条线缆，可能形成破坏性环路。
Layer 3 路由不能替代防火墙
支持路由的交换机可在本地转发 VLAN 之间的流量。设计需要时这可能有用，但在交换机上路由的流量可能不会经过网关的防火墙规则。启用 VLAN 间路由前，应决定在哪里执行策略。
交换机 ACL 可允许或拒绝特定流量，但其功能与行为并不等同于有状态安全网关。VPN 访问、互联网威胁检测及应用控制等需求，应纳入适当的安全设计。不要仅因“L7”听起来更安全就购买交换机。
合规性取决于实际实施的控制、操作与证据，不能从产品描述中的 OSI 层数推断。
两个示例：选择所需的端口组合
该 UniFi USW-Pro-Max-16-PoE 结合 1GbE 与 2.5GbE 接入端口及 10G SFP+ 上联，指定的多千兆端口还提供更高功率的 PoE++。其标称 PoE 总功率为 180 W。应确认哪些物理端口提供所需速率与功率。
该 Omada SG3210XHP-M2 提供八个 2.5GbE PoE+ 接入端口及两个 10G SFP+ 上联，标称 PoE 总功率为 240 W。它说明紧凑型多千兆交换机所适合的接入端口需求，可能与较大的混合速率型号不同。
这些是不同的端口与管理设计，并非普遍适用的赢家和输家。应按所需终端、控制器环境、安装、声学表现及扩充规划匹配型号。高功率 PoE++ 与 PoE+ 并非可互换的功能。
发生故障时，管理功能更显价值
有用的可视信息包括协商链路速率、错误计数、端口利用率、PoE 功耗、事件日志和连接设备信息。网管交换机有助于在更换 AP 之前，区分线缆故障、供电问题和繁忙上联。
- 确认交换机的管理方式：本地界面、控制器、云服务或支持的组合。
- 检查预定管理模式下仍可使用哪些功能。
- 保护管理员账户、更新受支持的固件，并保留配置备份。
- 使用有意义的端口标签，记录线缆及两端设备。
- 规划监控与通知的负责人员，避免警报无人阅读。
如果摄像机在天黑后失去供电或连接， PoE 摄像机离线指南 提供针对性的故障排查顺序。具有合适功率遥测功能的交换机，可让调查更容易。
简明交换机采购清单
先列出终端及其速率与供电需求，再加入上联、备用容量和安装要求。接着明确 VLAN、路由位置、策略执行、环路保护和监控。最后检查控制器、支持生命周期及环境。
对于多楼层或园区项目， 网络咨询服务 可将这份清单转化为拓扑与验收计划。对于有意采用扁平设计的小型网络，较简单的交换机仍可能是合理选择。
常见问题
非网管与网管交换机有什么区别？
非网管交换机通常提供基础连接，没有可配置的网络控制功能。网管交换机提供有文档说明的功能，例如 VLAN 配置、监控和环路保护；具体功能取决于型号。
智能交换机与网管交换机相同吗？
Smart 是厂商为特定功能组合定义的标签。应检查准确的 VLAN、监控、生成树、路由及管理功能，不要只依赖名称。
VLAN 能阻止访客访问办公设备吗？
VLAN 隔离 Layer 2 网络。网络间访问取决于路由和已配置的安全策略。AP、交换机、网关及地址分配设计必须配合。
Layer 3 交换机能替代防火墙吗？
不能。路由和交换机 ACL 不等同于有状态防火墙及其他网关安全服务。除非设计已考虑，否则交换机本地路由也可能绕过网关规则。
多少 PoE 总功率才足够？
将实际终端功率需求相加，检查每个端口的标准及上限，再为预定部署与扩充保留适当余量。端口数量本身不能确定可用总功率。
10GbE 上联会让每台设备都变快吗？
它可缓解共享上联瓶颈，但每台设备仍受自身连接、应用、存储及其余路径限制。
购买所需控制功能，而非层数
在简单连接确实足够的场景使用非网管交换机。 为 VLAN、可视性、PoE 控制与扩充选择有文档说明的网管功能组合。仅在角色与安全影响明确时增加交换机路由。端口组合、功率和完整流量路径，比醒目的类别名称更适合作为采购标准。
