三層交換機工作原理（轉載）
阿新 • • 發佈：2018-05-04
存在 嚴重 文檔 轉發原理 mark 動態 發送 大致 添加
圖2 三層轉發組網
圖2中標明了兩臺主機的MAC、IP地址、網關，以及三層交換機的MAC、不同VLAN配置的三層接口IP。當PC A 向PC B 發起ICMP請求時，流程如下：（假設三層交換機上還未建立任何硬件轉發表項）
1.PC A 首先檢查出目的IP地址2.1.1.2（PC B）與自己不在同一個網段，因此它發出請求網關地址1.1.1.1對應MAC的ARP請求；
2.L3_SW收到PC A 的ARP請求後，檢查請求報文，發現被請求IP是自己的三層接口IP，因此發送ARP應答並將自己的三層接口MAC(MAC S)包含在其中。同時它還會把PC A 的IP 地址與MAC地址對應起來（1.1.1.2<==>MAC A）關系記錄到自己的ARP表項中去（因為ARP請求報文中包含了發送者的IP和MAC）；
3.PC A得到網關（L3_SW）的ARP應答後，組裝ICMP請求報文並發送，報文的目的MAC = MAC S 、源MAC = MAC A 、源ＩＰ＝１.１.１.２、目的IP = 2.1.1.2；
4.L3_SW收到報文後，首先根據報文的源MAC+VID（即VLAN ＩＤ）更新ＭＡＣ地址表。然後，根據報文的目的MAC+VID查找MAC地址表，發現匹配了自己三層接口MAC的表項。這裏說明一下，三層交換機為ＶＬＡＮ配置三層接口ＩＰ後，會在交換芯片的ＭＡＣ地址表中添加三層接口MAC+VID的表項，並且為表項的三層轉發標誌置位。當報文的目的MＡＣ匹配這樣的表項以後，說明需要作三層轉發，於是繼續查找交換芯片的三層表項；
５.芯片根據報文的目的ＩＰ去查找其三層表項，由於之前未建立任何表項，因此查找失敗，於是將報文送到CPU去進行軟件處理；
6.ＣＰＵ根據報文的目的IP去查找其軟件路由表，發現匹配了一個直連網段（PC B對應的網段），於是繼續查找其軟件ARP表，仍然查找失敗。然後L3_SW會在目的網段對應的VLAN3的所有端口發送請求地址2.1.1.2對應MAC的ARP請求；
7.PC B收到L3_SW發送的ARP請求後，檢查發現被請求IP是自己的IP，因此發送ARP應答並將自己的MAC（MAC B）包含在其中。同時，將L3_SW的IP與ＭＡＣ的對應關系（２.１.１.１＜＝＝＞ＭＡＣ Ｓ）記錄到自己的ＡＲＰ表中去；
８.Ｌ３＿ＳＷ收到PC B的ARP應答後，將其IP和MAC對應關系（2.1.1.2<==>MAC B）記錄到自己的ＡＲＰ表中去，並將ＰＣ Ａ的ICMP請求報文發送給PC B，報文的目的ＭＡＣ修改為PC B 的ＭＡＣ（ＭＡＣ Ｂ），源ＭＡＣ修改為自己的ＭＡＣ（ＭＡＣ Ｓ）。同時，在交換芯片的三層表項中根據剛才得到的三層轉發信息添加表項（內容包括IP、ＭＡＣ、出口VLAN、出端口等），這樣後續的PC A發送PC B的報文就可以通過該硬件三層表項直接轉發了；
9.PC B收到L3_SW轉發過來的ＩＣＭＰ請求報文以後，回應ICMP應答給PC A。ICMP應答報文的轉發過程與前面類似，只是由於L3_SW在之前已經得到ＰＣ Ａ的ＩＰ和ＭＡＣ對應關系了，也同時在交換芯片中添加了相關的三層表項，因此這個報文直接由交換芯片硬件轉發給ＰＣ Ａ；
這樣，後續的往返報文都經過查ＭＡＣ表＝＞查三層轉發表的過程由交換芯片直接進行硬件轉發了。
從上述流程可以看書，三層交換正是充分利用了“一次路由（首包ＣＰＵ轉發並建立三層轉發硬件表項）、多次交換（後續包芯片硬件轉發）”的原理實現了轉發性能與三層交換的完美統一。
下面介紹另一種組網情況的三層轉發流程，如圖３所示。
如圖３ 三層轉發組網２
圖３中標明了兩臺主機的ＭＡＣ、ＩＰ地址、網關，以及兩臺三層交換機的ＭＡｃ、不同ＶＬＡＮ配置的三層接口ＩＰ。假設Ｌ３＿ＳＷ１上配置了靜態路由：ｉｐ ｒｏｕｔｅ２.１.１.０ ２５５.２５５.２５５.０ ３.１.１.２；Ｌ３＿ＳＷ２上配置了靜態路由：ｉｐ ｒｏｕｔｅ１.１.１.０ ２５５.２５５.２５５.０ ３.１.１.１。當然，路由信息也可以通過動態路由協議的交互來獲得，有關路由的知識請查閱相關文檔。
這種組網情況下的轉發過程與圖２的組網１情況是類似的，下面的流程講解中降省略部分前面已經分析過的細節問題。當ＰＣA向ＰＣＢ發起ICMP請求時，流程如下：（假設三層交換機上還未建立任何硬件轉發表項）
1.PC Ａ首先檢查出目的ＩＰ地址２.１.１.２（ＰＣ Ｂ）與自己不在同一個網段，因此它通過ＡＲＰ解析得到網關地址１.１.１.１對應的ＭＡＣ（ＭＡＣ Ｓ１）。然後，ＰＣ A組裝ICMP請求報文並發送，報文的目的MAC=MAC S1、源MAC=ＭＡＣ A、源IP=1.1.1.2、目的IP=2.1.1.2；
2.L3_SW1收到報文後，首先根據報文的源MAC+VID更新MAC地址表。然後，根據報文的目的MAC+VID查找MAC地址表，發現匹配了自己三層接口MAC的表項，於是繼續查找芯片的三層轉發表；
3.由於之前未建立任何表項，因此三層轉發表查找失敗，於是將報文送到CPU去進行軟件處理；
4.ＣＰＵ根據報文的目的ＩＰ去查找其路由軟件表，發現匹配路由２.１.１.０／２４，其下一跳ＩＰ地址為３.１.１.２，於是繼續查找３.１.１.２是否有對應的ＡＲＰ，仍然查找失敗。然後Ｌ３＿ＳＷ１在下一跳地址３.１.１.２對應的ＶＬＡＮ４內發起ＡＲＰ請求，並得到Ｌ３＿ＳＷ２的回應，從而得到Ｉ和ＭＡＣ對應關系（３.１.１.２＜＝＝＞ＭＡＣ Ｓ２）；
５.Ｌ３＿ＳＷ１將Ｐｃ A發出的ICMP請求報文轉發給L3_Sw2，報文的目的MAC修改為L3_SW2的MAC（MAC Ｓ２），源ＭＡｃ修改為自己的ＭＡＣ（ＭＡＣ Ｓ１）。同時，將剛剛用到的轉發信息添加到交換芯片的三成轉發表中去，包括匹配的網段２.１.１.０／２４、下一跳地址的ＭＡＣ（ＭＡＣ Ｓ２）、出口ＶＬＡＮ、出端口。這樣，後續發往２.１.１.２的報文就可以直接通過交換芯片硬件轉發了；
６.Ｌ３＿ＳＷ２收到報文後，與組網１中的處理類似，經過查ＭＡＣ表＝＞查三層轉發表＝＞送ＣＰＵ＝＞匹配直連路由＝＞ＡＲＰ解析＝＞轉發報文同時添加硬件表項的過程，將報文轉發給ＰＣ Ｂ，此時報文的目的ＭＡＣ修改為ＰＣ Ｂ的ＭＡＣ（ＭＡＣ Ｂ），源ＭＡＣ修改為Ｌ３＿ＳＷ２的ＭＡＣ（ＭＡＣ Ｓ２）。這樣後續發往２.１.１.２的報文就直接由交換芯片硬件轉發了；
７.ＰＣ Ｂ收到來自ＰＣ Ａ的ＩＣＭＰ請求報文後進行ＩＣＭＰ應答。由於在ＩＣＭＰ請求報文轉發的過程中，每個網段的兩端節點都已經通過ＡＲＰ解析得到了對方的ＩＰ和ＭＡＣ對應關系，因此應答報文的轉發完全由交換芯片完成（查ＭＡＣ表＝＞查三層轉發表＝＞發送）；
這樣，後續的往返報文都經過查ＭＡＣ表＝＞查三層轉發表的過程由交換芯片直接進行硬件轉發了。
從上述兩種組網情況下的轉發流程可以看出，三層交換機的轉發具有以下特點：
１.首包通過ＣＰＵ轉發，同時建立交換芯片硬件表項；後續包由交換芯片直接硬件轉發，即常說的“一次路由、多次交換”；
２.交換芯片的硬件轉發並不關心路由的具體下一跳ＩＰ地址是多少，硬件三層表項中只包含了目的地址（或網段）、目的ＩＰ（或下一跳ＩＰ）對應的ＭＡＣ、出口ＶＬＡＮ、出端口；（這裏說明一下，並不是所有的三層交換機的硬件三層表項都會包含“出端口”的。）
３.ＩＰ報文每經過一次三層轉發，它的源、目的ＭＡＣ都會變化，但是源ＩＰ、目的ＩＰ是始終不變。
在三層交換轉發中，交換芯片（ＡＳＩＣ）起到了至關重要的作用，因此三層交換機的性能和轉發特點主要取決於交換芯片的實現機制。在三層交換原理一節中講解的三層交換原理只是一個大致的轉發流程，對於使用了不同交換芯片的三層交換機，其硬件轉發過程中的一些細節內容是有所區別的。本節主要就硬件三層表項的結構和查表方式介紹幾種不同的實現。
從前面的描述可以看出，三層轉發是必然需要路由信息的，而轉發過程中的路由選擇決定了報文的最終出口如何，三層交換機只是將這種路由功能整合到交換芯片中去了。路由選擇存在精確匹配和最長匹配兩種方式，精確匹配即目的ＩＰ地址與路由的地址信息必須完全吻合，而最長匹配則是選擇所有包含了目的地址的路由中掩碼最長的一條。
早期的三層交換機上，其交換芯片多采用精確匹配的方式，它們的硬件三層表項中只包含其目的ＩＰ地址，並不帶掩碼信息。比如在轉發目的ＩＰ為２.１.１.２的報文時，通過軟件查找匹配了非直路由２.１.１.０／２４，那麽就將２.１.１.２的轉發信息添加到交換芯片中去，如果繼續來了目的ＩＰ為２.１.１.３的報文需要轉發，則需要重新進行軟件查找，並在交換芯片中為２.１.１.３增加新的表項。這樣的選錄方式表項結構對交換芯片的硬件資源要求很高，因為芯片中集成的表項存儲空間是有限的，如果要發大量目的ＩＰ地址不同的報文那麽就需要添加大量的硬件表項。曾經泛濫一時的沖擊波病毒，就導致了當時大量的只支持精確匹配的三層交換機資源耗盡。因為沖擊波病毒的手段之一就是發送巨數量的網段掃描報文，而多數三層交換機上都配置了缺省路由，這樣所有的報文在ＣＰＵ軟件查找都能夠找到匹配路由，進而針對每一個病毒報文的目的ＩＰ都需要新增硬件表項並迅速將硬件資源滿。這樣，大部分用戶的正常數據流由於轉發資源耗盡而得不到高速處理了。
由於精確匹配方式的三層交換機的這種缺陷，後期的三層交換機增加了對最長匹配方式的支持，即硬件三層表項中可同時包含ＩＰ地址和掩碼，在查找時遵循最長匹配原則。這種類型的三層交換機，一般在軟件路由表建立時就將路由信息添加到硬件三層表中去，包括直連路由和非直連路由。對於直連路由，對應的硬件三層表項的“ｔｏ ＣＰＵ”標誌位始終置１，報文的目的ＩＰ匹配這樣的表項被送往ＣＰＵ處理，ＣＰＵ軟件會在直連網段發送ＡＲＰ請求，並將獲取的ＡＲＰ信息作為主機路由添加到硬件表項中（對應的“ｔｏ ＣＰＵ”標誌位置０），這樣後續的同樣目的ＩＰ的報文就直接通過新添加的硬件表項轉發了；對於非直連路由，當下一跳地址對應ＡＲＰ信息還未獲得時，對應的硬件三層表項的“ｔｏ ＣＰＵ”標誌位置１，報文的目的ＩＰ匹配這樣的表項以後被送往ＣＰＵ處理，ＣＰＵ軟件會在下一跳地址對應的直連網段發送ＡＲＰ請求，並使用獲取的ＡＲＰ信息中的下一跳ＭＡＣ、出口ＶＬＡＮ等信息更新對應的硬件三層表項，然後將其“ｔｏ ＣＰＵ”標誌位置０，這樣後續的目的ＩＰ匹配該非直連路由的報文就能夠直接通過修改後的硬件表項轉發了。
目前，大多數的三層交換機均能夠同時支持精確匹配表項和最長匹配表項，一般來說精確匹配表項對應於軟件中的ＡＲＰ表，最長匹配表項對應於軟件中的直連路由和非直連路由。
在交換機三層轉發流程中，曾經提到，硬件三層表項由目的ＩＰ（或網段）、目的ＩＰ（或下一跳ＩＰ）對應ＭＡＣ、出口ＶＬＡＮ、出端口組成，采用這樣表項的三層交換芯片一般直接通過查找三層轉發表項就能夠完成轉發。這種處理機制流程簡單、轉發效率高，但是也使得ＣＰＵ軟件對硬件表項的配置控制比較復雜，因為每當ＩＰ地址對應的ＭＡＣ和物理端口出現變化，就必須對三層轉發表項進行更新。而在交換機上二層信息變化的可能性是比較大的，特別是交換機支持鏈路聚合、生成樹等冗余機制，所以在某些應用環境中ＣＰＵ不得不經常的對三層轉發表進行更新，一旦更新出現問題（特別是出端口錯誤）必然對轉發造成嚴重的不利影響。
不過，並不是所有的三層交換機的硬件三層表項都帶有出端口信息，部分交換芯片使用的硬件表項只包括目的ＩＰ（或網段）、目的ＩＰ（或下一跳ＩＰ）對應的ＭＡＣ、出口ＶＬＡＮ，從轉發流程上來說有以下變化：根據報文的目的ＩＰ查找三層轉發表後，只得到了目的ＩＰ（或下一跳ＩＰ）對應的ＭＡＣ和出口ＶＬＡＮ；然後繼續根據ＭＡＣ＋ＶＩＤ去查找ＭＡＣ地址表，並最終獲得出端口信息，如果查找ＭＡＣ表失敗的話會在出口ＶＬＡＮ進行廣播。這樣的處理機制雖然增加了芯片處理復雜度，但是流程更加清晰合理，ＣＰＵ的處理更加簡單，因為物理出口的變化只需要反映在ＭＡＣ地址表中就可以了，硬件三層表項無需頻繁更新。
路由器的三層轉發主要依靠CPU進行，而三層交換機的三層轉發依靠ASIC芯片完成，這就決定了兩者在轉發性能上的巨大差別。當然，三層交換機並不能完全替代路由器，路由器所具備的豐富的接口類型、良好的流量服務等級控制、強大的路有能力等仍然是三層交換機的薄弱環節。目前的三層交換機一般是通過VLAN來劃分二層網絡並實現二層交換的，同時能夠實現不同VLAN間的三層IP互訪。在討論三層交換機的轉發原理之前有必要交代一下不同網絡的主機之間互訪時的行為：
（1）源主機在發起通信之前，將主機的IP與目的主機的IP進行比較，如果兩者位於同一個網段（用網絡掩碼計算後具有相同的網絡號），那麽源主機直接向目的主機發送ARP請求，在收到目的主機的ARP應答後獲得對方的物理層（MAC）地址，然後用對方MAC作為報文的目的MAC進行報文發送。位於同一VLAN（網段）中的主機互訪時屬於這種情況，這時用於互連的交換機作二層交換轉發；
（2）檔源主機判斷目的主機與主機位於不同的網段時，它會通過網關（Gateway）來遞交報文，即發送ARP請求來獲取網關IP地址對應的MAC，在得到網關的ARP應答後，用網關MAC作為報文的目的MAC進行報文發送。註意，發送報文的源IP是源主機的IP，目的IP仍然是目的主機的IP。位於不同VLAN（網段）中的主機互訪時屬於這種情況，這時用於互連的交換機作三層交換轉發。
為了後續討論的三層交換原理便於理解，這裏簡單介紹一下三層交換機內部結構，如圖1所示：
圖1 三層交換機硬件結構
三層交換機內部的兩大部分是ASID和CPU，它們的作用分別如下：
1.ASIC：完成主要的二三層轉發功能，內部包含用於二層轉發的MAC地址表以及用於IP轉發的三層轉發表；
2.CPU：用於轉發的控制，主要維護一些軟件表項（包括軟件路由表、軟件ARP表等等），並根據軟件表項的轉發信息來配置ASIC的硬件三層轉發表。當然，CPU本身也可以完成軟件三層轉發。
從三層交換機的結構和各部分作用可以看出，真正決定高速交換轉發的是ASIC中的二三層硬件表項，而ASIC的硬件表項來源於CPU維護的軟件表項。
下面分別以兩種組網情況下主機間的通信來解釋三層交換機的轉發原理。
組網１如圖2所示，通信的源、目的主機連接在同一臺三層交換機上，但它們位於不同VLAN（網段）。對於三層交換機來說，這兩臺主機都位於它的直連網段內，它們的IP對應的路由都是直連路由。
圖2 三層轉發組網
圖2中標明了兩臺主機的MAC、IP地址、網關，以及三層交換機的MAC、不同VLAN配置的三層接口IP。當PC A 向PC B 發起ICMP請求時，流程如下：（假設三層交換機上還未建立任何硬件轉發表項）
1.PC A 首先檢查出目的IP地址2.1.1.2（PC B）與自己不在同一個網段，因此它發出請求網關地址1.1.1.1對應MAC的ARP請求；
2.L3_SW收到PC A 的ARP請求後，檢查請求報文，發現被請求IP是自己的三層接口IP，因此發送ARP應答並將自己的三層接口MAC(MAC S)包含在其中。同時它還會把PC A 的IP 地址與MAC地址對應起來（1.1.1.2<==>MAC A）關系記錄到自己的ARP表項中去（因為ARP請求報文中包含了發送者的IP和MAC）；
3.PC A得到網關（L3_SW）的ARP應答後，組裝ICMP請求報文並發送，報文的目的MAC = MAC S 、源MAC = MAC A 、源ＩＰ＝１.１.１.２、目的IP = 2.1.1.2；
4.L3_SW收到報文後，首先根據報文的源MAC+VID（即VLAN ＩＤ）更新ＭＡＣ地址表。然後，根據報文的目的MAC+VID查找MAC地址表，發現匹配了自己三層接口MAC的表項。這裏說明一下，三層交換機為ＶＬＡＮ配置三層接口ＩＰ後，會在交換芯片的ＭＡＣ地址表中添加三層接口MAC+VID的表項，並且為表項的三層轉發標誌置位。當報文的目的MＡＣ匹配這樣的表項以後，說明需要作三層轉發，於是繼續查找交換芯片的三層表項；
５.芯片根據報文的目的ＩＰ去查找其三層表項，由於之前未建立任何表項，因此查找失敗，於是將報文送到CPU去進行軟件處理；
6.ＣＰＵ根據報文的目的IP去查找其軟件路由表，發現匹配了一個直連網段（PC B對應的網段），於是繼續查找其軟件ARP表，仍然查找失敗。然後L3_SW會在目的網段對應的VLAN3的所有端口發送請求地址2.1.1.2對應MAC的ARP請求；
7.PC B收到L3_SW發送的ARP請求後，檢查發現被請求IP是自己的IP，因此發送ARP應答並將自己的MAC（MAC B）包含在其中。同時，將L3_SW的IP與ＭＡＣ的對應關系（２.１.１.１＜＝＝＞ＭＡＣ Ｓ）記錄到自己的ＡＲＰ表中去；
８.Ｌ３＿ＳＷ收到PC B的ARP應答後，將其IP和MAC對應關系（2.1.1.2<==>MAC B）記錄到自己的ＡＲＰ表中去，並將ＰＣ Ａ的ICMP請求報文發送給PC B，報文的目的ＭＡＣ修改為PC B 的ＭＡＣ（ＭＡＣ Ｂ），源ＭＡＣ修改為自己的ＭＡＣ（ＭＡＣ Ｓ）。同時，在交換芯片的三層表項中根據剛才得到的三層轉發信息添加表項（內容包括IP、ＭＡＣ、出口VLAN、出端口等），這樣後續的PC A發送PC B的報文就可以通過該硬件三層表項直接轉發了；
9.PC B收到L3_SW轉發過來的ＩＣＭＰ請求報文以後，回應ICMP應答給PC A。ICMP應答報文的轉發過程與前面類似，只是由於L3_SW在之前已經得到ＰＣ Ａ的ＩＰ和ＭＡＣ對應關系了，也同時在交換芯片中添加了相關的三層表項，因此這個報文直接由交換芯片硬件轉發給ＰＣ Ａ；
這樣，後續的往返報文都經過查ＭＡＣ表＝＞查三層轉發表的過程由交換芯片直接進行硬件轉發了。
從上述流程可以看書，三層交換正是充分利用了“一次路由（首包ＣＰＵ轉發並建立三層轉發硬件表項）、多次交換（後續包芯片硬件轉發）”的原理實現了轉發性能與三層交換的完美統一。
下面介紹另一種組網情況的三層轉發流程，如圖３所示。
如圖３ 三層轉發組網２
圖３中標明了兩臺主機的ＭＡＣ、ＩＰ地址、網關，以及兩臺三層交換機的ＭＡｃ、不同ＶＬＡＮ配置的三層接口ＩＰ。假設Ｌ３＿ＳＷ１上配置了靜態路由：ｉｐ ｒｏｕｔｅ２.１.１.０ ２５５.２５５.２５５.０ ３.１.１.２；Ｌ３＿ＳＷ２上配置了靜態路由：ｉｐ ｒｏｕｔｅ１.１.１.０ ２５５.２５５.２５５.０ ３.１.１.１。當然，路由信息也可以通過動態路由協議的交互來獲得，有關路由的知識請查閱相關文檔。
這種組網情況下的轉發過程與圖２的組網１情況是類似的，下面的流程講解中降省略部分前面已經分析過的細節問題。當ＰＣA向ＰＣＢ發起ICMP請求時，流程如下：（假設三層交換機上還未建立任何硬件轉發表項）
1.PC Ａ首先檢查出目的ＩＰ地址２.１.１.２（ＰＣ Ｂ）與自己不在同一個網段，因此它通過ＡＲＰ解析得到網關地址１.１.１.１對應的ＭＡＣ（ＭＡＣ Ｓ１）。然後，ＰＣ A組裝ICMP請求報文並發送，報文的目的MAC=MAC S1、源MAC=ＭＡＣ A、源IP=1.1.1.2、目的IP=2.1.1.2；
2.L3_SW1收到報文後，首先根據報文的源MAC+VID更新MAC地址表。然後，根據報文的目的MAC+VID查找MAC地址表，發現匹配了自己三層接口MAC的表項，於是繼續查找芯片的三層轉發表；
3.由於之前未建立任何表項，因此三層轉發表查找失敗，於是將報文送到CPU去進行軟件處理；
4.ＣＰＵ根據報文的目的ＩＰ去查找其路由軟件表，發現匹配路由２.１.１.０／２４，其下一跳ＩＰ地址為３.１.１.２，於是繼續查找３.１.１.２是否有對應的ＡＲＰ，仍然查找失敗。然後Ｌ３＿ＳＷ１在下一跳地址３.１.１.２對應的ＶＬＡＮ４內發起ＡＲＰ請求，並得到Ｌ３＿ＳＷ２的回應，從而得到Ｉ和ＭＡＣ對應關系（３.１.１.２＜＝＝＞ＭＡＣ Ｓ２）；
５.Ｌ３＿ＳＷ１將Ｐｃ A發出的ICMP請求報文轉發給L3_Sw2，報文的目的MAC修改為L3_SW2的MAC（MAC Ｓ２），源ＭＡｃ修改為自己的ＭＡＣ（ＭＡＣ Ｓ１）。同時，將剛剛用到的轉發信息添加到交換芯片的三成轉發表中去，包括匹配的網段２.１.１.０／２４、下一跳地址的ＭＡＣ（ＭＡＣ Ｓ２）、出口ＶＬＡＮ、出端口。這樣，後續發往２.１.１.２的報文就可以直接通過交換芯片硬件轉發了；
６.Ｌ３＿ＳＷ２收到報文後，與組網１中的處理類似，經過查ＭＡＣ表＝＞查三層轉發表＝＞送ＣＰＵ＝＞匹配直連路由＝＞ＡＲＰ解析＝＞轉發報文同時添加硬件表項的過程，將報文轉發給ＰＣ Ｂ，此時報文的目的ＭＡＣ修改為ＰＣ Ｂ的ＭＡＣ（ＭＡＣ Ｂ），源ＭＡＣ修改為Ｌ３＿ＳＷ２的ＭＡＣ（ＭＡＣ Ｓ２）。這樣後續發往２.１.１.２的報文就直接由交換芯片硬件轉發了；
７.ＰＣ Ｂ收到來自ＰＣ Ａ的ＩＣＭＰ請求報文後進行ＩＣＭＰ應答。由於在ＩＣＭＰ請求報文轉發的過程中，每個網段的兩端節點都已經通過ＡＲＰ解析得到了對方的ＩＰ和ＭＡＣ對應關系，因此應答報文的轉發完全由交換芯片完成（查ＭＡＣ表＝＞查三層轉發表＝＞發送）；
這樣，後續的往返報文都經過查ＭＡＣ表＝＞查三層轉發表的過程由交換芯片直接進行硬件轉發了。
從上述兩種組網情況下的轉發流程可以看出，三層交換機的轉發具有以下特點：
１.首包通過ＣＰＵ轉發，同時建立交換芯片硬件表項；後續包由交換芯片直接硬件轉發，即常說的“一次路由、多次交換”；
２.交換芯片的硬件轉發並不關心路由的具體下一跳ＩＰ地址是多少，硬件三層表項中只包含了目的地址（或網段）、目的ＩＰ（或下一跳ＩＰ）對應的ＭＡＣ、出口ＶＬＡＮ、出端口；（這裏說明一下，並不是所有的三層交換機的硬件三層表項都會包含“出端口”的。）
３.ＩＰ報文每經過一次三層轉發，它的源、目的ＭＡＣ都會變化，但是源ＩＰ、目的ＩＰ是始終不變。
在三層交換轉發中，交換芯片（ＡＳＩＣ）起到了至關重要的作用，因此三層交換機的性能和轉發特點主要取決於交換芯片的實現機制。在三層交換原理一節中講解的三層交換原理只是一個大致的轉發流程，對於使用了不同交換芯片的三層交換機，其硬件轉發過程中的一些細節內容是有所區別的。本節主要就硬件三層表項的結構和查表方式介紹幾種不同的實現。
從前面的描述可以看出，三層轉發是必然需要路由信息的，而轉發過程中的路由選擇決定了報文的最終出口如何，三層交換機只是將這種路由功能整合到交換芯片中去了。路由選擇存在精確匹配和最長匹配兩種方式，精確匹配即目的ＩＰ地址與路由的地址信息必須完全吻合，而最長匹配則是選擇所有包含了目的地址的路由中掩碼最長的一條。
早期的三層交換機上，其交換芯片多采用精確匹配的方式，它們的硬件三層表項中只包含其目的ＩＰ地址，並不帶掩碼信息。比如在轉發目的ＩＰ為２.１.１.２的報文時，通過軟件查找匹配了非直路由２.１.１.０／２４，那麽就將２.１.１.２的轉發信息添加到交換芯片中去，如果繼續來了目的ＩＰ為２.１.１.３的報文需要轉發，則需要重新進行軟件查找，並在交換芯片中為２.１.１.３增加新的表項。這樣的選錄方式表項結構對交換芯片的硬件資源要求很高，因為芯片中集成的表項存儲空間是有限的，如果要發大量目的ＩＰ地址不同的報文那麽就需要添加大量的硬件表項。曾經泛濫一時的沖擊波病毒，就導致了當時大量的只支持精確匹配的三層交換機資源耗盡。因為沖擊波病毒的手段之一就是發送巨數量的網段掃描報文，而多數三層交換機上都配置了缺省路由，這樣所有的報文在ＣＰＵ軟件查找都能夠找到匹配路由，進而針對每一個病毒報文的目的ＩＰ都需要新增硬件表項並迅速將硬件資源滿。這樣，大部分用戶的正常數據流由於轉發資源耗盡而得不到高速處理了。
由於精確匹配方式的三層交換機的這種缺陷，後期的三層交換機增加了對最長匹配方式的支持，即硬件三層表項中可同時包含ＩＰ地址和掩碼，在查找時遵循最長匹配原則。這種類型的三層交換機，一般在軟件路由表建立時就將路由信息添加到硬件三層表中去，包括直連路由和非直連路由。對於直連路由，對應的硬件三層表項的“ｔｏ ＣＰＵ”標誌位始終置１，報文的目的ＩＰ匹配這樣的表項被送往ＣＰＵ處理，ＣＰＵ軟件會在直連網段發送ＡＲＰ請求，並將獲取的ＡＲＰ信息作為主機路由添加到硬件表項中（對應的“ｔｏ ＣＰＵ”標誌位置０），這樣後續的同樣目的ＩＰ的報文就直接通過新添加的硬件表項轉發了；對於非直連路由，當下一跳地址對應ＡＲＰ信息還未獲得時，對應的硬件三層表項的“ｔｏ ＣＰＵ”標誌位置１，報文的目的ＩＰ匹配這樣的表項以後被送往ＣＰＵ處理，ＣＰＵ軟件會在下一跳地址對應的直連網段發送ＡＲＰ請求，並使用獲取的ＡＲＰ信息中的下一跳ＭＡＣ、出口ＶＬＡＮ等信息更新對應的硬件三層表項，然後將其“ｔｏ ＣＰＵ”標誌位置０，這樣後續的目的ＩＰ匹配該非直連路由的報文就能夠直接通過修改後的硬件表項轉發了。
目前，大多數的三層交換機均能夠同時支持精確匹配表項和最長匹配表項，一般來說精確匹配表項對應於軟件中的ＡＲＰ表，最長匹配表項對應於軟件中的直連路由和非直連路由。
在交換機三層轉發流程中，曾經提到，硬件三層表項由目的ＩＰ（或網段）、目的ＩＰ（或下一跳ＩＰ）對應ＭＡＣ、出口ＶＬＡＮ、出端口組成，采用這樣表項的三層交換芯片一般直接通過查找三層轉發表項就能夠完成轉發。這種處理機制流程簡單、轉發效率高，但是也使得ＣＰＵ軟件對硬件表項的配置控制比較復雜，因為每當ＩＰ地址對應的ＭＡＣ和物理端口出現變化，就必須對三層轉發表項進行更新。而在交換機上二層信息變化的可能性是比較大的，特別是交換機支持鏈路聚合、生成樹等冗余機制，所以在某些應用環境中ＣＰＵ不得不經常的對三層轉發表進行更新，一旦更新出現問題（特別是出端口錯誤）必然對轉發造成嚴重的不利影響。
不過，並不是所有的三層交換機的硬件三層表項都帶有出端口信息，部分交換芯片使用的硬件表項只包括目的ＩＰ（或網段）、目的ＩＰ（或下一跳ＩＰ）對應的ＭＡＣ、出口ＶＬＡＮ，從轉發流程上來說有以下變化：根據報文的目的ＩＰ查找三層轉發表後，只得到了目的ＩＰ（或下一跳ＩＰ）對應的ＭＡＣ和出口ＶＬＡＮ；然後繼續根據ＭＡＣ＋ＶＩＤ去查找ＭＡＣ地址表，並最終獲得出端口信息，如果查找ＭＡＣ表失敗的話會在出口ＶＬＡＮ進行廣播。這樣的處理機制雖然增加了芯片處理復雜度，但是流程更加清晰合理，ＣＰＵ的處理更加簡單，因為物理出口的變化只需要反映在ＭＡＣ地址表中就可以了，硬件三層表項無需頻繁更新。
這兩種處理方式的交換芯片各有優勢，不同廠商會根據成本、可靠性、產品定位等各方面因素來進行選擇，這也使得不同型號的三層交換機在同一應用環境中可能有不同的表現。
三層交換機工作原理（轉載）