Diferença entre switch e roteador (e quando um switch L3 substitui o roteador)

A diferença entre switch e roteador está em qual rede cada um atende: o switch liga os equipamentos de uma mesma rede local e encaminha os quadros pelo endereço MAC (camada 2 do modelo OSI); o roteador liga redes diferentes entre si — a rede local à internet, ou uma sub-rede a outra — e encaminha os pacotes pelo endereço IP (camada 3). Portanto, um switch comum não é um roteador. O que confunde é que existem switches de camada 3, que roteiam entre VLANs, e “roteadores” domésticos que trazem um switch embutido.

Este guia explica o que cada um faz por dentro, onde as funções se sobrepõem, quando um switch L3 substitui um roteador e quando não substitui, com um exemplo de rede de empresa montado do zero.

O que é um switch de rede e para que serve

O switch é o equipamento que concentra os cabos da rede local: computadores, impressoras, câmeras, servidores, pontos de acesso Wi-Fi e CLPs se ligam às suas portas. Ele trabalha com quadros Ethernet e com endereços MAC (48 bits, gravados na placa de rede de cada equipamento).

Como o switch decide para onde mandar

• Aprende: a cada quadro recebido, anota numa tabela (tabela MAC ou CAM) o MAC de origem e a porta por onde ele chegou.
• Encaminha: se o MAC de destino está na tabela, envia o quadro só para aquela porta.
• Inunda: se o destino é desconhecido, ou se é broadcast, envia para todas as portas da mesma VLAN, menos a de origem.
• Esquece: entradas que não se repetem expiram após um tempo de envelhecimento (o padrão IEEE 802.1D recomenda 300 s), para acompanhar equipamentos que mudam de lugar.

Na comutação store-and-forward, o switch recebe o quadro inteiro e confere o FCS antes de encaminhar, descartando quadros corrompidos; na cut-through, começa a encaminhar assim que lê o endereço de destino, com menor latência, mas repassa quadros com erro.

Cada porta do switch é um domínio de colisão separado, mas todas as portas da mesma VLAN formam um só domínio de broadcast. O switch não olha endereço IP e não sabe o que é “internet”: sozinho, ele só liga quem está na mesma rede.

O que é um roteador e para que serve

O roteador trabalha com pacotes IP. Cada interface dele pertence a uma rede diferente (por exemplo, 192.168.1.0/24 na LAN e o IP público do provedor na WAN). Para cada pacote, ele:

1. lê o IP de destino;
2. consulta a tabela de rotas e escolhe a rota mais específica que cobre aquele destino (a de prefixo mais longo); se nenhuma cobre, usa a rota padrão (0.0.0.0/0);
3. decrementa o TTL do IPv4 (ou o Hop Limit do IPv6) e descarta o pacote se chegar a zero — é isso que impede pacotes de circular para sempre;
4. reescreve o cabeçalho Ethernet com o MAC do próximo salto e envia pela interface de saída.

Roteadores não repassam broadcast de uma rede para outra: é por isso que eles separam domínios de broadcast. Na borda da rede, o roteador ainda costuma acumular funções que um switch não tem: NAT (vários equipamentos saindo por um IP público), firewall com inspeção de estado, servidor DHCP, VPN e interfaces de WAN (PPPoE, fibra do provedor, 4G/5G).

Diferença entre switch e roteador: tabela comparativa

Switch L3 vs roteador: onde as funções se encontram

O switch de camada 3 é um switch que também roteia. Ele cria uma interface IP virtual para cada VLAN (SVI) e encaminha pacotes entre VLANs no mesmo ASIC que comuta os quadros, na velocidade das portas. Suporta rotas estáticas e, conforme o modelo, protocolos de roteamento como RIP e OSPF. Na linha IRD.Net há switches gerenciáveis de camada 3 de 8 a 48 portas Gigabit com uplinks SFP+ 10G.

Quando o switch L3 substitui o roteador

Dentro da rede: rotear entre VLANs de setores, de CFTV, de telefonia e de automação, com muitos gigabits por segundo de tráfego interno. Fazer isso num roteador de borda transformaria o roteador em gargalo — todo tráfego entre setores subiria até ele e voltaria.

Quando não substitui

Na saída para a internet. Em geral o switch L3 não faz NAT, não tem firewall com inspeção de estado, não termina VPN e não tem interface de WAN do provedor. Por isso a arquitetura comum é: switch L3 no núcleo da LAN roteando entre VLANs, e roteador ou firewall na borda fazendo NAT e segurança. Verifique sempre a ficha do modelo — os recursos variam entre fabricantes e linhas.

Para entender as diferenças entre L2, L2+ e L3 com mais detalhe, veja switch L2, L2+ e L3: diferença e como escolher.

E o “roteador Wi-Fi” de casa?

É três equipamentos numa caixa: um roteador (porta WAN, NAT, DHCP, firewall), um switch pequeno (as 3 ou 4 portas LAN) e um ponto de acesso Wi-Fi. Quando faltam portas, liga-se um switch numa porta LAN dele — e esse switch apenas amplia a mesma rede, sem criar outra.

Exemplo prático: rede de uma empresa com três setores

Uma empresa quer separar administrativo, câmeras e automação da fábrica, e dar internet ao administrativo.

1. Acesso: switches de borda (PoE para as câmeras) recebem os equipamentos e marcam cada porta na sua VLAN (IEEE 802.1Q). Para pontos que só precisam de mais portas, sem VLAN, um switch não gerenciável basta; onde há VLAN, o switch precisa ser gerenciável.
2. Núcleo: o switch L3 recebe os uplinks em trunk 802.1Q, tem uma SVI por VLAN e roteia entre elas. Listas de acesso (ACL) definem quem fala com quem — por exemplo, o administrativo vê o servidor de gravação do CFTV, mas a VLAN 30 não aceita conexões vindas das outras.
3. Borda: uma VLAN de trânsito liga o switch L3 ao roteador/firewall (por exemplo, 10.0.0.0/30, com 10.0.0.1 no switch e 10.0.0.2 no roteador), e a rota padrão do switch L3 aponta para o roteador (0.0.0.0/0 → 10.0.0.2). O roteador faz o NAT para o IP público e, como não conhece as redes 10.0.x.0, recebe rotas de volta para elas apontando para o switch L3 (10.0.0.1).

Resultado: o tráfego entre setores fica no núcleo, na velocidade do switch; só o que vai para a internet passa pelo roteador. Uma câmera não alcança o CLP, e um broadcast da fábrica não chega aos computadores do escritório.

Erros comuns ao combinar switch e roteador

• Dois servidores DHCP na mesma rede: um segundo roteador Wi-Fi ligado pela porta LAN, com DHCP ativo, entrega endereços errados para metade dos equipamentos. Use-o como ponto de acesso, com DHCP desligado.
• NAT duplo: um roteador atrás do roteador do provedor, ambos fazendo NAT — quebra acesso remoto, VPN e redirecionamento de portas.
• Esperar que o switch separe redes: sem VLAN e roteamento, todos os equipamentos ligados ao switch estão na mesma rede e no mesmo domínio de broadcast.
• Laço de cabo entre switches sem Spanning Tree (IEEE 802.1D/802.1w) habilitado: tempestade de broadcast que derruba a rede inteira em segundos.
• Rotear entre VLANs pelo roteador de borda num único cabo (“router on a stick”) com muito tráfego interno — funciona, mas limita a velocidade ao link e à CPU do roteador.
• Esquecer a rota de retorno: o switch L3 sabe sair para a internet, mas o roteador não sabe voltar para as sub-redes internas.

Perguntas Frequentes

Qual a diferença entre switch e roteador?

O switch liga equipamentos da mesma rede local e decide pelo endereço MAC (camada 2). O roteador liga redes diferentes, como a LAN e a internet, e decide pelo endereço IP (camada 3), além de oferecer NAT, firewall e VPN.

Switch é um roteador?

Não. O switch comum (camada 2) não roteia. O switch de camada 3 roteia entre VLANs da rede interna, mas em geral não substitui o roteador de borda, porque não faz NAT, firewall com inspeção de estado nem VPN.

O que é um switch de rede?

É o equipamento com várias portas Ethernet que interliga computadores, câmeras, servidores e outros dispositivos numa rede local, enviando cada quadro só para a porta do destinatário com base na tabela de endereços MAC.

Switch serve para quê?

Para multiplicar portas e ligar todos os equipamentos de uma rede local entre si. Em modelos gerenciáveis, também para separar a rede em VLANs, priorizar tráfego (QoS), alimentar câmeras e telefones por PoE e monitorar as portas.

Dá para usar só um switch, sem roteador?

Sim, se os equipamentos só precisam conversar entre si na mesma rede e com IPs fixos, como numa rede de automação isolada. Para acessar a internet ou outra rede, é preciso um roteador (ou um switch L3, no caso de redes internas).

Switch L3 ou roteador: qual escolher?

Switch L3 para rotear entre VLANs dentro da empresa, com alto volume de tráfego. Roteador ou firewall para a saída à internet, com NAT, VPN e regras de segurança. Na maioria das redes corporativas, os dois trabalham juntos.