网络设备厂商 L1-L7
「网络设备」这一组共 17 家厂商 / 机构，每一家都按 L1～L7 分层整理：那一层它卖什么、哪一层是它的主场。
思科
主场：L2 / L3
L1 物理层
思科在 L1 的产品线从相干光传输（NCS）一直覆盖到光模块、纳秒级一层交换（Nexus 3550）、分支 CPE（Catalyst 8000）与无线射频（Catalyst 9100 / Meraki MR）。这一层的两个关键判断：原厂光模块相对第三方有 5–10 倍溢价，以及思科近年力推的 Routed Optical Networking（可插拔 ZR+ 直插路由器、省掉独立波分层）是否适合你的规模。
L2 数据链路层
L2 是思科最核心的收入与技术根基：数据中心的 Nexus、园区的 Catalyst 两条产品线覆盖了绝大多数企业的交换需求。这一层最大的选型分岔是 Fabric 路线——ACI（策略驱动、白名单默认、深度绑定思科）还是 NX-OS 上的标准 VXLAN EVPN（可多厂商、运维靠自己），这个决定会影响未来五到十年的架构与团队技能。
L3 网络层
思科在 L3 有两套并行的产品线：面向运营商与超大规模的 IOS-XR 平台（Cisco 8000 / NCS / ASR 9000），以及面向企业的 IOS-XE 平台（Catalyst 8000 + SD-WAN）。选型时最常见的误区是拿园区交换机去做互联网边界——Catalyst 的 FIB 装不下完整互联网路由表，边界必须用 NCS 5500 这类大 FIB 平台。
L4 传输层
这一层要如实说明一个空白：思科早在 2010 年代就停掉了 ACE（Application Control Engine）应用交付产品线，之后没有再做独立的负载均衡设备。所以思科栈里的 L4 答案不是「买一台 LB」，而是用 Nexus ITD 在交换机上做线速分发、用防火墙做有状态四层管控、用 ACI 契约与 SGACL 做端口级策略；需要七层 ADC 与 SSL 卸载时必须引入 F5、NetScaler 或开源方案。
L5 会话层
思科在 L5 有两块内容是其他厂商域没有的：一是协作与语音产品线（CUCM、Webex Calling、CUBE 会话边界控制器）——SIP 呼叫的建立与维持本质就是会话层；二是以 Duo + ISE 为核心的会话级信任体系，可以在会话进行中通过 RADIUS CoA 改变授权。远程接入这块思科正从 AnyConnect/VPN 路线向 Secure Access（SSE/ZTNA）迁移，两条路线目前并存。
L6 表示层
思科在这一层的重点不是「卖密码产品」，而是让庞大的设备与协作体系里的证书能正常运转——这也是思科运维最容易出事的地方：ISE、CUCM、Expressway 的证书过期几乎年年造成业务中断。另外两块要如实说明：思科没有 KMS/HSM 产品线（需第三方补位），以及 WAAS（WAN 优化与压缩）已停产。
L7 应用层
思科在 L7 的强项集中在「出向安全」与「体验可观测」两块：Umbrella 的 DNS 层拦截是其最有效的安全资产之一，AppDynamics 与 ThousandEyes 覆盖了应用与网络两端的体验。但要如实说明两个空白：思科没有 WAF 产品线（入向 Web 应用防护要靠 F5/Imperva/Cloudflare），也没有 CDN。所以思科栈里的 L7 是「出向强、入向弱」。
跨层 · 管控与运营
这一层是思科近年投入最重也最需要如实评价的地方：收购 Splunk（2024）补齐了 SIEM 与可观测的短板，但同时带来产品线重叠；而管控平面的碎片化是思科客户长期的真实痛点——园区用 Catalyst Center、数据中心用 Nexus Dashboard、SD-WAN 用 vManage、云管用 Meraki Dashboard、协作用 Control Hub、安全用 Security Cloud Control，六七个平台并存且互不统一。
Arista
主场：L3 / L4
L1 物理层
Arista 在 L1 的定位很清晰：只做以太网交换硬件与射频接入，不做光传输（波分与相干光交给第三方可插拔模块与光层厂商）。它最实质的成本优势在这一层——Arista 对第三方光模块友好，不做编码锁定，同规格光模块的采购成本通常只有原厂锁定方案的 20–40%，在插满 400G/800G 的机房里这笔差价与整机同量级。
L2 数据链路层
L2 是 Arista 的主战场与技术根基。它最核心的差异化不是某个硬件规格，而是 EOS 这套操作系统：单一镜像覆盖全平台、基于未修改的 Linux 内核、用 SysDB 做状态共享——这套架构直接带来了配置一致性、可编程性与升级平滑度上的优势。另一个实质差异是许可模型：EOS 的绝大多数功能含在设备内，没有像某些厂商那样把 EVPN 或遥测放到更高许可层，报价与预算简单得多。
L3 网络层
Arista 在 L3 的定位很特别：它不卖「路由器」，而是用深缓存大 FIB 的交换平台（7280R/7500R/7800R）承担路由器的活——FIB 可达 200 万+ 路由，能接完整互联网路由表做 Peering 与跨城 DCI。这条路线的实际收益是架构简化：一台 7500R 同时做 spine 与 border 可以少建一层网络。WAN 侧的 WAN Routing System 是较新的产品线，份额与成熟度不及思科与 VMware，选型时要客观评估。
L4 传输层
这一层要如实说明两处空白：Arista 没有负载均衡/ADC 产品（也没有思科 ITD 那样的交换机内流量分发功能），也没有有状态防火墙。所以四层的「转发与放行」职责要靠 ECMP/Anycast 加第三方 LB 与防火墙。但 Arista 在这一层有两块真实强项：一是深缓存与无损以太网（PFC/ECN/DCQCN）的拥塞控制能力，这是 AI 与存储网络的关键；二是 DANZ 与 DANZ Monitoring Fabric 提供的流量可见性与时延分析，在金融与大型 IDC 里口碑很好。
L5 会话层
这一层要如实说明 Arista 的定位：它是网络基础设施厂商，不做 VPN 客户端、不做 MFA 与身份平台、不做 PAM、不做协作产品。所以「会话层」在 Arista 域里的真实内容只有三块：设备自身的管理会话治理（AAA/TACACS+/config session）、转发面的会话状态行为（无状态 ACL、ECMP 哈希粘性、切换对连接的影响）、以及 Arista NDR 提供的会话级可见性。用户与应用侧的会话能力（远程接入、准入、身份）全部需要第三方补位。
L6 表示层
Arista 在这一层的自有内容集中在两块：MACsec 线速链路加密（含密钥协商 MKA，且不额外收许可，这是相对部分厂商的成本优势）与设备/CloudVision 的证书体系。要如实说明的空白是密钥管理——Arista 没有 KMS 与 HSM 产品，企业密钥托管必须靠第三方或云原生服务。加密算法与合规方面提供 FIPS 模式与标准算法集，但国密适配基本没有，涉及商密合规的项目需另作规划。
L7 应用层
这一层必须如实说明：Arista 在应用层几乎没有产品。没有 WAF、没有 CDN、没有 DNS 安全、没有邮件安全、没有 SWG/SASE、没有 API 安全、没有 APM。它的自有资产只有两项与应用层有关——Arista NDR 能做部分应用层协议的异常检测，DANZ/DMF 能把流量导给第三方分析工具。所以在 Arista 网络里，L7 的全部安全与可观测能力都要外购，架构上要在早期就把分工画清楚。
跨层 · 管控与运营
这是 Arista 相对最强的一层，也是它对标思科的核心卖点：全线产品跑同一个 EOS 镜像（不是 IOS/IOS-XE/NX-OS/IOS-XR 那样的多内核并存），管控面基本收敛到 CloudVision 一个平台，多数路由与 EVPN 功能不做许可分级，加上 AVD 开源工具链。要客观说明的代价有三点：CloudVision 是按设备年订阅，规模大时费用可观，部分抵消了「功能免费」的优势；CloudVision 只管 Arista，混厂商环境仍需另一套工具；生态规模、认证工程师数量与国内服务覆盖都明显小于思科与华为，这是选型时的人力与支持风险。
Juniper
主场：L3
L1 物理层
Juniper 在物理层的自有内容集中在硬件平台与可插拔光模块：PTX（骨干）、MX（边缘与汇聚）、QFX（数据中心）、EX（园区）、ACX（城域与移动回传）、Mist AP（无线射频）覆盖了从接入到骨干的形态。有两处值得单独说明：一是时钟同步（PTP/SyncE）在 ACX/MX 上做得扎实，这是移动回传与 5G 前传的硬需求，也是它相比纯数据中心厂商的一处差异；二是光传输——Juniper 没有强势的独立 DWDM 平台，其路线是把 400G ZR/ZR+ 相干光直接插进路由器做 IP over DWDM，跨城长距场景仍需 Ciena、Infinera、华为或运营商方案。
L2 数据链路层
二层是 Juniper 的传统强项之一，核心在 EVPN-VXLAN：Junos 的 EVPN 实现成熟度高、入场早，ESI-LAG 做多归属在标准化程度上优于各家私有堆叠方案，是 Juniper 在数据中心最有说服力的技术资产。园区侧 EX 配合 Mist 云管，并且与 Arista 不同的是 Juniper 有自己的准入产品（Mist Access Assurance 云托管 NAC），这补上了一块很多网络厂商缺失的能力。要客观说明两点：QFX 在数据中心交换的份额小于 Cisco 与 Arista；Virtual Chassis 这类传统堆叠已让位于 EVPN-VXLAN，新建项目不宜再按堆叠思路设计。
L3 网络层
三层是 Juniper 最强的一层，也是它与 Arista 差异最大的地方。MX 系列是业界经典的业务边缘路由器，BNG（宽带用户接入管理）、CGNAT、MPLS/L3VPN、NG-MVPN 这些运营商级能力覆盖完整——而这些恰恰是 Arista 完全没有的。PTX 面向骨干大容量转发，Junos 的路由与策略语言表达力强、MPLS 实现历史悠久且成熟，Flowspec 也是 Juniper 早期主推的标准。选型上最关键的判断是 MX（Trio 芯片、业务丰富、单端口成本高）与 PTX（Express 芯片、大容量转发、业务较少、单比特成本优）的分工，选错会导致为用不上的业务能力付费，或者缺功能。
L4 传输层
这一层 Juniper 的强项有两块：一是 SRX 的有状态防护（会话表、NAT、连接跟踪），这与 Arista 只有无状态 ACL 形成明显对照；二是 MX 的层次化 QoS（HQoS），按用户、业务、端口分层调度，是宽带与专线业务计费的基础，依赖 Trio 芯片支持而非软件功能。另外 Junos 内建的控制面 DDoS 防护（按协议分别限速）实现细致，是这层一个被低估的免费能力。要如实说明两处空白：没有 ADC/负载均衡产品线，四层分发靠 ECMP 加第三方；也没有 Arista DMF 那样的分组代理产品，大规模流量采集需 Gigamon 类第三方方案。
L5 会话层
这一层 Juniper 比 Arista 厚得多：Arista 在会话层是三项纯空白（无 VPN、无 NAC、无 ZTNA），而 Juniper 三块都有——Juniper Secure Connect 做远程接入 VPN、Mist Access Assurance 做云托管准入、Juniper Secure Edge 做 SSE/ZTNA。要客观说明的是市场位置：Secure Edge 入场较晚，份额与生态明显小于 Zscaler、Netskope 与 Palo Alto Prisma，成熟度需实测评估；Mist Access Assurance 则是真实亮点，云托管免自建 RADIUS 集群，运维量比传统 NAC 低一个数量级。
L6 表示层
Juniper 在这一层的自有内容有三块：MACsec 线速链路加密、SRX 的 IPsec 加密实现（含硬件加速）、以及设备与云侧管控的证书体系。与 Arista 相比有一处商务差异要注意：Arista 多数型号不额外收 MACsec 许可，而 Juniper 部分平台需要许可，需逐型号核对——在需要大量加密端口的场景这会明显影响成本。空白与 Arista 一致：没有 KMS 与 HSM 产品，企业密钥托管必须靠第三方或云原生服务；国密（SM2/SM3/SM4）基本无适配，涉及商密合规或信创目录的项目需国产设备，属硬约束。
L7 应用层
这一层 Juniper 比 Arista 厚但明显不及专业安全厂商。它有的是：SRX 的应用识别（AppSecure）与 IDP 入侵防护、ATP 云端威胁分析、Secure Edge 的出向 Web 管控，以及 Mist/Marvis 的应用体验可见性（SLE 指标体系是真实差异化）。没有的同样清晰：无 WAF、无 CDN、无独立 DNS 安全产品、无邮件安全、无 API 安全与 Bot 管理、无 APM。所以入向 Web/API 防护、邮件与应用性能这三块必须全部外购，架构上要在早期把分工画清。
跨层 · 管控与运营
这是 Juniper 最有亮点的一层，有两个别家不容易复制的资产：Apstra 的意图式 fabric 管控（关键在于支持多厂商设备，包括 Cisco、Arista 与 SONiC，这在管控平台里少见）和 Mist 的云端 AI 运维（SLE 指标体系与 Marvis 根因定位）。设备侧 Junos 的候选配置模型与 commit confirmed 是被广泛称赞的免费变更安全网。要客观说明三点：Junos 与 Junos Evolved 两条分支并存，「单一 OS」不如 Arista 单一镜像那样干净；管控工具分成 Mist（园区）、Apstra（数据中心）、Paragon（广域）三套，收敛度不及 Arista 的 CloudVision 一套；
Extreme Networks
主场：L1 / L2
L1 物理层
这一层是它的硬件盘子，而理解这个盘子必须先接受一个事实：它几乎完全靠并购拼出来，不是自己长出来的。四条线各有出身：园区交换（源自 Enterasys，本身又是 Cabletron 的后代）、无线（2016 年从 Zebra Technologies 买来，而 Zebra 的这块业务原本来自摩托罗拉）、数据中心与运营商级交换（2017 年买下 Brocade 数据中心网络业务的以太网部分——SAN/光纤通道那部分卖给了 Broadcom）、以及企业网络的另一条线（2017 年从破产重组中的 Avaya 买来）。
L2 数据链路层
这一层是这个域另一半的星标，因为它有一条本站其他设备域都没有的技术血统故事：Fabric Connect（基于 802.1aq 最短路径桥接）这项以太网结构化组网技术，最初诞生于北电（Nortel），2009 年北电破产后这块企业网络资产被卖给 Avaya，2017 年 Avaya 网络业务又被这个域买下——同一套工程技术，换了三次东家，经历了两次公司破产，最后落在了这个域名下。机制上，它让多点二层与三层服务的配置大幅简化：站点加入网络只需在边缘节点声明服务标识，中间路径由协议自动计算最短路径，不需要像传统 STP/MSTP 那样逐跳配置生成树。
L3 网络层
这一层有一条来自 Brocade 血统的具体能力值得记住：SLX 系列（数据中心与运营商级交换/路由平台）支持大容量 FIB，可以承载完整的互联网路由表，这让它在中型数据中心的对等互联/边界路由场景里有一个明确的定位——「比大厂便宜且开放」。常规的企业三层路由（OSPF、静态路由、VRF）在园区与数据中心交换机上也是标配能力，机制与本站其他设备域一致，不重复展开。Fabric Connect 在三层也有对应扩展（IP Shortcut），让结构化以太网的简化配置优势延伸到三层，机制见 L2，这里不重复。
L4 传输层
这一层内容较薄，机制是行业通用的 QoS 与流量控制，本站其他设备域已有完整说明，不重复展开。 没有独立的 ADC/负载均衡产品——这一条与本站多数纯交换/无线设备域一致，这类需求应看专业 ADC 厂商或云内负载均衡。
L5 会话层
这一层的重心是无线会话管理：客户端在多个接入点之间移动时的漫游切换，机制上它走的仍是「控制器/云管 + 接入点」的架构——控制器可以是本地硬件、也可以是 L7 讲的 ExtremeCloud IQ 云端管理。没有独立的企业级 SD-WAN 产品线是需要如实说明的一条边界——这方面的能力不是这个域的重点，有强 SD-WAN 需求的场景应该看本站运营商域的托管 SD-WAN 或专门的 SD-WAN 厂商。
L6 表示层
这一层它不是深度安全厂商，这一点要先说清：没有下一代防火墙或深度威胁防护产品线，这类需求应看本站 Palo Alto 域。但它确实有两项来自并购的真实安全产品：ExtremeControl（网络准入控制/NAC，源自 Enterasys 血统）与 AirDefense（无线入侵检测系统/WIPS），两者都与自家交换机/无线设备深度联动，在中型园区场景性价比不错。它不做国密适配，中国大陆合规场景不落在它身上——这方面看本站阿里云域、华为域、H3C 域、锐捷域。
L7 应用层
这一层是这个域近年最想让客户记住的东西：ExtremeCloud IQ——一个云端网络管理平台，试图把 L1 讲的四条并购血统在管理层面统一起来。这个产品要解决的问题很具体：四次并购带来的不只是硬件，还有四套原本互不相通的管理软件——ExtremeCloud IQ 的定位是「不管你的交换机、无线接入点来自哪条血统，都在一个云端界面里配置、监控与做故障分析」。这与本站思科 Meraki、Aruba Central、Juniper Mist 是同一类竞争产品，评估时应该用同一套标准比较：管理界面能不能真正覆盖多血统设备（而不是分产品线各自一套子界面）、AI 驱动的故障分析准确率、以及订阅模式下的长期成本。
Accton / Edgecore
主场：L1
L1 物理层
这一层要先讲清这家公司在整条供应链里的位置，因为它几乎从不直接出现在终端用户面前：它是全球最大的网络设备 ODM（原始设计制造商）厂商之一，总部在台湾新竹——大量贴着其他公司品牌销售的交换机，实际由它设计制造。Edgecore Networks 是它自己的品牌，专门面向「白盒」/解耦网络市场直接销售同类硬件——本站 networkLayers 对比资料里已经列出「Edgecore / Celestica / Accton」白盒交换机（AS7726-32X、AS9736-64D 等型号），价格通常比同规格品牌机低 30–50%，这个域就是那条已有记录背后的专门资料，不是新的说法。
L2 数据链路层
这一层要先说清一件与本站所有其他设备域都不同的事：这个硬件本身不提供二层功能——VLAN、STP、端口聚合这些能力由装在硬件上的网络操作系统决定，不是这家公司自己决定的。硬件出厂时只带一个精简引导程序（ONIE），负责识别并加载你选择的网络操作系统。常见的搭配是本站 networkLayers 资料里已经列出的几家：SONiC（开源，微软/阿里/腾讯等大规模自用）、IP Infusion 的 OcNOS（商业授权，完整 MPLS/BGP/SR 功能集）、Cumulus Linux（现属 Nvidia）等——评估这一层的实际能力，要看你选的是哪一个 NOS，而不是看这家公司的产品页。
L3 网络层
这一层的逻辑与 L2 完全一致，不重复展开机制：三层路由能力（BGP 规模、路由表容量、MPLS/SR 支持）完全取决于所选网络操作系统，不是硬件本身的属性。本站 networkLayers 资料里提到 IP Infusion OcNOS「完整 MPLS/BGP/SR 功能集，跑在 Edgecore/UfiSpace/Delta 等白盒上，硬件+软件总价通常为品牌机 40–60%」——这句话本身就是这一层该怎么评估的最好例子：先看你需要的路由功能集，再倒推适配的 NOS，最后才是硬件型号。
L4 传输层
这一层同样是硬件与软件分工的逻辑：队列深度与缓存大小是硬件的物理属性（不同商用芯片型号有不同的缓存架构，这一点在流量突发场景下有实际影响），QoS 策略的配置方式与精细度取决于所装的网络操作系统。没有独立的 ADC/负载均衡产品，这类需求不在这个域的产品范围内。
L5 会话层
该层为空，没有产品或服务。 这个域卖的是不带网络操作系统的裸硬件，会话层功能（如果有）完全由客户自选的第三方 NOS 决定，不是这家公司自己的产品——L2、L3、L6 已经反复说明这个「硬件与软件分开」的模式，这里同样成立：它本身没有会话层产品可写。
L6 表示层
这一层的能力同样分两半：MACsec 这类线速加密如果要做到硬件无损性能，前提是商用交换芯片本身具备加密处理单元——这是硬件的物理能力，本站 Arista 域 L6 提到过 MACsec 可以做到 ASIC 线速、时延几乎无损，同一套芯片能力在白盒硬件上原则上同样存在；但密钥管理、算法套件选择这些配置与运维工作，仍然由所装的 NOS 提供。它不做国密适配——白盒生态整体面向国际标准算法套件，中国大陆合规场景不落在这个域身上。
L7 应用层
这一层要讲清解耦模式最实际的代价：故障发生时，「该找谁」不再是一个单一答案。硬件与网络操作系统来自两家不同的公司，一旦出问题，第一件事是判断这是硬件故障还是软件/配置问题——如果判断错了，找错了供应商，问题解决速度会明显变慢。这不是这个模式的缺陷，而是买白盒方案时明确要接受的交换条件：省下的品牌溢价，换来的是自己（或系统集成商）承担硬件与软件之间的集成与故障定界责任。本站 networkLayers 资料里 Dell PowerSwitch+SONiC 那条产品线的定位——「白盒解耦路线：硬件与 NOS 分开买，规避厂商锁定」——说的正是同一件事的另一个版本，只是那边是品牌商自己下场做白盒，这里是纯粹的第三方硬件供应商。
华为
主场：L1 / L3 / OPS
L1 物理层
这是这个域的星标层之一，因为它的物理层宽度在本站属最高一档。三条产品线并存：光传输（OptiX 系列的 WDM 与 OTN 设备，用于城域与长途骨干）、固定接入（PON 系列的局端设备与终端，覆盖 GPON、XGS-PON 与更新一代）、无线接入（蜂窝基站，是全球主要 RAN 供应商之一）。这个组合的意义在于它让同一家厂商能承接一张运营商网络从接入到骨干的大部分物理层——本站 Nokia 域是同类形态，Calix 域则只做小型运营商的固定接入那一段，三个域对照能看出这条产业链的分工。需要如实说清一处剥离：它的海底电缆系统业务已出售给亨通体系并更名，所以本站海底电缆系统商分类里没有它。
L2 数据链路层
这一层是它的交换机产品线，分两条：CloudEngine 系列面向数据中心（高密度、支持 VXLAN 与 EVPN 构建大二层与多租户隔离），S 系列面向园区（端口形态与特性集更多样，配合无线与准入）。二层的通用机制本站已在多处讲清——交换芯片如何做 MAC 学习与转发见本站 Broadcom 域 L2，浅缓冲与深缓冲的取舍同样见该域，本文不重复。这一层这个域可补的一点与 OPS 呼应：它的交换机相当比例使用自研芯片而非商用芯片，这与本站 Arista、Accton/Edgecore 等域建立在商用芯片之上的形态形成对照——后果不在于性能高低，而在于产品路线图与供应链不受第三方芯片厂商节奏约束，同时也失去了商用芯片生态的软件可移植性（完整讨论见 OPS）。
L3 网络层
这是这个域第二个星标层。产品线是 NetEngine（NE）系列路由器，覆盖运营商骨干、边缘到企业出口。三层转发的通用机制与硬约束本站已讲清——最长前缀匹配依赖昂贵的 TCAM 因此表容量是芯片设计时固定的硬预算，而这决定一台设备能否承载完整互联网路由表，见本站 Broadcom 域 L3，本文不重复。这一层真正值得单独讲的是 SRv6，而这个域是它最主要的推动者之一。SRv6 的核心思路是把转发路径的指令直接编码进 IPv6 报文头，让网络中间节点不必维护额外的隧道状态——它试图用一套机制取代传统 MPLS 体系里 LDP、RSVP-TE 等多个协议的组合，从而简化控制面。
L4 传输层
这一层是它的安全设备线（HiSecEngine / USG 系列防火墙）在传输层的部分：按五元组做有状态会话跟踪与访问控制，这是防火墙最基础也最常用的能力。需要如实划清与本站其他域的分工：深度应用识别与更完整的下一代防火墙能力，本站以 Palo Alto 域为参照展开（那个域是这一细分的代表）；而应用交付与负载均衡这一细分见本站 F5 域与 A10 域——这个域在这两个方向上都有产品，但都不是它相对同行的差异化所在，如实按此记录，不夸大成与专业厂商并列。
L5 会话层
该层为空，没有产品或服务。这个域没有独立的会话层产品线。需要如实说明：其防火墙的有状态会话跟踪已在 L4 记录（那是传输层的五元组会话，不是应用会话）；IPsec 与 SSL VPN 网关涉及的加密与隧道属于 L3 与 L6（见 L6）。不为了填满层次而把 L4 的会话跟踪重复计入这一层。
L6 表示层
这一层这个域有真实内容，而且它与本站一条长期结论直接相关。多数外国厂商域的 L6 都写着「不做国密适配」，而这个域与本站 H3C 域、锐捷域一样，提供国密 SM2/SM3/SM4 支持与信创合规定位——这正是中国大陆合规场景选择国产厂商而非外国厂商的直接原因，不是性能差异而是资质与算法要求。除国密之外，链路层的 MACsec 线速加密与 IPsec 隧道加密也是常规能力（MACsec 的机制与「链路级而非端到端」这一关键边界见本站 Broadcom 域 L6，不重复）。
L7 应用层
这一层是它的网管与控制器体系：iMaster NCE 系列，按场景分为园区、广域与数据中心等分支，提供配置下发、遥测采集、故障分析与所谓「意图驱动」的自动化编排。这类平台在本站多个设备域都有对应物（Cisco、Juniper、Aruba、Extreme 各有自己的控制器），共同的判断标准也一致：它是不是只管自家设备（混厂商环境里控制器的价值会大打折扣）、接口是否成熟到能纳入自动化流水线、以及遥测数据能否导出到你自己的分析平台而不是锁在它的界面里。这个域的控制器与自研设备耦合较紧，这在纯自家设备的网络里是优势（能力更深），在混厂商网络里是约束（见 OPS 讲的锁定成本）。
跨层：垂直整合、供应链与可得性评估
这是这个域第三个星标层，也是采购决策上最相关的一层，有三块内容。一是垂直整合的自研路线：本站 Broadcom 域讲的商用芯片模式把网络设备业拆成了可组合的层次（芯片、硬件、操作系统分别采购），而这个域走相反的路——自研网络芯片、自研硬件、自研操作系统与网管。它是本站理解商用芯片模式时最有价值的反例，两面都要算：路线图与供应链不受第三方芯片厂商约束，但也不在商用芯片的软件生态里，构成长期锁定成本。
H3C
主场：L2
L1 物理层
这一层是它的硬件盘子，覆盖面在国产厂商里算宽。 四块内容。园区交换硬件：从接入到核心的 S 系列，这是它装机量最大的一条线，也是这个域的重心所在。数据中心交换硬件：面向叶脊架构的高密平台——能力真实，但要如实说清它与本站 Arista 域、思科域在超大规模场景的经验差距。路由与安全硬件：SR / MSR 系列路由器与 SecPath 防火墙。无线硬件：WA 系列接入点与 WX 系列无线控制器，注意它仍是「控制器 + 接入点」的传统架构，与本站 Arista 域、Meraki 那种无控制器或云管形态是不同路线（见 L5）。
L2 数据链路层
这一层是这个域的重心，也是它标星的那一层——园区与数据中心交换的软件能力都落在这里。 三块内容。Comware 操作系统：这是贯穿它交换与路由产品线的软件底座——理解它的一个关键点是「一套系统覆盖交换与路由」，这让运维经验可以在产品线之间迁移，与本站 Arista 域的 EOS 单一镜像是同类的价值主张。二层基础与加固：VLAN、生成树、链路聚合、端口安全、DHCP 侦听这些常规能力齐全，而它在这一层最常被用到的特色是 IRF 堆叠——把多台物理设备虚拟成一台。数据中心 fabric：EVPN-VXLAN 与分布式网关，用标准协议构建叶脊网络。
L3 网络层
这一层的能力清单相当完整，而值得单独讲的有三件事。 一，路由协议与规模：OSPF、BGP、IS-IS、MPLS 与 L3VPN 都支持，在企业与行业客户的规模需求内够用——但运营商级的大规模业务边缘不是它的主场（那个位置的要求见本站 Nokia 域 L3、思科域 L3、Juniper 域 L3）。二，IPv6 与双栈：这一条在国内是硬需求而不是可选项——政策推动下 IPv6 改造是很多行业客户的合规要求，而这方面国产厂商的适配与项目经验通常更贴合国内的实际要求（与 L6 的信创合规是同一类优势）。三，园区三层设计：网关放核心还是放汇聚、以及三层与堆叠如何配合——这是国内园区网项目里最常需要决策的部分。
L4 传输层
这一层有一件事值得先说，因为它是这个域相对本站多数设备域的一个实质差别：它自己有负载均衡产品。 本站 Arista 域、Juniper 域、Palo Alto 域这些设备域在负载均衡（ADC）这一层都是缺口——要靠第三方或云服务补，而这个域的 SecPath LB 系列是它自己的产品线，虽然规模与生态远不及专业 ADC 厂商，但在「一家厂商供齐交换、路由、防火墙与负载均衡」这个诉求下有实际价值（这个诉求在国内行业客户的集中采购里很常见）。另外两块是常规的。防火墙会话与地址转换：SecPath 上的连接表、NAT 与会话超时——这一层最常被低估的是会话表容量，而它比吞吐更容易先撞上限。流量管理与 QoS：分类、标记、队列与整形。
L5 会话层
这一层是「谁能建立会话、以及由谁来控制」这两个问题，落到这个域是三块产品。 VPN：站点间 IPsec 与远程接入 SSL VPN，跑在 SecPath 与路由器上——能力常规，而这一层要说清的是它与本站 Zscaler 域那条路线的根本差别：这里是「把远端接进内网」，那里是「不把任何人接进内网」。认证与准入：802.1X 与 Portal 认证，配合管理平台做用户接入控制——这一块在国内校园网与政企网里是刚性需求，也是国产厂商项目经验密集的地方。控制器与 SDN：SeerEngine 控制器与 VCF fabric 方案，把配置从逐台设备转移到集中编排——这条线的能力真实但成熟度与生态是它的短板，要如实说清（见 L7）。
L6 表示层
这一层是这个域最有分量的一层，因为它填上了本站长期缺的一块。 本站十几个域在这一层都写过同一句话的某个版本：「国密（SM2 / SM3 / SM4）这一块，本站只有阿里云域填补了」——这个域、华为域和锐捷域改变了这一点。它们是本站三个自己就把国密作为核心卖点的设备厂商域，而这不是附带功能，恰恰是国内客户选国产厂商最实质的一条理由。这一层三块内容。国密与商用密码：SM 系列算法、国密传输层协议、以及商用密码产品认证——这一块要说清「支持国密」这句话在型号层面的差别，这是最实际的采购提醒。信创适配：与国产处理器和操作系统的配套。等级保护与合规：等保与密码应用评估要求下这些设备扮演的角色。
L7 应用层
这一层有一个必须如实写出来的事实：它的管理平台不是一个，而是好几个。 iMC（老牌网管）、U-Center（较新的统一运维）、绿洲（云管）、SeerEngine（fabric 控制器，见 L5）——这几个平台面向不同场景、界面与数据模型不同，并不是一个控制台的不同模块。本站多个域都出现过同一条线索：同厂商不等于同控制台（Palo Alto、Akamai、Gigamon、GoDaddy、Umbrella 各有一个版本），这个域是这条线索的又一个实例，而且是比较典型的一个——因为它的平台数量与历史包袱都不少。这一层三块内容。管理与运维平台：拓扑、告警、配置下发、性能采集与报表。
锐捷
主场：L1 / L2
L1 物理层
这一层是这个域最该先看的一层，而它与本站 H3C 域的差别正好从这里开始。 三块内容。无线硬件与每房间覆盖方案：这是这个域最有辨识度的一块，也是它区别于其他国产厂商的地方——它把「一间房一个天线」做成了产品化方案（智分类的分布式天线架构），专门解决宿舍、酒店客房这类「房间多、墙厚、每间人少但都要好信号」的场景。园区交换硬件：RG-S 系列从接入到核心，这是它的装机量主体。出口网关与数据中心交换：EG 系列出口网关是它在中小与连锁场景的常见配置；数据中心交换有产品但要如实说清它在这一块的分量与经验都不及本站 H3C 域、更不及 Arista 域与思科域。
L2 数据链路层
这一层是这个域与 L1 并列的重心，三块内容。 RGOS 与二层基础：它自己的网络操作系统，贯穿交换与网关产品线——价值主张与本站 H3C 域的 Comware 同类（一套系统覆盖多类设备，运维经验可迁移），而命令风格是另一套，要单独学。VSU 堆叠：把多台交换机虚拟成一台，机制与收益和本站 H3C 域的 IRF 是同一类，风险点也一样集中在堆叠分裂上——这一节要讲清那个必须配的保护机制。宿舍与客房场景的二层设计：这是这个域特有的一节——用户隔离、VLAN 规划与广播抑制，在「几千个终端、互不信任、且要防止一个房间影响整栋楼」的环境里是刚性需求而不是可选加固。
L3 网络层
这一层要先把分量说清，因为它比 L1 与 L2 薄，而如实说薄比堆功能有用。 三块内容。园区三层设计：它的三层能力主要落在三层交换机上而不是专门的路由器——在校园网、酒店与连锁这类典型场景里，跨网段转发基本由汇聚或核心交换机完成，这也是它最成熟的部分。广域路由：RSR 系列路由器面向分支与中小广域接入，装机量真实但分量有限——企业核心与运营商级的位置不是它的主场，那个位置的要求见本站 H3C 域 L3 的 SR 系列、以及思科域、Juniper 域与 Nokia 域 L3 讲的业务边缘。
L4 传输层
这一层先说清一件事，因为它是这个域与本站 H3C 域的一处实质差别：它没有服务器负载均衡产品线。 H3C 域在这一层有 SecPath LB 系列，所以「交换、路由、防火墙、负载均衡一家供齐」在那个域成立；而这个域在服务器负载均衡（ADC）这一块是缺口，需要靠第三方或云服务补——本站 Arista 域、Juniper 域、Palo Alto 域与几个运营商域同样是这条缺口线上的域，这个域回到了那条线上。这一层它真正的重心在别处，而且很贴合它的主场：出口侧的流量治理。 三块内容。多线选路与链路负载：多条互联网线路的选择与故障切换——注意这是「链路负载均衡」，与服务器负载均衡是两件不同的事，容易混淆。
L5 会话层
这一层是这个域软件侧最强的一层，因为它的主场市场把认证这件事推到了别处少见的深度。 三块内容。认证、计费与准入：这是它最有辨识度的软件线——在中国高校里它的认证客户端是几代学生的共同记忆，而支撑它的是一套把认证、计费、限速与审计串在一起的系统。这一节讲的是本站 H3C 域 L5 那一节没有覆盖的部分：客户端方式的取舍、账号共享检测、以及认证与带宽策略的联动（802.1X 与 Portal 的基本对比、以及认证失败的降级设计，在 H3C 域那一节已经讲过，这里不重复）。无线控制器与云管的纳管关系：本地转发还是集中转发、以及控制器不可用时的降级行为。VPN 与远程接入：分量有限，如实说清——它不是这个域的重点产品线。
L6 表示层
这一层与本站 H3C 域是同一条线索上的第二个域，所以这里不重复机制，只讲差别。 共同点先说清：它、华为域和 H3C 域是本站三个把国密与信创作为核心卖点的设备厂商域——此前十几个域的 L6 都以同一句话收尾，说这一块只有阿里云域填补了，而这三个域改变了那个结论。算法各自的对应关系（SM2 对应 RSA 与 ECC、SM3 对应 SHA-256、SM4 对应 AES）、以及「支持 SM4」与「支持国密 TLS」是两件事这个要点，本站 H3C 域 L6 那一节讲得完整，读那一节即可，这里不复述。 **这一层要讲的是这个域的两处差别。
L7 应用层
这一层是这个域最薄的一层，而如实说薄是这一节最有用的部分。 三块内容。管理与运维平台：设备纳管、拓扑、告警、配置下发与云管形态——能满足它主场场景的日常运维，但平台数量与形态也不止一个，同样落在本站那条「同厂商不等于同控制台」的线索上（本站 H3C 域 L7 那一节是这条线索更典型的例子，因为它的平台更多、历史包袱更重）。应用识别与上网行为管理：出口网关与防火墙上的应用层能力——这一块要如实说清两层差距：相对本站 Palo Alto 域与 Zscaler 域是威胁情报规模的结构性差距，而相对本站 H3C 域则是安全产品线宽度的差距。自动化与开放接口：这是这个域最薄的一块，比 H3C 域还要薄——接口有，生态与现成模块少，这笔人力成本要算进选型。
Ubiquiti
主场：L1 / L7
L1 物理层
这一层是理解这家公司的入口，因为它的硬件为什么便宜，答案不是补贴，而是一套极度精简的商业模式：没有传统意义上的企业级直销团队，主要靠线上与经销商渠道铺货，市场投入很低，创始人 Robert Pera（前苹果无线工程师）至今仍是 CEO 且据公开报道持有公司多数股份——对一家纽交所上市公司而言，这样集中的股权结构并不常见。这套模式让它的硬件定价通常比同规格的传统企业厂商便宜一个数量级，代价则在支持体系上（见 L7）。两条产品线撑起了这一层：airMAX——它的起家产品，面向无线互联网服务商（WISP）的长距离点对点/点对多点室外无线桥接设备，在光纤覆盖不到的农村与发展中市场找到了真实的市场；
L2 数据链路层
这一层是 UniFi 交换机的常规能力：VLAN 划分、端口聚合、PoE 供电，机制与本站其他设备域没有本质差别，只是价位低了一个数量级。需要如实提醒的一条：同样功能名称在这一档设备上的实现深度通常明显浅于企业设备——「支持 VLAN」不代表支持的规模、「支持聚合」不代表支持的协议完整度都能达到企业级水准，具体规格需按型号核实，不能直接照搬企业设备的期待（这一条与本站 TP-Link 域给出的提醒是同一类问题，只是 Ubiquiti 的定位比 TP-Link 更靠近专业市场一档）。
L3 网络层
这一层是 UniFi 网关/路由产品线的常规能力，覆盖中小型场景的路由需求。面向更大规模的无线互联网服务商（WISP）场景，它有一个专门的管理平台——UISP，与面向单一场所的 UniFi 是姊妹关系但定位不同：UniFi 面向一个场所内的网络与安全设备统一管理（见 L7），UISP 面向跨多个基站/客户站点的运营商级部署，两者不要混淆。企业级动态路由协议（完整 BGP、大规模 OSPF）不是它的重点，这类需求应看本站思科域、Juniper 域、Arista 域。
L4 传输层
这一层内容较薄：基础 QoS 与流量优先级标记是标配能力，机制与本站其他设备域一致，不重复展开。没有独立的 ADC/负载均衡产品，这类需求应看专业 ADC 厂商或云内负载均衡。
L5 会话层
这一层是 UniFi 无线的漫游切换能力，机制与行业通用做法一致：多台 AP 由同一个 UniFi 控制器统一管理，客户端在 AP 之间移动时的切换体验取决于控制器版本与 AP 硬件代际，建议在正式部署前用实际设备做漫游测试，而不是只看宣传参数。企业级 SD-WAN 不是它的产品重点。
L6 表示层
这一层要如实说清两件事，都是采购前该知道而不是用了才发现的。一，安全能力的边界：没有下一代防火墙级的深度威胁防护，这类需求应看本站 Palo Alto 域；基础威胁管理与入侵检测功能是真实的，但深度不及专业安全厂商。二，2021 年的一次数据泄露披露事件：该公司在 2021 年初披露了一起数据泄露事件，独立媒体报道（尤其是安全记者 Brian Krebs 援引一名内部举报人的说法）称最初的披露低估了事件的严重程度——这里只陈述这是一起被公开报道过的事件，供采购方了解，不代表本站对事件本身做出结论。
L7 应用层
这一层是这个域另一半的星标：UniFi OS——一个把网络、安全摄像头（UniFi Protect）、门禁（UniFi Access）与电话系统（UniFi Talk）统一到同一个控制台里管理的软件平台，这个组合在这个价位段的对手里几乎找不到。它可以自建（用它自己的 Cloud Key 或 UniFi Console 硬件跑在本地）也可以用云端托管管理，两种形态都不额外收年费——这一点与本站多数厂商域的云管理平台订阅制不同。
NETGEAR
主场：L1 / L7
L1 物理层
这一层要先讲清它的出身，因为这段历史不常见：1996 年作为 Bay Networks 内部的一个业务单元起步，1998 年 Bay Networks 被北电（Nortel）收购，此后不久，联合创始人 Patrick Lo 主导管理层收购把它独立出来——Patrick Lo 至今仍是董事长兼 CEO，任期长得不寻常。它今天最出名的产品是 Orbi 网状 Wi-Fi 系统（2016 年推出）与 Nighthawk 路由器，都是消费级产品——这意味着这个域与本站 TP-Link 域（大众消费级、极致性价比）、Ubiquiti 域（专业消费级/中小企业、精简支持模式）在市场上直接重叠，三者最好放在一起对照读，差异本身才是重点。
L2 数据链路层
这一层是 NETGEAR for Business 交换机的常规能力：智能型（Smart）与全管理型（Fully Managed）两档，VLAN、端口聚合、PoE 供电是标配。与本站 TP-Link 域、Ubiquiti 域一样，功能名称与企业级实现深度之间有差距，需按具体型号核实规格上限——这不是这家公司独有的问题，而是这一整档设备的共性，本站在多个设备域都提醒过。
L3 网络层
这一层是消费级路由器与商用交换机的常规三层能力：家用产品线（Orbi、Nighthawk）的路由功能面向单一住宅场景，NAT 与基础防火墙规则是标配；商用产品线的三层能力更接近本站 Ubiquiti 域讲的中小型场景路由，覆盖静态路由与基础动态路由。企业级完整动态路由协议（大规模 BGP/OSPF）不是它的重点，这类需求应看本站思科域、Juniper 域、Arista 域。
L4 传输层
这一层内容较薄：基础 QoS 与流量优先级标记（游戏/视频流量优先）是消费级与商用产品线的标配能力，机制与本站其他设备域一致，不重复展开。没有独立的 ADC/负载均衡产品，这类需求应看专业 ADC 厂商或云内负载均衡。
L5 会话层
这一层是 Orbi 网状系统的核心技术差异化：专用回程信道——部分型号在常规的 2.4GHz/5GHz 业务信道之外，额外拨出一条独立的频段专门用于路由器与卫星节点之间传输网状回程流量，不占用业务信道的带宽。这与许多网状 Wi-Fi 系统「回程和业务流量共用信道」的做法不同，是它在网状 Wi-Fi 场景下实测吞吐更稳定的具体原因，而不是营销话术。需要如实说明的边界：专用回程信道不是所有型号都有，入门级 Orbi 型号可能是双频而非三频，选型前需核实具体规格。
L6 表示层
这一层要如实说清消费级网络设备这一整个品类共有的问题，而不是把它当成这一家公司独有的缺陷：固件更新支持周期是长期使用中最该关注的一条，而不是当下的功能表——消费级路由器的典型结局往往不是硬件损坏，而是长期在网、不再收到安全更新。这家公司运营公开的漏洞报告与响应渠道（具体计划形式与覆盖范围以其官方安全页面当前信息为准）。没有下一代防火墙级的深度威胁防护，这类需求应看本站 Palo Alto 域。它不做国密适配，中国大陆合规场景不落在它身上。
L7 应用层
这一层是这个域另一半的星标：Insight——面向 NETGEAR for Business 交换机与无线接入点的云端管理平台，与消费级产品线用的 Nighthawk/Orbi App 是两套不同的软件。Insight 与本站 Ubiquiti 域的 UniFi OS 是直接竞品，但产品哲学不同：UniFi OS 试图把网络、摄像头、门禁、电话统一到一个平台，功能野心更大；Insight 的范围更聚焦在网络设备管理本身，功能集更保守但也更简单。消费级 App（Nighthawk/Orbi）走的是完全不同的路线——面向普通用户简化配置，与本站 TP-Link 域的消费级 App 定位类似，三者最好放在同一张对比表里评估。
Aruba
主场：L1 / L6
L1 物理层
这一层要先讲清它的品牌吸纳方向，因为这与常见的并购逻辑相反：2015 年被 HP 收购后（同年 HP 分拆为 HP Inc. 与 HPE），HPE 自己原有的交换机产品线被逐步并入 Aruba 品牌，而不是反过来——原因是这个域在企业网络市场的品牌认知度比 HPE 自己的旧交换机品牌更强。它的核心硬件资产有两块：企业级 Wi-Fi 接入点（创立时的起家产品，长期是它最受认可的能力）与园区交换机。
L2 数据链路层
这一层是常规的园区二层能力：VLAN、端口聚合、PoE 供电，机制是企业级标配，与本站思科域、Arista 域没有本质差别，不重复展开。这个域相对本站其他企业设备域的实际差异不在协议本身，而在与 Aruba Central 云管理的深度联动（见 L7）——有线与无线在同一个云端体系里管理，是它长期的产品卖点。
L3 网络层
这一层是园区与分支场景的常规三层路由能力，机制与本站其他企业设备域一致，不重复展开。大容量骨干路由不是它的产品重点——这类需求应看本站 Juniper 域的 PTX/MX 系列（现在同属 HPE 旗下，但产品定位分层清楚：那边做骨干与边缘，这个域做园区与分支）。
L4 传输层
这一层内容较薄，机制是行业通用的 QoS，本站其他设备域已有完整说明，不重复展开。 没有独立的 ADC/负载均衡产品，这类需求应看专业 ADC 厂商或云内负载均衡。
L5 会话层
这一层是 Aruba EdgeConnect——它的 SD-WAN 产品线，来自 HPE 于 2020 年收购的 Silver Peak。机制与本站运营商域讲的托管 SD-WAN 类似，核心问题仍是那三个：底层是谁的技术、定界多长、变更多久——这里的答案更明确一些，因为底层技术是自有的（Silver Peak 血统），不是转售第三方方案。
L6 表示层
这是这个域另一半的星标层：ClearPass——长期作为企业级网络准入控制（NAC）两大主流平台之一（另一个是思科 ISE）的产品。本站 Juniper 域已经从对方视角写过这场对比：「Mist Access Assurance 运维量比传统 NAC（ISE、ClearPass）低一个数量级」——这句话是真的，但只是故事的一半。这一节要补上另一半：ClearPass 的成熟度与功能完整度是靠多年真实部署积累出来的，不是「传统、待替代」的同义词，两条路线该怎么选，取决于你的组织是要「更少运维负担」还是「更细粒度的策略控制与更长的实战验证历史」，而不是简单认为云原生一定优于自建。
L7 应用层
这一层是 Aruba Central——把有线交换机、无线接入点与 SD-WAN（EdgeConnect，见 L5）统一到一个云端管理界面里，配合 AI 驱动的故障分析。它与本站 Juniper 域的 Mist 是最直接的竞品，也是同一家母公司（HPE）名下两条功能高度重叠的云管理平台——本站 Juniper 域已经提醒过这一点，这里从这个域视角补充：评估时应该实际拿两者对比，而不是假设 HPE 会长期两条线并行投入同等资源。面向中小企业的简化版本是 Aruba Instant On，定位与本站 Ubiquiti 域、NETGEAR 域的商用云管理产品直接重叠。
Calix
主场：L1 / L7
L1 物理层
这一层的底层技术机制——光纤到户的 PON 架构、局端 OLT 与用户端 ONT 的分工、GPON 到 XGS-PON 的代次演进——本站 Nokia 域 L1 已有完整说明，机制完全相同，这里不重复展开。真正的差别在客户是谁：Nokia 域的固网接入客户以大型在位运营商为主；这个域几乎所有客户是美国的中小型、区域性、农村地区与市政/合作社性质的宽带运营商——这批运营商正是美国联邦农村宽带资金（RDOF，以及更近的、由 2021 年基础设施法案拨款的 BEAD 计划）的主要受益方，这笔资金浪潮是这个域业务增长的实际背景，不是无关的附带信息。
L2 数据链路层
这一层是接入网侧的常规以太网汇聚能力，机制与本站 Nokia 域一致，不重复展开：多个 PON 口的用户流量在局端设备上汇聚成上行以太网，交给运营商自己的核心网络处理。这个域的用户端网关（GigaSpire）在家庭内部也提供标准的以太网/Wi-Fi 二层接入，与本站 NETGEAR 域、Ubiquiti 域讲的家用网络二层能力属于同一档次。
L3 网络层
这一层内容较薄，机制是接入网设备的标准三层能力：IP 地址分配、基础路由，机制与本站其他接入设备域一致，不重复展开。大容量骨干或边缘路由不是它的产品重点，这类需求应看本站 Nokia 域、思科域、Juniper 域的路由产品线。
L4 传输层
这一层内容较薄，机制是接入网设备的标准带宽管理能力，本站其他设备域已有完整说明，不重复展开。 没有独立的 ADC/负载均衡产品，这类需求不在这个域的产品范围内。
L5 会话层
该层为空，没有产品或服务。 这个域的产品重点始终在「最后一段接入」硬件与运营商用户运营平台（见 L7），没有面向企业的托管 SD-WAN 或远程接入产品——它的客户是宽带运营商，不是需要组网的企业。
L6 表示层
这一层的处境与本站多数接入设备域一致：没有下一代防火墙级的深度威胁防护，这类需求应看本站 Palo Alto 域。GigaSpire 网关内建基础的家庭网络安全功能（如家长控制、基础威胁拦截），深度不及专业安全厂商。它不做国密适配，中国大陆合规场景不落在它身上——这一条与它的客户画像（美国国内中小型运营商）本身也高度一致，不是刻意回避。
L7 应用层
这一层是这个域近年重心转移的落点：从「卖接入硬件」转向「卖运营商的业务运行平台」，这个转向和本站其他设备域的云管理平台故事性质不同，值得单独讲清楚。AXOS 是它的接入网操作系统，采用分解式架构（不同功能模块解耦，可独立升级），是硬件层的软件基础。Calix Cloud 才是真正的差异点：它不是「帮网络管理员管设备」的控制台（那是本站 Aruba 域、Extreme Networks 域、Ubiquiti 域、NETGEAR 域的 L7 故事），而是「帮运营商这个客户去运营和变现它自己的终端用户」的一套工具——订阅管理、用户参与度分析、精准营销、客服支持自动化，目标是让中小型运营商也能用上大型运营商才负担得起的用户运营能力。
F5
主场：L4 / L6 / L7
L1 物理层
这一层内容较薄，如实说明：它的硬件是 BIG-IP 系列一体化 ADC 设备（i 系列、rSeries），核心差异化能力不在物理层本身，而在设备内置的专用 SSL/TLS 加解密芯片与转发引擎——这一点在 L6、L4 详细展开，这里不重复。
L2 数据链路层
该层为空，没有产品或服务。 它不做二层交换——BIG-IP 设备在流量路径里的角色始终是三层及以上（GSLB、四层负载均衡、七层应用处理），没有独立的以太网交换/VLAN 产品，这类需求应看本站思科域、Arista 域这类交换机厂商。
L3 网络层
这一层的核心是 BIG-IP DNS（原 GTM）——基于 DNS 应答实现的全局服务器负载均衡（GSLB），本地数据中心多活场景的经典方案。它与本地 LTM 联动，能感知真实后端健康状态而不是只做静态 DNS 解析，这是它相对纯 DNS 服务商 GSLB 产品的实际优势。
L4 传输层
这是这个域的星标层之一：核心负载均衡（LTM）与四层防护（AFM）。LTM 是它最初、也是至今仍最核心的产品——四层到七层的流量分发、健康检查与会话保持，iRules 可编程能力让它能处理标准负载均衡算法覆盖不到的自定义逻辑，这一点是它在金融行业存量最大的直接原因。AFM 提供 SYN Proxy 与逐 IP 连接速率限制，专用硬件可扛住百万级每秒的新建连接，是金融交易入口常见的四层防护手段。
L5 会话层
这一层是会话保持（Session Persistence）——决定同一个用户的后续请求是否继续落在同一台后端服务器上。这对有状态的应用（购物车、登录会话缓存在本机内存里）是刚性需求，机制本身通用，但实现方式的选择会影响可靠性与后端扩容的灵活度。
L6 表示层
这是这个域最早、也最持久的核心差异化能力：SSL/TLS 硬件加解密。它最初正是靠「服务器自己做 TLS 加解密太慢，把这件事卸载到专用硬件上」这个具体的性能痛点建立起市场地位的，专用芯片带来的加解密性能优势至今仍是它相对纯软件方案（云原生负载均衡、开源代理）最直接的竞争力来源。
L7 应用层
这是这个域的第三个星标层：应用层安全与现代 API/云原生产品线。传统硬件侧是 Advanced WAF（原 ASM），与既有 BIG-IP 部署无缝融合、支持自定义策略；2019 年收购 NGINX 后，它同时拥有了云原生/API 优先的软件产品线（NGINX Plus、NGINX Gateway Fabric）；2020 年收购 Shape Security 带来的 Distributed Cloud Bot Defense，是金融行业撞库防护的标杆产品之一。三条线合在一起，让它从「一家卖硬件负载均衡器的公司」变成了横跨硬件 ADC、云原生代理与应用层安全 SaaS 的组合。
A10 Networks
主场：L3 / L4
L1 物理层
这一层内容较薄，如实说明：它的硬件是 Thunder 系列一体化设备，覆盖 ADC、DDoS 防护（TPS）与运营商级 NAT（CGN）三条产品线，共用同一套硬件平台。创始人 Lee Chen 此前是防火墙厂商 NetScreen Technologies 的共同创始人，NetScreen 被 Juniper 收购后他离开创立了这家公司——这段历史解释了它为什么从创立起就对运营商与服务提供商市场有天然的熟悉度。
L2 数据链路层
该层为空，没有产品或服务。 它不做二层交换——Thunder 硬件在流量路径里的角色是三层及以上（CGNAT、四层负载均衡、DDoS 防护），没有独立的以太网交换/VLAN 产品，这类需求应看本站思科域、Arista 域这类交换机厂商。
L3 网络层
这是这个域的星标层之一：运营商级网络地址转换（CGNAT）。IPv4 公网地址枯竭之后，运营商需要让大量用户共享少量公网地址，CGNAT 就是解决这个问题的核心设备——这条产品线是它相对本站 F5 域更突出的差异化优势，也是它在电信运营商客户群体里存量较大的直接原因。
L4 传输层
这是这个域另一个星标层：核心 ADC 负载均衡与专用 DDoS 防护（Thunder TPS）。ADC 部分的机制与本站 F5 域的 LTM 类似（四到七层流量分发、健康检查、会话保持），价格通常更具竞争力；Thunder TPS 是专门的分布式拒绝服务攻击防护产品线，与叠加在 ADC 上的防护模块是不同的定位——这一点在选型时容易混淆，需要先分清。
L5 会话层
该层为空，没有产品或服务。 L7 已经如实说明过：它没有对标本站 F5 域 NGINX/Distributed Cloud 的云原生软件线，会话层同样没有对应产品——它的核心能力集中在 L3 CGNAT 与 L4 ADC/DDoS 防护，不延伸到托管 SD-WAN 或远程接入这类会话层服务。
L6 表示层
这一层的重点是 SSL Insight——一款专门做集中解密、把明文流量分发给其他安全工具检查的产品，定位与本站 Gigamon 域讲的流量可见性平台有相似之处，但实现方式不同：Gigamon 是旁路镶取流量做分析，SSL Insight 是串接在流量路径上做代理式解密。
L7 应用层
这一层是常规的管理与支持体系，机制与本站其他设备域没有本质差别：Web 管理界面、REST API、以及面向多设备场景的集中管理平台（Harmony Controller）。它的软件生态广度不及本站 F5 域——没有对标 NGINX 的云原生产品线，也没有对标 Distributed Cloud Bot Defense 级别的应用层安全 SaaS 产品，这一点在评估「一家买全」的可能性时需要如实说明。
Ciena
主场：L1
L1 物理层
这一层是这家公司的全部重心，也是本站唯一一个把光传输设备本身讲透的域。 前面几个设备域（见思科域、Juniper 域、Arista 域 L1）在谈到长距干线、复杂波分组网与光层保护时，都会指向「需要专门的光传输厂商」——这个域就是那个指向的落点。五块内容。自研相干 DSP：这是它区别于绝大多数厂商的根本——它自己设计相干光的数字信号处理芯片，而不是买别人的，每一代 WaveLogic 的容量与传输距离直接决定了它在市场上的位置。传输平台：6500 系列是装机量最大的机架式平台，Waveserver 是面向数据中心互联的堆叠式盒子，两者定位完全不同。
L2 数据链路层
这一层比 L1 薄很多，内容集中在一件事：把以太网业务放进光传输通道里。 客户交给它的是以太网端口，而它的网络里跑的是 OTN 与波长，中间这层映射与封装就是这一层的全部实质。三块内容。以太网业务接口与映射：在传输平台上提供 10G/100G/400G 以太网端口，把业务映射进 OTN 净荷再送上波长——这是运营商卖「以太网专线」时底层实际发生的事（本站 AT&T 域 L2、NTT 域 L2、GCX 域 L2 卖的那些服务，设备侧就是这类板卡）。运营商以太网能力：带宽分级、业务标识与性能监控，对应 MEF 那套服务定义。
L3 网络层
这一层很薄，而薄的原因很清楚：它是光传输厂商，路由不是它的战场。 它的分组产品支持 IP/MPLS 与分段路由，用于城域汇聚与移动回传场景的三层转发，但功能广度、软件成熟度与生态都不能与本站的专业路由厂商相比（见 Juniper 域 L3 的 MX/PTX、思科域 L3 的 8000/ASR、Arista 域 L3）。这一节因此只写两件事：它在三层实际提供什么，以及什么时候不该指望它。要理解的一条判断是：在一个同时需要大容量光传输与复杂三层业务的项目里，常见的做法是光传输用它、三层用专业路由厂商，两者通过标准接口对接——而这种分工恰恰是它推动开放线路系统的商业逻辑的一部分：它并不试图在三层赢，而是要确保无论客户选谁做路由，光传输那一层还是它的。
L4 传输层
该层为空，没有产品或服务。这个域是光传输设备厂商，产品是把别人的光纤点亮并尽可能榨干容量，不做四层的会话/连接管理或负载均衡类产品——这类能力属于本站交换与路由设备域、安全厂商域，不是这个域的业务范围。
L5 会话层
该层为空，没有产品或服务。同 L4：它的业务重心在物理层光传输设备与自研相干光 DSP，包/路由与软件产品线虽然真实存在但规模远小于光传输主业，在这一层没有会话建立与维护类产品。
L6 表示层
这一层有真实产品，而且它在本站的位置比较特别：它把加密做在光层上。 本站多数域讨论加密时落点在两端设备的 IPsec 或应用层 TLS（见那六七个「不等于加密」的版本），而这个域卖的是在相干光收发之间做线速加密的能力——数据在离开机房进入光纤的那一刻就是密文，而且加解密由 DSP 里的专用电路完成，几乎不损失容量与时延。这解决的是一个很具体的担忧：光纤在物理上是可以被搭线窃听的（本站 GCX 域 L6、Equinix 域此前都提过这条），而链路层加密把这个暴露面封住。两块内容。光层线速加密：加密选项、性能代价、覆盖范围与密钥管理。
L7 应用层
这一层是它的软件线，规模远小于硬件，但在项目里的分量不小——因为一张波分网不靠图形界面几乎没法运维。 两块内容。域管理（MCP）：管它自己的设备，做拓扑发现、业务开通、告警关联与性能采集——这类工具的价值在光传输领域比在分组领域更突出，因为波长规划、光功率核算与光路开通这些事手工做既慢又容易错。跨厂商编排（Blue Planet）：这条线来自并购，定位是在多厂商网络之上做业务编排与自动化，也就是不只管自己的设备。要如实说清的是：这类跨厂商编排产品在整个行业里的落地难度都很高——不同厂商的模型、接口成熟度与数据质量差异大，项目周期长、定制比例高，实际效果高度依赖集成质量而不是产品本身。
夸层 运维与治理
这一层讲的是买这类设备与买交换机路由器在运营上的三个根本差别。 一，采购是项目而不是订货：光传输项目要做光路设计、现场勘察、施工与调测，周期以月计，与本站 AT&T 域跨层讲的运营商交付周期是同一类节奏，不能按买交换机的方式排期。二，生命周期长得多：一套传输平台在网上跑十年以上很常见，所以板卡向后兼容、软件长期支持与备件可得性这三件事的权重远高于其他设备域。三，波长是需要台账的资源：一张波分网里哪些波长被谁占用、哪条路径还有多少频谱余量，没有台账就会走到「想加一条业务却不知道还能不能加」的地步——这与本站 Gigamon 域的工具端口台账、Equinix 域的交叉连接台账、AT&T 域的电路台账是同一类做法。
Nokia
主场：L1 / L3
L1 物理层
这一层是本站覆盖面最宽的一个物理层，因为这家公司同时做四门在别处属于不同公司的生意。 四块内容。无线接入设备：基站硬件与射频单元——但必须先澄清一件本站容易混淆的事：它卖基站，不持有频谱牌照。本站多处写着「授权频谱只有持牌运营商域能提供」，那句话依然成立，而且不冲突：那些域是持牌运营商，这个域是给持牌运营商造设备的厂商。光传输：相干光与波分平台，与本站 Ciena 域是直接竞争关系（见那个域 L1），两者在长距干线与海缆终端上正面对上。
L2 数据链路层
这一层的内容按买方分成两半，混着读会很乱。 运营商侧是主体：运营商以太网业务的交付（点对点与多点以太网、带宽分级、性能监控，对应 MEF 那套定义）——这就是本站 AT&T 域 L2、NTT 域 L2、GCX 域 L2 卖的那些服务在设备侧的实现；以及PON 的数据链路层，也就是几十户共享一根光纤时怎么分时隙、怎么隔离彼此的流量。企业与工业侧是它近年才发力的一小块：工业以太网交换机，客户是矿山、港口、电力这类场景，而不是数据中心或园区——这一点要说清，因为它在数据中心叶脊与企业园区这两个战场上基本不参与（那是本站 Arista 域、Juniper 域、思科域的地盘）。
L3 网络层
这一层是它除无线之外最强的一条线，也是这个域的第二个星号所在。 强的原因有两个具体来源。一，自研转发芯片：它的 FP 系列路由芯片是自己设计的——这与本站 Ciena 域自研相干 DSP、Arista 域用商用芯片是三种不同路线，自研让它在大规模路由表容量、深缓存与业务板卡能力上有自主的迭代节奏。二，业务边缘这个位置：7750 SR 这条产品线的主战场是运营商的业务边缘——也就是把千万级用户接入并对每个用户做计费、限速与策略的那个位置，这个位置对用户级 QoS、层次化调度与大规模会话状态的要求极高，能做的厂商全世界只有少数几家（本站 Juniper 域 L3 的 MX 系列是它最直接的对手，思科域 L3 的 ASR 是另一个）。
L4 传输层
这一层有两块真实内容，而它们服务于完全不同的场景。 一，路由平台上的四层能力：DiffServ 标记与信任边界、层次化调度、以及连接级的处理——这些与本站几个设备域讲的是同一套，经验可直接迁移（见 Juniper 域 L4、思科域 L4、Arista 域 L4）。二，移动网络里的承载与会话管理：这一块是这个域相对本站其他设备域独有的——移动用户的每一次数据连接都是一个承载，而承载的建立、QoS 保障与移动性维持是移动核心网的核心工作（见后续 L5 讲核心网）。这里要理解的一条判断是：移动网络的 QoS 与固网的 QoS 是两套不同的机制。
L5 会话层
这一层是这个域内容最独特的一层，因为它讲的是本站其他任何域都没有的东西：移动核心网。 如果说基站（见 L1）负责把手机连上网，那么核心网负责的是「这个用户是谁、能用什么、正在哪里、该怎么计费」——它是移动网络的大脑，也是运营商真正的业务控制点。四块内容。用户认证与订阅管理：手机开机时的鉴权、订阅数据的存储与查询，这一块的安全性直接关系整网。会话管理与移动性：会话的建立与保持、用户在基站间移动时状态怎么跟着走（承载侧见 L4）。语音与 IMS：现在的移动语音就是 IP 语音，而承载它的 IMS 是一套独立且复杂的系统——本站 AT&T 域 L5 与 NTT 域 L5 从服务角度讲过语音，这里讲的是那些服务底层的设备。
L6 表示层
该层为空，没有产品或服务。它跨越无线、光传输、IP 路由与固网接入四条业务线，但没有独立的表示层加密产品——PON 下行的加密与隔离（见 L2）是接入技术本身内置的机制，不是单独销售的表示层能力。
L7 应用层
这一层是它的软件与安全线，规模远小于硬件，但在运营商项目里的分量不小。 三块内容。网络管理与自动化：管它自己四条线的设备——而这一块在这个域里比在单一产品线的厂商里更难做，因为无线、光传输、路由、固网接入的管理模型本来就不一样，统一到什么程度是选型时该验证的实际问题。无线网络的优化与分析：这是无线特有的一块——基站的覆盖、容量与干扰需要持续调优，而这件事的规模（几万个小区、每个几十个参数）让人工调优不可行，所以自动化与分析工具在无线运维里不是加分项而是必需品。面向运营商的网络安全：它有一条安全产品线，但定位要说清——那是给运营商保护自己网络的，不是给企业用的安全产品（企业需求见本站各安全域）。
夸层 运维与治理
这一层有三条与本站其他设备域不一样的东西，都值得单独讲。 一，采购是多年期框架合同：运营商网络建设按年规划，设备采购通常是三到五年的框架协议加逐年释放订单，所以议价的关键时点在框架谈判而不是每次订货，这与企业设备的逐次采购完全不同。二，地缘政治是这条线的真实变量：无线设备涉及国家安全审查，多个国家对设备来源有明确限制或倾向——这一条在本站其他任何设备域里都没有这么强的影响力，而它直接决定了在某个国家你能不能选它、或者必须选它。三，四条产品线的组合能力是它的核心商业逻辑：能把无线、传输、路由、固网打包进一个项目，是它相对单一产品线厂商的实质优势——但要如实说清代价：打包也意味着更深的绑定，以及在某条线上被迫接受不是最优的产品。
TP-Link
主场：L1 / L2
L1 物理层
这个域在本站的读法与其他设备厂商域不同，而第一节专门讲清这件事。 本站其他设备厂商域（思科、Juniper、Arista、Nokia、Ciena、H3C、锐捷）的重心都在运营商与企业，而这个域的重心在家庭与小微商用——而这恰恰是它值得单独有一个域的原因：本站每一个 ISP 域讲的那条最后一公里，另一端那台设备很可能就是这一类（本站 Comcast 域 L5 讲的远程办公最后一公里、L7 讲的自备设备，尽头都是这一档硬件）。三块内容。它是什么、不是什么：核心能力是成本与铺货规模，而不是运营商级特性——如实列出它不做的那些，并指向本站填补的域；这一节还要中性地讲清法人结构与签约主体这个评估事实项。
L2 数据链路层
这一层三节都在讲同一件事的不同侧面：功能名称相同，实现深度不同——而不知道这一点会做出错误的方案。 三档交换机与 VLAN 的实现深度：最常见的采购错误是买了中间那一档，以为能做完整的划分与隔离；这一节还要讲清一件事：环路在这一档设备上的后果比在企业设备上严重得多。无线漫游与访客隔离：「无缝漫游」的实际含义是终端决定何时切换，设备只能引导——这与本站 H3C 域、锐捷域讲的企业无线是同一个机制，但这一档的引导手段更少；而访客隔离要实测验证而不是假设。链路聚合与拓扑的边界：聚合不是带宽相加，单条流不会跨链路——这是跨域高频误解；而这一档通常没有真正的堆叠，所以拓扑必须按独立设备设计。
L3 网络层
这一层第三节是这个域最该被读到的一节，所以先说它：固件生命周期与暴露面。 它的三层角色是网关而不是路由器：主要能力是地址转换，动态路由即使有也不该按企业路由器的期待用；而这一节要讲清这一档设备上最高频的「配置了没效果」——端口转发在上游是共享转换地址时完全不起作用（这直接接本站 Comcast 域 L3 与 T-Mobile 域 L4：同样是「拿不到固定地址」，两种处境的绕法完全不同）。IPv6 在这一档设备上的现实：默认可达所以防火墙必须单独配；而前缀会变，于是内部规则会静默失效。
L4 传输层
这一层三节讲的都是规格表上看不出来、而实际会撞上的东西——而后两节是这一档设备特有的两个隐性瓶颈。 真正有效的那种 QoS：这一档设备的 QoS 开关多是「按设备限速」或者「按应用粗分类」，而它们通常解决不了真正的问题——唯一稳定有效的用法是上行整形，因为家用与小微网络的瓶颈几乎总在上行（机制见本站 Comcast 域 L4 第一节）。会话表容量：这是这一档最经典的隐性瓶颈——症状是「网络突然全断、重启就好」，而带宽根本没满。硬件加速路径与功能开启后的塌陷：标称速率是在硬件加速路径下测的，而一旦开启某些功能，流量掉到软件路径，吞吐可能掉一个数量级——「标称千兆的设备开了加密隧道只剩几十兆」就是这个。
L5 会话层
这一层两节，而这是如实的：这一档设备的会话层能力就这两块，写厚只会稀释。 隧道能力的真实边界：它能用，而边界在三处——吞吐受 CPU 限制（承接 L4 第三节）、并发数少、以及缺少证书与密钥的生命周期管理；这一节还要讲清一个决定可行性的前提：站点到站点时，两端各自拿到什么类型的地址决定了谁必须做主动发起方（承接 L3 第一节）。云管理带来的新依赖：集中管理解决了配置一致性问题，代价是引入一条设备到云端的常连接会话——而这带来三个必须问的问题，以及一个很容易被忽略的后果：云管理账号被盗等于所有设备被接管，所以那个账号的强度就是整个网络的强度。这一层的读法：两节都是「能用，但要知道边界在哪」，而边界不知道的话它们会在最不合适的时候暴露出来。
L6 表示层
这一层两节，如实写薄。 无线加密与那个共享密码问题：加密代次与过渡模式的取舍讲清之后，这一节的重点是一个管理问题而不是技术问题——一个密码所有人共用，而员工离职、客人来过、装修师傅问过之后，没有人会去改它；这一节给出小微环境里真正可行的替代做法，而不是那种「应该用企业级认证」的空话。数据、法域与固件来源可信：云管理平台的数据存放与上报范围要按合规要求核实，而签约主体那条不重复论证，指向 L1 第一节；这一节还要如实讲第三方固件的取舍——它能延长设备寿命，但你从此承担全部责任。它不做国密适配——中国大陆的国密合规场景要看本站 华为域、H3C 域、锐捷域与阿里云域。
L7 应用层
这一层两节，而第二节的最后一条是整个域的收尾判断，所以它最该被读到。 管理界面与可观测性的限度：你能拿到状态页、有限日志与基本统计，拿不到历史趋势、抓包与按流分析——而更要紧的是这一档设备的日志几乎都在内存里，设备一重启就没了，所以真正的解法是外送与自建；这一节给出必须自建的三个指标，而它们分别对应 L4 那三节讲的三个瓶颈。支持、备件，以及什么时候不该用这一档：按渠道销售的现实，「支持」是公开文档与社区，保修按零售渠道走——所以正确的备件策略是「多买一台放着」而不是买服务合同；而最后一条判断线要如实给出：如果一个位置的中断成本很高，设备成本就不是该省的地方。
