Blablaman

В предназначении и внутреннем устройстве)

L3-свич хорошо "гоняет" (пропускает без значимого изменения) трафик, делает обычный forwarding между сетями, умеет динамическую маршрутизацию. Из начального пакета он меняет в основном source и destination MAC-адреса, QoS да CRC. Конечно, навороченные коммутаторы умеют делать GRE, некоторые даже IPSec, но вы не получите большой производительности от этого.

Маршрутизатор именно "молотит" пакетики с данными - активно вносит изменения в заголовки, инкапсулирует в туннели, натит, терминирует ppp-сети. Он, как видите, активно меняет содержимое пакетов, залазя глубже уровня ethernet.

Отсюда отличие во внутреннем устройстве - внутри коммутатора ASICи и QoS-процессоры, внутри маршрутизатора - умные процессоры и другие различные приблуды для своих целей (аппаратная поддержка шифрования)

Если вы посмотрите router perfomance и switch perfomance таблицы, вы увидите, что у коммутаторов производительность измеряется в количестве пропущенного трафика, а у маршрутизатора - в количестве обработанных пакетов.

Ну и да, отличие, конечно же в наборе функций) Понятно, что тот же isis в большинстве случаев умеет и коммутатор, и маршрутизатор. Но если сравнивать по feature navigator например, вы увидите, что на самом деле коммутаторы умеют меньше.

Давай по-порядку. Зачем вообще юзать IPSec - для того, чтобы защитить трафик идущий по публичным (или не очень) сетям. Сделать возможность перехвата, расшифровки или компрометации трафика минимальной. Для этих целей подходят туннели типа OpenVPN и IPSec (всё остальное либо проприетарное, либо ломается на ура).
Имхо, oVPN больше подходит для приземления клиентов, а IPSec для связи сетей.

Дальше. IPSec способен работать в двух режимах, туннельном и транспортном.

Тот что ты описал - туннельный - после появления первого пакета с данными, подходящими под условия политики - поднимается туннель и остаётся открытым пока идёт траф или таймаут его не убьёт. Туннельный режим хорош тем, что, действительно, настроил политики и всё работает как бы само.

Транспортный режим - соединяет трафик идущий между двумя точками - между двумя устройствами - без построения туннеля. Т.е. просто (де)шифрование пакетов. И для построения туннель нужно будет использовать отдельно IPIP, или L2TP или любой другой протокол Point to Point.

Нафига же нам может такой понадобиться? Например если у тебя соединяются не две отдельные сети, а несколько с каждой стороны (политик в этом случае нужно в X*Y). А может ты строишь множественную связность, когда нельзя однозначно сказать через какой Peer доступна та или иная сеть (например с ospf внутри). А может быть у тебя по туннелю гоняется не IP трафф (а телефония или мультикаст или FoIP или ATAIP). А может так же ты гоняешь l2 пакеты (например, сбриджевал два офиса и у них общая адресация - при небольшом расстоянии вполне себе решение). А ещё иногда нужно перестроить сеть без сброса всех активных туннелей (что в предыдущем случае невозможно). В целом использование транспорта IPSec - гораздо более удобнее.