Clients im gleichen IP-Segment kommunizieren untereinander letztlich auf L2, nicht L3.
Das ist so nicht korrekt. Wenn du zwischen 192.168.0.1/24 und 192.168.0.2/24 kommunizierst, dann ist das in aller Regel immer eine L3 Kommunikation, weil der Applikationsstack in aller Regel nur die IP des jeweiligen Partners kennt.
Wenn du also beispielsweise die Webseite der Fritzbox aufrufst, dann rufst du (vom Client aka Webrowser) die IP der FB auf und darauf dann TCP und darauf den HTTP-Port.
Die MAC-Adresse (L2) wird lediglich für das pathfinding im Netzwerk (Switch) benötigt. Die Clients, sprich die Applikationen wissen nix von irgendwelchen MACs.
Worauf die Routingperformance anzielt, ist der Umstand, wenn eine L3 Kommunikation (die auch im gleichen Subnetz stattfinden kann) das eigene Subnetz verlässt, dann muss in dem Fall das Routing (L3 Pathfinding) aktiv werden. Und das kostet, weil die MT-Geräte alles in Software lösen, Rechenleistung, weil sie tiefer in das Telegram reinschauen müssen. Das müssen sie, weil nicht mehr nur die MAC-Adresse (das wäre L2 pathfinding) relevant ist, sondern auf die IP-Adresse und die steht im Ethernetframe weiter hinten und das aufzudröseln kostet mehr CPU Power.
Daher sind die CRS-Geräte da langsamer, weil deren CPU zwar L3 pathfinding kann, aber zuwenig CPU Power für ordentlich Bums hat.
Die aller aller wenigsten Applikationen arbeiten auf L2-Ebene, allenfalls noch mittels Broadcast. Und das sind evtl. 1 millionstel aller Fälle in der Home und Standard-IT-Welt. Alle anderen Client arbeiten mit IP-Adressen bzw. DNS-Auflösungen, wo dann wieder IPs dahinterstehen und das ist dann bekanntlich L3.
Am Ende hast du bei einem L3 Client auch immer die L2-Adresse in Verwendung, da nur so das L3 Paket überhaupt den Client verlassen kann, da ein Ethernetframe am Anfang mehr oder weniger immer mit der MAC-Adresse anfängt.
Die Unterscheidung liegt dann im Pathfinding. Findet die Kommunikation im selben IP-Subnet statt, ist am Pathfinding kein L3-Gerät (Router) beteiligt, sondern es kommen nur L2-Geräte (Switch) zum Einsatz. (oder die jeweiligen Komponenten in einem L2/L3-Gerät) Sofern kein direkt connect besteht.
Muss die Kommunikation das Subnetz verlassen, dann ist am Pathfinding ein L2-Gerät (optional) aber auch ein L3 Gerät beteiligt.
Dennoch kommunizieren die Clients in beiden Fällen mittels L3 (IP).
Der Unterschied liegt also lediglich in den verschiedenen beteiligten Netzwerkkomponenten.
Ja, eine Firewall ist L3 und eine Fritte kann auch keine VLANs.
Eine Firewall kann auch L2 sein, sie kann aber auch L4-7 sein. Das kommt auf die Firewall und den Usecase an. Es gibt Sachverhalte, da bringt dir ne L3 Firewall nichts, weil du auf L2 die Probleme lösen musst. Und genauso willst du bei einer Firewall manchmal den Nutzdateninhalt überprüfen, da kommst du mit L3 auch nicht mehr weit.
Hier ein Beispiel einer L2 Firewall basierend auf iptables.
LAN or wireless access can be filtered by using the MAC addresses of the devices transmitting within your network. A mac address is acronym for media access control address, is a unique address assigned to almost all-networking hardware such as Ethernet cards, routers, mobile phones, wireless...
www.cyberciti.biz
Da stehen nirgends IP-Adresse und dennoch wird gefiltert.
EDIT:
Diese Softwarelösung bei MT führt dann zu solchen lustigen Konstellationen, dass es schneller ist die Pakete eines CRS354 in einen RB4011 zustecken, da zu routen und dann wieder zurück. (sprich über VLANs raus das Zeug, zwischen den VLAN (IP-Subnetzen) im 4011 routen und dann über das andere VLAN wieder zurück)
Sprich das Streichholzschachtelgerät hat, für L3, mehr Bums als der fette Brummer.
Klingt komisch, ist aber so.