Může běžet jako virtuální stroj, připojovat se k virtuálnímu switchi či hypervizoru, nebo být implementován virtualizační platformou k inspekci provozu vstupujícího do virtuálních úloh, opouštějícího je či se mezi nimi pohybujícího.
Umístění určuje, které cesty firewall může pozorovat. Provoz mezi virtuálními stroji na jednom hostiteli nemusí nikdy překročit fyzický firewall, zatímco provoz směrovaný přes virtuální appliance může vyžadovat promyšlené vložení služby. Politika by měla při migraci, škálování nebo přidělení nových adres úloh sledovat identitu úlohy a schválené komunikační potřeby.
Klíčové body
Modely nasazeníVirtuální appliance může chránit podsíť nebo cestu brány, zatímco vynucení integrované do hypervizoru či switche může uplatňovat pravidla blíže k jednotlivým virtuálním rozhraním.
ProvozŘiďte image, softwarové aktualizace, šablony politik, administrativní rozhraní, logy a automatizaci životního cyklu se stejnou přísností jako u fyzických firewallů.
Kapacita a odolnostValidujte propustnost, stav spojení, náklady inspekce, failover a vliv selhání hostitele či řídicí roviny; softwarové nasazení neodstraňuje limity prostředků.
Důležité omezení„Virtuální" popisuje implementaci, nikoli kvalitu inspekce či sílu izolace. Obcházející cesta, kompromitovaná virtualizační vrstva, špatně umístěná instance nebo nekonzistentní politika mohou nechat provoz úloh nechráněný.