Może działać jako maszyna wirtualna, podłączać się do wirtualnego przełącznika lub hipernadzorcy albo być implementowana przez platformę wirtualizacji w celu inspekcji ruchu wchodzącego, wychodzącego lub przenoszonego między wirtualnymi obciążeniami.
Umiejscowienie określa, które ścieżki zapora może obserwować. Ruch między maszynami wirtualnymi na jednym hoście może nigdy nie przekroczyć fizycznej zapory, a ruch kierowany przez wirtualne urządzenie może wymagać celowego wstawienia usługi (service insertion). Polityka powinna podążać za tożsamością obciążenia i zatwierdzonymi potrzebami komunikacyjnymi, gdy obciążenia migrują, skalują się lub otrzymują nowe adresy.
Najważniejsze punkty
Modele wdrożeniaWirtualne urządzenie może chronić podsieć lub ścieżkę bramy, podczas gdy egzekwowanie zintegrowane z hipernadzorcą lub przełącznikiem może stosować reguły bliżej poszczególnych interfejsów wirtualnych.
OperacjeKontroluj obrazy, aktualizacje oprogramowania, szablony polityk, interfejsy administracyjne, logi i automatyzację cykłu życia z taką samą starannością jak przy fizycznych zaporach.
Pojemność i odpornośćWaliduj przepustowość, stan połączeń, koszt inspekcji, failover i skutki awarii hosta lub płaszczyzny sterowania; wdrożenie programowe nie usuwa limitów zasobów.
Istotne ograniczenie„Wirtualna" opisuje implementację, a nie jakość inspekcji ani siłę izolacji. Ścieżka obejścia, skompromitowana warstwa wirtualizacji, źle umieszczona instancja lub niespójna polityka mogą pozostawić ruch obciążeń bez ochrony.