Poate rula ca mașină virtuală, se poate atașa unui switch virtual sau hypervizor ori poate fi implementat de o platformă de virtualizare pentru a inspecta traficul care intră, iese sau circulă între sarcini de lucru virtuale.
Amplasarea determină ce căi poate observa firewall-ul. Traficul dintre mașini virtuale de pe aceeași gazdă poate să nu traverseze niciodată un firewall fizic, în timp ce traficul dirijat printr-un echipament virtual poate necesita o inserție deliberată de servicii. Politica trebuie să urmărească identitatea sarcinii de lucru și nevoile de comunicare aprobate atunci când sarcinile migrează, se scalează sau primesc adrese noi.
Puncte esențiale
Modele de implementareUn echipament virtual poate proteja o subrețea sau o cale de gateway, în timp ce aplicarea integrată în hypervizor sau switch poate aplica reguli mai aproape de interfețele virtuale individuale.
OperațiuniControlați imaginile, actualizările de software, șabloanele de politici, interfețele administrative, jurnalele și automatizarea ciclului de viață cu aceeași rigoare ca la firewall-urile fizice.
Capacitate și reziliențăValidați throughput-ul, starea conexiunilor, costul inspecției, failover-ul și efectul unei defecțiuni la gazdă sau la planul de control; implementarea software nu elimină limitele de resurse.
Limitare importantă„Virtual” descrie implementarea, nu calitatea inspecției sau tăria izolării. O cale de ocolire, un strat de virtualizare compromis, o instanță amplasată greșit sau o politică inconsecventă pot lăsa traficul sarcinilor de lucru neprotejat.