Самая большая причина, о которой я знаю? IPv6. В значительной степени причина, по которой был предложен IPv6, заключалась в том, чтобы обойти проблему исчерпания адресов IPv4 и избавиться от «уродливого взлома», который нат. Из-за комбинации IPv4+NAT слишком многие люди автоматически предполагают, что брандмауэр == нат это не так. Почти все брандмауэры могут использовать NAT, но не все решения NAT могут работать с брандмауэрами.
IPv6 предполагает незамаскированную сеть, что вызывает некоторые проблемы у людей, привыкших ко всему в масках. В сети IPv6 гораздо безопаснее исходить из того, что «общедоступный» IPv6-адрес не является гарантией маршрутизации.
Но это не только IPv6. В университете, в котором я работал, было распределение IPv4 /16, когда я там работал. У них были рабочие столы с «публичными» IP-адресами. Тем не менее, они все еще были защищены брандмауэром, потому что наши брандмауэры работали в «прозрачном» режиме. У нас было адресное пространство, почему бы и нет? Это также упростило обработку некоторых вариантов использования без необходимости играть в игры с переадресацией портов NAT и назначением общедоступных IP-адресов.
Если ваше определение прозрачности означает службу безопасности L2, варианты ее использования распространены даже в сетях IPv4.
- Группы безопасности AWS работают таким образом для своих ec2, виртуальное частное облако и другие сервисы.
- Группы безопасности Azure работают аналогичным образом.
- Я давно не работал с ним, но я считаю, что в сетях VMWare ESX был аналогичный вариант.
Эти системы являются ядром сетевой безопасности у основных поставщиков общедоступных облачных сервисов. Вы определяете список разрешающих/запрещающих правил, и они применяются к ресурсу. В AWS это интерфейс экземпляра EC2, Lambda или другого сервиса. Брандмауэр не существует на коробке, как iptables, а ниже виртуальной машины. Это делает его прозрачным устройством L2.
