Boîte intermédiaire

Voici quelques exemples de boîtiers intermédiaires couramment utilisés :

• Les pare-feu filtrent le trafic en fonction d'un ensemble de règles de sécurité prédéfinies par un administrateur réseau. Les pare-feu IP rejettent les paquets « uniquement en fonction des champs des en-têtes IP et de transport (par exemple, interdire le trafic entrant vers certains numéros de port , interdire tout trafic vers certains sous-réseaux , etc.) » D'autres types de pare-feu peuvent utiliser des ensembles de règles plus complexes, notamment ceux qui inspectent le trafic au niveau de la session ou de la couche application.
• Les systèmes de détection d'intrusion (IDS) surveillent le trafic et collectent des données pour une analyse hors ligne afin de détecter les anomalies de sécurité. Contrairement aux pare-feu, les IDS ne filtrent pas les paquets en temps réel, car ils sont capables d'une inspection plus complexe et doivent décider d'accepter ou de rejeter chaque paquet dès son arrivée.
• Les traducteurs d'adresses réseau (NAT) remplacent les adresses IP source et/ou de destination des paquets qui les traversent. Généralement, les NAT sont déployés pour permettre à plusieurs hôtes de partager une seule adresse IP : les hôtes situés « derrière » le NAT se voient attribuer une adresse IP privée et leurs paquets destinés à l'Internet public traversent un NAT, qui remplace leur adresse privée interne par une adresse publique partagée. Ils sont largement utilisés par les opérateurs de réseaux mobiles pour gérer des ressources limitées.
• Les optimiseurs WAN améliorent la consommation de bande passante et la latence perçue entre les points de terminaison. Généralement déployés dans les grandes entreprises, les optimiseurs WAN sont installés à proximité des points de terminaison d'émission et de réception de la communication ; les dispositifs se coordonnent ensuite pour mettre en cache et compresser le trafic qui transite sur Internet.
• Les équilibreurs de charge offrent un point d'entrée unique vers un service, mais le trafic de transfert est acheminé vers un ou plusieurs hôtes qui fournissent effectivement le service.
• Les réseaux cellulaires utilisent des boîtiers intermédiaires pour garantir une utilisation efficace des ressources réseau limitées et pour protéger les appareils clients.

Certains boîtiers intermédiaires interfèrent avec le fonctionnement des applications, limitant ou empêchant les applications hôtes finales de fonctionner correctement.

En particulier, les traducteurs d'adresses réseau (NAT) présentent une difficulté : ils répartissent le trafic destiné à une adresse IP publique entre plusieurs destinataires. Lorsqu'une connexion entre un hôte sur Internet et un hôte situé derrière le NAT est initiée par ce dernier, le NAT apprend que le trafic de cette connexion appartient à l'hôte local. Ainsi, lorsque le trafic provenant d'Internet est destiné à l'adresse publique (partagée) sur un port particulier , le NAT peut le diriger vers l'hôte approprié. Cependant, les connexions initiées par un hôte sur Internet ne permettent pas au NAT d'« apprendre » à quel hôte interne la connexion est destinée. De plus, l'hôte interne lui-même peut ignorer sa propre adresse IP publique et ne pas pouvoir l'indiquer aux clients potentiels. Pour résoudre ce problème, plusieurs nouveaux protocoles ont été proposés.

De plus, comme les déploiements de boîtiers intermédiaires par les opérateurs de téléphonie mobile tels qu'AT&T et T-Mobile sont opaques, les développeurs d'applications ignorent souvent les politiques de ces boîtiers mises en œuvre par les opérateurs, tandis que ces derniers n'ont pas une connaissance complète du comportement et des exigences des applications. Par exemple, un opérateur a défini une valeur de délai d'expiration agressive pour recycler rapidement les ressources occupées par les connexions TCP inactives dans le pare-feu, ce qui a provoqué des interruptions fréquentes et inattendues des connexions persistantes et parfois inactives maintenues par des applications telles que la messagerie électronique et la messagerie instantanée .

Parmi les autres défis courants liés aux applications induits par les boîtiers intermédiaires, on peut citer les proxys Web servant du contenu « obsolète » ou périmé, et les pare-feu rejetant le trafic sur les ports souhaités.

L'un des reproches adressés aux boîtiers intermédiaires est qu'ils peuvent limiter le choix des protocoles de transport, et par conséquent la conception des applications et des services. Les boîtiers intermédiaires peuvent filtrer ou bloquer le trafic qui ne se conforme pas aux comportements attendus, ce qui peut entraîner l'exclusion de protocoles ou d'extensions de protocoles nouveaux ou peu courants. Plus précisément, comme les boîtiers intermédiaires empêchent les hôtes situés dans des domaines d'adressage privés de transmettre des identifiants permettant à d'autres hôtes de communiquer avec eux, ils ont freiné la diffusion de protocoles plus récents comme le protocole d'initiation de session (SIP) ainsi que de divers systèmes pair-à-pair. Cette réduction progressive de la flexibilité a été décrite comme une ossification des protocoles .

À l'inverse, certains boîtiers intermédiaires peuvent faciliter le déploiement de protocoles en assurant la traduction entre les anciens et les nouveaux protocoles. Par exemple, IPv6 peut être déployé sur des points d'accès publics tels que des équilibreurs de charge , des proxys ou d'autres formes de NAT, le trafic backend étant acheminé via IPv4 ou IPv6 .