Caja intermedia

Los siguientes son ejemplos de dispositivos intermedios comúnmente utilizados:

• Los firewalls filtran el tráfico según un conjunto de reglas de seguridad predefinidas por un administrador de red. Los firewalls IP rechazan paquetes "basándose exclusivamente en campos de las cabeceras IP y de transporte (por ejemplo, no permiten el tráfico entrante a determinados números de puerto , no permiten ningún tráfico a determinadas subredes , etc.)" ^{[ 1 ].} Otros tipos de firewalls pueden utilizar conjuntos de reglas más complejos, incluidos aquellos que inspeccionan el tráfico en la capa de sesión o de aplicación. ^{[ 5 ].}
• Los sistemas de detección de intrusiones (IDS) monitorean el tráfico y recopilan datos para su análisis fuera de línea en busca de anomalías de seguridad. A diferencia de los firewalls, los IDS no filtran paquetes en tiempo real, ya que son capaces de realizar inspecciones más complejas y deben decidir si aceptan o rechazan cada paquete a medida que llega. ^{[ 6 ]}
• Los traductores de direcciones de red (NAT) reemplazan las direcciones IP de origen y/o destino de los paquetes que los atraviesan. Normalmente, los NAT se implementan para permitir que varios hosts finales compartan una única dirección IP : a los hosts "detrás" del NAT se les asigna una dirección IP privada y sus paquetes destinados a Internet pública atraviesan un NAT, que reemplaza su dirección privada interna con una dirección pública compartida. ^{[ 7 ]} Estos son ampliamente utilizados por los proveedores de redes celulares para administrar recursos escasos. ^{[ 8 ]}
• Los optimizadores WAN mejoran el consumo de ancho de banda y la latencia percibida entre los puntos finales. Generalmente implementados en grandes empresas, los optimizadores WAN se instalan cerca de los puntos finales de comunicación, tanto de envío como de recepción; los dispositivos se coordinan para almacenar en caché y comprimir el tráfico que atraviesa Internet. ^{[ 9 ]}
• Los balanceadores de carga proporcionan un único punto de entrada a un servicio, pero reenvían el tráfico a uno o más hosts que son los que realmente prestan el servicio.
• Las redes celulares utilizan dispositivos intermedios para garantizar que los escasos recursos de la red se utilicen de manera eficiente, así como para proteger los dispositivos de los clientes.

Algunos dispositivos intermedios interfieren con la funcionalidad de las aplicaciones, restringiendo o impidiendo que las aplicaciones host finales funcionen correctamente.

En particular, los traductores de direcciones de red (NAT) presentan un desafío, ya que los dispositivos NAT dividen el tráfico destinado a una dirección IP pública entre varios receptores. Cuando el host detrás del NAT inicia conexiones entre un host en Internet y un host, el NAT aprende que el tráfico para esa conexión pertenece al host local. Por lo tanto, cuando el tráfico proveniente de Internet está destinado a la dirección pública (compartida) en un puerto específico , el NAT puede dirigir el tráfico al host correspondiente. Sin embargo, las conexiones iniciadas por un host en Internet no le brindan al NAT la oportunidad de "aprender" a qué host interno pertenece la conexión. Además, es posible que el propio host interno ni siquiera conozca su dirección IP pública para anunciar a los clientes potenciales a qué dirección conectarse. Para resolver este problema, se han propuesto varios protocolos nuevos. ^{[ 12 ] [ 13 ] [ 14 ]}

Además, debido a la opacidad de las implementaciones de middlebox por parte de operadores de telefonía móvil como AT&T y T-Mobile , los desarrolladores de aplicaciones a menudo desconocen las políticas de middlebox impuestas por los operadores, mientras que estos últimos carecen de un conocimiento completo sobre el comportamiento y los requisitos de las aplicaciones. Por ejemplo, un operador estableció un valor de tiempo de espera agresivo para reciclar rápidamente los recursos que mantenían las conexiones TCP inactivas en el firewall, lo que provocó interrupciones frecuentes e inesperadas en las conexiones de larga duración y ocasionalmente inactivas que mantenían aplicaciones como el correo electrónico y la mensajería instantánea basados ​​en notificaciones push . ^{[ 8 ]}

Otros desafíos comunes de las aplicaciones inducidos por el middlebox incluyen proxies web que sirven contenido "obsoleto" o desactualizado, ^{[ 15 ]} y firewalls que rechazan el tráfico en los puertos deseados. ^{[ 16 ]}

Una crítica a los middleboxes es que pueden limitar la elección de protocolos de transporte, lo que restringe el diseño de aplicaciones o servicios. Los middleboxes pueden filtrar o descartar el tráfico que no se ajusta a los comportamientos esperados, por lo que los protocolos nuevos o poco comunes, o las extensiones de protocolo, pueden quedar excluidos. ^{[ 17 ]} Específicamente, debido a que los middleboxes impiden que los hosts en dominios de direcciones privadas puedan "pasar identificadores que permitan a otros hosts comunicarse con ellos", han obstaculizado la difusión de protocolos más recientes como el Protocolo de Inicio de Sesión (SIP), así como de varios sistemas peer-to-peer. ^{[ 10 ] [ 18 ]} Esta reducción progresiva de la flexibilidad se ha descrito como osificación de protocolos . ^{[ 19 ] [ 20 ]}

Por el contrario, algunos dispositivos intermedios pueden ayudar en la implementación de protocolos proporcionando una traducción entre protocolos nuevos y antiguos. Por ejemplo, IPv6 se puede implementar en puntos finales públicos como balanceadores de carga , proxies u otras formas de NAT, con el tráfico de backend enrutado a través de IPv4 o IPv6 .