ミドルボックス

以下は、一般的に導入されているミドルボックスの例です。

• ファイアウォールは、ネットワーク管理者が定義した一連の事前定義済みセキュリティルールに基づいてトラフィックをフィルタリングします。IPファイアウォールは、「IPヘッダーとトランスポートヘッダーのフィールドのみに基づいてパケットを拒否します（例：特定のポート番号への着信トラフィックを禁止する、特定のサブネットへのトラフィックを一切禁止するなど）」^{[ 1 ]。}他のタイプのファイアウォールは、セッション層またはアプリケーション層でトラフィックを検査するものなど、より複雑なルールセットを使用する場合があります。^{[ 5 ]}
• 侵入検知システム（IDS）は、トラフィックを監視し、セキュリティ異常のオフライン分析のためにデータを収集します。ファイアウォールとは異なり、IDSはリアルタイムでパケットをフィルタリングしません。これは、IDSがより複雑な検査を実行でき、到着した各パケットを受け入れるか拒否するかを決定する必要があるためです。^{[ 6 ]}
• ネットワークアドレス変換（NAT）は、通過するパケットの送信元および/または宛先IPアドレスを置き換えます。通常、NATは複数のエンドホストが単一のIPアドレスを共有できるようにするために展開されます。NATの「背後」にあるホストにはプライベートIPアドレスが割り当てられ、パブリックインターネット宛のパケットはNATを通過し、内部のプライベートアドレスが共有パブリックアドレスに置き換えられます。^{[ 7 ]}これらは、限られたリソースを管理するために携帯電話ネットワークプロバイダーによって広く使用されています。^{[ 8 ]}
• WANオプティマイザは、エンドポイント間の帯域幅消費と体感遅延を改善します。通常、大企業に導入されるWANオプティマイザは、通信の送信エンドポイントと受信エンドポイントの両方の近くに配置され、デバイスが連携してインターネットを通過するトラフィックをキャッシュおよび圧縮します。^{[ 9 ]}
• ロードバランサーはサービスへの入り口を1つだけ提供しますが、トラフィックの流れを実際にサービスを提供する1つまたは複数のホストに転送します。
• 携帯電話ネットワークは、限られたネットワークリソースを効率的に使用するとともに、クライアントデバイスを保護するために、ミドルボックスを使用します。

一部のミドルボックスはアプリケーションの機能に干渉し、エンドホストアプリケーションが正常に動作することを制限または妨げる。

特に、ネットワーク アドレス トランスレータ (NAT) は、NAT デバイスがパブリック IP アドレス宛のトラフィックを複数の受信側に分割するという課題を提起します。インターネット上のホストと NAT の背後にあるホスト間の接続が NAT の背後にあるホストによって開始されると、NAT はその接続のトラフィックがローカル ホストに属することを学習します。したがって、インターネットから来るトラフィックが特定のポートのパブリック (共有) アドレス宛である場合、NAT はトラフィックを適切なホストに転送できます。しかし、インターネット上のホストによって開始された接続は、NAT が接続がどの内部ホストに属するかを「学習」する機会を与えません。さらに、内部ホスト自体が、潜在的なクライアントに接続先のアドレスを通知するための自身のパブリック IP アドレスさえ知らない場合があります。この問題を解決するために、いくつかの新しいプロトコルが提案されています。^{[ 12 ] [ 13 ] [ 14 ]}

さらに、 AT&TやT-Mobileなどの携帯電話事業者によるミドルボックスの展開は不透明であるため、アプリケーション開発者は「事業者が実施するミドルボックスのポリシーを認識していない」ことが多く、事業者もアプリケーションの動作や要件について十分な知識を持っていません。たとえば、ある通信事業者は「ファイアウォール内の非アクティブなTCP接続によって保持されているリソースを迅速に再利用するために積極的なタイムアウト値を設定したため、プッシュ型メールやインスタントメッセージングなどのアプリケーションによって維持されている、長期間継続し、時折アイドル状態になる接続に予期せず頻繁な中断が発生した」のです。^{[ 8 ]}

ミドルボックスによって引き起こされるその他の一般的なアプリケーションの課題としては、Webプロキシが「古い」または古いコンテンツを提供すること^{[ 15 ] 、ファイアウォールが目的のポートでのトラフィックを拒否すること[ 16 ]}などが挙げられます。

ミドルボックスに対する批判の一つは、トランスポートプロトコルの選択肢を制限し、アプリケーションやサービスの設計を制限する可能性があるという点です。ミドルボックスは、想定される動作に従わないトラフィックをフィルタリングまたは破棄する可能性があるため、新しいプロトコルや一般的でないプロトコル、あるいはプロトコル拡張がフィルタリングされる可能性があります。^{[ 17 ]}特に、ミドルボックスはプライベートアドレス領域のホストが「他のホストが通信できるようにするハンドルを渡す」ことができないようにするため、セッション開始プロトコル（SIP）などの新しいプロトコルやさまざまなピアツーピアシステムの普及を妨げてきました。^{[ 10 ] [ 18 ]}このような柔軟性の漸進的な低下は、プロトコルの硬直化として説明されています。^{[ 19 ] [ 20 ]}

逆に、一部のミドルボックスは、新旧プロトコル間の変換を提供することで、プロトコルの展開を支援できます。たとえば、ロードバランサー、プロキシ、その他のNATなどのパブリックエンドポイントにIPv6を展開し、バックエンドのトラフィックをIPv4またはIPv6経由でルーティングすることができます。