Переваги прикладного рівня:

• Маскування захищеної мережі.

• Широкі можливості (строга аутентифікація, детальне протоколювання).

• Мережа, що впала, залишається заблокованою, тобто захищеною.

Недоліки:

• Висока вартість.

• Низька продуктивність.

Рівень з'єднання

Шлюз на рівні з'єднання є системою, що транслює з'єднання зовні. При встановленні доступу користувацький процес з'єднується з брандмауером, який, у свою чергу, самостійно встановлює з'єднання із зовнішнім вузлом. Під час роботи брандмауер просто копіює вхідну/вихідну інформацію. Даний шлюз треба розглядати не як самостійний механізм, а лише як специфічне рішення деяких завдань, наприклад, для роботи з нестандартними протоколами, якщо необхідно створити систему збору статистики для певного сервісу, надати доступ лише до певних зовнішніх адрес, здійснити базовий моніторинг тощо.

На жаль, вже існують системи, що спеціально призначені для обходу такого роду обмежень. Прикладом може служити програмний комплекс AntiFirewall від iNetPrivacy Software. Він дозволяє спілкуватися за допомогою ICQ або IRC, використовувати FTP і Usenet, забирати пошту із зовнішніх серверів POP3 і IMAP (можливість відправки не надається).

Спосіб обходу є простим: трафік втілюється в протокол HTTP (який, як правило, не блокується), а конвертація відбувається на зовнішніх проксі-серверах, які встановлюють з'єднання з необхідними службами за відповідними протоколами. Така схема додатково надає наступну можливість: IP-адреса користувача маскується і забезпечується певна анонімність.

Функції брандмауерів

Ідеальний персональний брандмауер повинен виконувати шість функцій:

1. Блокування зовнішніх атак.

В ідеалі брандмауер повинен блокувати всі відомі типи атак, зокрема:

• Сканування портів.

• IP-Spoofing - заміна адреси відправника в заголовках IP пакетів.

• DoS-атака (Denial of Service — «відмова в обслуговуванні») і DDoS-атака (Distributed Denial of Service — «розподілена відмова в обслуговуванні») — це різновиди атак зловмисника на комп'ютерні системи. Метою атак є створення таких умов, при яких легітимні (правомірні) користувачі системи не можуть доступитися до ресурсів, що надаються системою, або цей доступ ускладнено.

• Підбір паролів та інше.

2. Блокування витоку інформації.

Навіть, якщо шкідливий код проник в комп'ютер (не обов'язково через мережу, а, наприклад, у вигляді вірусу на неліцензійному CD), брандмауер повинен запобігти витоку інформації і заблокувати вірусу вихід у мережу.

3. Контроль застосувань.

Наявність відкритих портів є одним з найвужчих місць в блокуванні витоку інформації, а одним з надійних способів завадити проникненню вірусів через ці двері є контроль застосувань, що запрошують дозвіл на доступ. Окрім банальної перевірки за іменем файлу, варто перевіряти автентичність застосування.

4. Підтримка зонального захисту.

Робота в локальній мережі часто передбачає практично повну довіру до локального контенту, що відкриває унікальні можливості з використання новітніх (як правило, потенційно небезпечних) технологій. В той же час рівень довіри до Інтернет контенту є значно нижчим, а тому, слід застосовувати диференційований підхід до аналізу небезпеки того чи іншого змісту.

5. Протоколювання і попередження.

Брандмауер повинен збирати лише необхідний об'єм інформації — надлишок, так само як і недостатність відомостей є недопустимими. Можливість налаштування файлів реєстрації і вказування причин для привертання уваги користувача є доволі потрібними.

6. Максимально прозора робота.

Ефективність і вживаність системи часто є зворотно пропорційною до складності її налаштування, адміністрування і супроводу. Не дивлячись на традиційний скепсис стосовно майстрів (wizards) з налаштування брандмауера, навіть досвідчені адміністратори не нехтують ними хоча б з метою економії часу.

Недоліки брандмауерів

Не можна забувати і про недоліки брандмауерів, причому не окремих рішень, а всієї технології в цілому.

Розрізненість систем захисту

Це одна з найважливіших проблем, вирішити яку намагаються багато постачальників, але поки без особливого успіху. В багатьох брандмауерах відсутній захист від саботажу з боку авторизованих користувачів. Це питання можна розглядати з етичної, соціальної або будь-якої іншої точки зору, але суті справи це не міняє: брандмауери не здатні заборонити авторизованому користувачеві вкрасти (передати, знищити, модифікувати) важливу інформацію.

І хоча вже давно існують інші рішення (наприклад, розмежування доступу тощо), проблема полягає в розрізненості всіх подібних систем, які, за суттю, повинні виконувати одну і ту ж функцію. Поки антивірусні програми, системи виявлення вторгнень, розмежування доступу тощо не отримають єдиного центру управління, ефективність кожної з них є сумнівною.