El plano de datos está donde están los paquetes
La clasificación, la inspección y la aplicación ocurren en una vía rápida unida directamente a las interfaces. No hay desvío a un host proxy ni un segundo equipo en el camino. El cortafuegos que enruta el paquete es el que decide sobre él.
El plano de control es el dueño de la decisión
Una sola cadena produce un veredicto por sesión. La identidad, la aplicación, la categoría, la reputación y los hallazgos de contenido se reúnen antes de decidir nada, de modo que dos subsistemas nunca pueden discrepar sobre el mismo flujo.
El plano de gestión es suyo
La consola es un contenedor que ejecuta en su propio servidor, bajo su propio dominio. Guarda el árbol de inquilinos, los conjuntos de políticas y los contadores. Nada sobre las organizaciones que administra se almacena en ningún otro sitio.
El fallo es un estado previsto
Si la consola no está accesible, el cortafuegos sigue aplicando la política que ya tiene. Si el motor se detiene, el filtrado propio de la plataforma continúa. Ninguno de los dos componentes es un punto único de fallo del otro.