Порты для подключения защищаемых сетей и порты для подключения внешних сетей объединяются в пары, между которыми пропускается транзитный защищаемый трафик:
• Защищаемый открытый трафик перехватывается из порта LANn, инкапсулируется (в протокол EtherIP, RFC 3378), фильтруется, зашифровывается (IPsec) и отправляется через парный порт WANn.
• Зашифрованный трафик принимается из порта WANn, фильтруется, расшифровывается (IPsec), декапсулируется (из протокола EtherIP) и отправляется через парный порт LANn.
Для обработки транзитного и входящего трафика запускается некоторое количество однотипных вычислительных потоков. Каждый такой вычислительный поток представляется в Продукте как логический сетевой интерфейс DPx (где x от 0 до 247) и используется в политике безопасности как объект, с которым связывается набор правил фильтрации и защиты трафика. На этих логических интерфейсах нельзя настроить IP-адрес и MTU, нельзя включить/отключить интерфейс.
Вычислительные потоки обрабатывают трафик всех пар интерфейсов WANn-LANn и должны иметь единый набор правил фильтрации. Если присутствует несколько пар интерфейсов WANn-LANn, относящихся к разным защищаемым сетям, то в едином наборе правил фильтрации записываются отдельные правила для каждой защищаемой подсети. Для защиты каждой защищаемой подсети создается набор соединений IPsec, по одному на каждый логический интерфейс DPx.
Для портов WANn и LANn в ОС создается набор виртуальных сетевых интерфейсов vEth<n> (в Продукте показываются как vEthernet<n>). Номер vEth<n> совпадает с номером порта в конфигурационном файле ipsm_dpdk.cfg. Эти интерфейсы видны в tcp/ip-стеке ОС и, в случае vEth, соответствующих WAN-портам, необходимы для построения IKE, отправки snmp, и т.д.
На внешние виртуальные сетевые интерфейсы назначаются IP-адреса, которые в дальнейшем будут использованы в качестве адресов источника в заголовках IP-пакетов протоколов ISAKMP и ESP. Данные адреса используются также операционной системой при осуществлении маршрутизации трафика, для того, чтобы локально сгенерированный трафик мог быть направлен через правильный интерфейс в WAN. Виртуальные сетевые интерфейсы vEthernet<n> (vEth<n>) могут использоваться в политике безопасности для организации защищённых соединений между Шлюзами DP, но не для защиты транзитного трафика защищаемых сетей из/в порты LANn. Трафик портов MNGn может маршрутизироваться через интерфейсы vEth, при этом необходимо обеспечить защиту сетей управления путем блокирования или криптографической защиты соответствующего трафика.