Waar moeten applicatiebewuste enterprise firewall policies worden toegepast op dezelfde WAN Edge router?

Applicatiebewuste enterprise firewall policies worden toegepast binnen een 'zone pair' op dezelfde WAN Edge router. Een zone pair definieert de richting van het verkeer tussen twee beveiligingszones (bijvoorbeeld van een interne zone naar een externe zone) en is de logische plaats om firewallregels te handhaven die specifiek zijn voor die verkeersstroom. "Binnen en tussen zones" is te breed; de specifieke handhaving vindt plaats op de zone pair. "Tussen twee VPN tunnels" is onjuist omdat VPN tunnels transportmechanismen zijn, geen directe plaatsen voor firewall policy-handhaving op applicatieniveau. "Tussen twee VRF's" (Virtual Routing and Forwarding) is ook onjuist; VRF's isoleren routingtabellen, maar de firewall policy's worden toegepast op de verkeersstroom tussen zones, ongeacht of deze VRF's gebruiken.