Os firewalls Cisco baseados em zonas ( Zone-Based Policy Firewall – ZFW) adotam um modelo de controle de tráfego que organiza interfaces em zonas de segurança e aplica políticas de

A Interface de Túnel Virtual (VTI) IPSec e o GRE+IPSec permitem o confinamento de conexões VPN site-to-site e de clientes em zonas de segurança multicast, posicionando as interfaces de túnel em nichos de segurança compatíveis com o protocolo.

Firewalls com políticas baseadas em zonas demandam que a configuração da zona deve ser realizada antes da atribuição de interfaces a elas, sendo uma interface atribuída a apenas uma zona de segurança.

Firewalls que utilizam política baseada em zonas (ZFW) adotam um modelo de configuração baseado na aplicação de uma política de inspeção em interface empregada a todo tráfego que pela interface passa.

O conjunto de interfaces atribuídas a uma mesma zona, que integra regiões de segurança relativas em uma rede, apresentam proteção com níveis de segurança distintos, mutuamente exclusivos e complementares.

O esquema de configuração de inspeções de um firewall baseados em zona mantém compatibilidade com a abordagem adotada pelos firewalls Cisco IOS Classic com controle de acesso baseados em contexto.