ルータ型FWの「重さ」はどこから来るか
一般的なファイアウォールは L3（ルータ）として動きます。つまりネットワークの「住人」です。導入するには IP アドレスを与え、経路を設計し直し、既存機器のゲートウェイ設定を変え、停止時間を調整する必要があります。この再設計コストが、「セキュリティを足したいだけ」の現場には重すぎることがあります。
L2透過は、ネットワークの「住人」にならない
透過型（トランスペアレント）ファイアウォールは L2 ブリッジとして動きます。フレームを右から左へ運びながら検査する「賢い線」であり、IPアドレスを持たず、経路にも現れません。既存の回線を一箇所切って挟むだけで、アドレス設計には一切手を入れません。これが bump-in-the-wire です。
透過型ならではの設計上の含意もあります。データポートが IP を持たない・管理サービスを載せないなら、データパス経由で管理面を攻撃する経路がそもそも存在しません。管理は別NIC / 別VLANに分離されます。
運用の作法：見てから、絞る
インラインの遮断装置をいきなり全力で動かすのは危険です。正当な業務通信を知らずに遮断すれば、それは障害です。だから段階を踏みます。
この3段階は一方通行ではありません。新しいセグメントを足すときは observe に戻る。ポリシーを大きく変えるときは monitor で would-block を確認してから enforce する。「見てから、絞る」を往復するのが、インライン装置の安全な運用です。
fail-closed という選択
インライン装置には「箱が壊れたらどうなるか」という問いが必ず付きます。fail-open（素通し）は通信を止めない代わりに、障害中は無検査の窓になります。fail-closed（遮断）は安全側に倒れる代わりに、箱が単一障害点になります。どちらが正しいかは、守るものによって違います。だからこの選択は、仕様として明示し、選べるようにしてあります。