Tworzy wpisy w tablicy stanu dla dozwolonej komunikacji i porównuje późniejsze pakiety z oczekiwanymi adresami, portami, protokołem, kierunkiem i stanem połączenia. Pasujący ruch powrotny może zatem być obsługiwany bez osobnej, szerokiej reguły przychodzącej.
Dla protokołu Transmission Control Protocol (TCP) zapora może śledzić nawiązywanie, użycie i zakończenie połączenia. Protokoły bezpołączeniowe, takie jak User Datagram Protocol (UDP), nie mają równoważnego powitania (handshake), więc implementacje zwykle utrzymują tymczasowy stan przepływu i wygaszają go po limicie czasu. Produkty różnią się walidacją sekwencji, świadomością aplikacji, obsługą fragmentów i synchronizacją stanu między węzłami redundantnymi.
Najważniejsze punkty
Decyzja politykiNowy przepływ musi spełniać skonfigurowaną regułę; kolejne pakiety muszą spełniać zarówno politykę, jak i stan zapisany przez zaporę.
Operacje na stanieDobieraj rozmiar tablic i limity czasu do oczekiwanego obciążenia, chroń przed wyczerpaniem stanu, monitoruj nietypowe tempo tworzenia wpisów i usuwaj nieaktualne pozycje bez przerywania długotrwałych usług.
ArchitekturaUwzględniaj routing asymetryczny, klastry, failover, translację adresów sieciowych i ścieżki omijające stanowy punkt egzekwowania; synchronizuj stan tam, gdzie wymaga tego ciągłość.
Istotne ograniczenieStan połączenia nie jest uwierzytelnieniem użytkownika ani bezpieczeństwem aplikacji. Dozwolony stanowy przepływ może przenosić złośliwe treści, a niedokładny, wyczerpany lub brakujący stan może blokować uprawniony ruch lub wpuszczać ruch niezamierzony przez politykę.