Acesta creează intrări într-un tabel de stare pentru comunicația permisă și compară pachetele ulterioare cu adresele, porturile, protocolul, direcția și starea conexiunii așteptate. Traficul de întoarcere corespunzător poate fi astfel tratat fără o regulă separată, largă, de intrare.
Pentru Transmission Control Protocol (TCP), firewall-ul poate urmări stabilirea, utilizarea și terminarea conexiunii. Protocoalele fără conexiune, precum User Datagram Protocol (UDP), nu au un echivalent al negocierii, așa că implementările mențin de regulă o stare temporară de flux și o lasă să expire după un timeout. Produsele diferă prin validarea secvențelor, conștientizarea aplicațiilor, tratarea fragmentelor și sincronizarea stării între noduri redundante.
Puncte esențiale
Decizie de politicăUn flux nou trebuie să satisfacă regula configurată; pachetele ulterioare trebuie să satisfacă atât politica, cât și starea pe care firewall-ul a înregistrat-o.
Operațiuni de stareDimensionați tabelele și timeout-urile pentru cererea așteptată, protejați-vă împotriva epuizării stării, monitorizați ratele anormale de creare și eliminați intrările învechite fără a întrerupe servicii de durată.
ArhitecturăȚineți cont de dirijarea asimetrică, clustere, failover, translatarea adreselor de rețea și căile care ocolesc punctul de aplicare stateful; sincronizați starea acolo unde continuitatea o cere.
Limitare importantăStarea conexiunii nu înseamnă autentificarea utilizatorului și nici siguranța aplicației. Un flux stateful permis poate transporta conținut malițios, iar o stare inexactă, epuizată sau lipsă poate bloca trafic legitim sau poate admite trafic pe care politica nu l-a intenționat.