text: 狀態防火牆，一種能夠提供狀態封包檢查功能的防火牆，能夠持續追蹤穿過這個防火牆的各種網路連線的狀態。這種防火牆被設計來區分不同連線種類下的合法封包。狀態封包檢查也被稱為動態封包過濾。原理.狀態防火牆監視網路連線的“狀態”，比如TCP流、UDP資料和ICMP訊息可能被分為"LISTEN", "ESTABLISHED", 或者"CLOSING"狀態。按照相應的安全策略，狀態防火牆在狀態表中為各TCP流或者UDP資料建立記錄。凡在表中的session，所有相關封包都被允許透過，不再檢測，因此比一般的檢測使用更少CPU。維持一個session的狀態取決於其傳輸層協議。比如TCP是面向連線的協議，其session是由三路握手的SYN訊息建立，由FIN訊息終止。狀態防火牆由此可以知道何時從表中移除session，而不必等待超時再移除。UDP是無連線的協議，它不會發送特別的連線訊息，因此一個UDP的session只有等待超時才會被移除，UDP打洞就利用了這一特性設立隧道。 ICMP訊息與TCP和UDP不同，它傳遞網路本身的控制資訊，比如ping命令。ICMP回覆一般會被允許。有時UDP通訊會使用ICMP來提供session的狀態資訊，因此和某UDP session有關的ICMP回覆也是允許的。
metadata.dataset: erhwenkuo/wikipedia-zhtw
metadata.title: 狀態防火牆
metadata.url: https://zh.wikipedia.org/wiki?curid=4410197