无状态防火墙

无状态防火墙将每个数据包孤立检查,根据源/目的 IP、端口和协议等报头字段应用规则,但不保存任何流或连接状态信息。这种设计速度极快、内存占用低,非常适合 ISP 边界、路由器/交换机 ACL 或 AWS Network ACL 等高吞吐场景,但要求管理员为每条流显式编写双向规则。无状态过滤器更容易受到伪造源地址、分片技巧以及利用缺乏会话上下文的攻击影响。现代架构通常在网络边界使用无状态 ACL,在其后部署有状态防火墙形成纵深防御。