（一）定义
基于状态的防火墙通过利用TCP会话和UDP“伪”会话的状态信息进行的网络访问机制。
（二）原理
防火墙首先建立并维护一张会话表，当出现符合已定义安全策略的TCP连接或UDP流时，防火墙创建会话项，然后依据状态表项检查，与会话相关联的包才允许通过。
（三）步骤
（1）接收数据包
（2）检查数据包有效性，无效则丢弃并审计
（3）查找会话表：若找到，则进一步检查包的序列号和会话状态，如有效，则进行地址转换和路由并转发；否则丢弃并审计
（4）当会话表中没有新到数据包信息时，则查找策略表，如符合，则增加会话条目到会话表中，进行地址转换和路由并转发；否则丢弃并审计