103-00-05-10-02-00
状态防火墙
这是一种更复杂的防火墙，具有智能跟踪流经的数据包，以及了解他们之间的相互关系。因为具有接收包的历史和当前连接的状态，它只能接收“预期”的数据包。由于防火墙是智能的，所以有条件制定状态防火墙的规则集。例如：
•只有当发出的DNS查询与相同的DNS请求标识相匹配时，才接收UDP端口53上的DNS响应数据包。
•仅在控制通道协商成功后，才允许文件传输协议(FTP)通道传输数据。
•阻止所有源自TCP端口80传入的网络数据，除非他是专门针对先前传出的超文本传输协议(HTTP)的请求。
这种类型的防火墙提供了一种高层次的安保和性能，以及对**终用户的透明度，但价格比较昂贵。由于它的复杂性，如果没有相关资质的人员管理，这类防火墙可以比简单类型的防火墙更不安保。这种方法有时也称为动态**滤。
应用代理防火墙
应用代理防火墙在应用层打开数据包，按照特定的应用规则来处理他们，然后重新组装，转发到所需的目标设备。通常，它们被设计成针对于各种应用协议(如Telnet、FTP、HTTP等)的单一机器，随后转发到各个主机计算机完成各项服务。客户端不直接连接外部服务器，而是连接代理防火墙，需要时由代理防火墙发起连接外部服务器的请求。有些代理防火墙，支持配置内部客户端自动执行这种重定向，且不用用户知道。有些人可能会要求用户直接连接代理服务器，然后通过**的格式发起连接。
