想过没有，网络世界里那些数据包，它们是怎么知道哪些能进来，哪些得出去的？起初，我们可能会简单地以为，防火墙嘛，就是个“门卫”，看一眼身份证（IP地址）和目的地（端口），如果对得上号，就放行。嗯，这大概就是最初的“无状态”防火墙吧。它管得很“死”，每个数据包都得单独检查规则，毫不留情，也毫不记忆。但问题随之而来，尤其是在应对那些需要“对话”的复杂网络应用时，这种单纯的检查方式似乎就显得有些力不从心了。