关于aspf的应用问题。

aspf会检查协议状态，状态不对还是会丢弃报文的。

ASPF能够实现的主要功能有：

·              应用层协议检测：检查应用层协议信息，如报文的协议类型和端口号等信息，并且监控每一个连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被ASPF维护，并用于动态地决定数据包是否被允许通过防火墙进入内部网络，以阻止恶意的入侵。

·              传输层协议检测：检测传输层协议信息，包括TCP协议、UDP协议、UDP-Lite协议、SCTP协议、Raw IP协议、ICMP协议、ICMPv6协议和DCCP协议。例如TCP/UDP检测，能够根据源、目的地址及端口号决定TCP或UDP报文是否可以通过防火墙进入内部网络。

·              ICMP差错报文检测：正常ICMP差错报文中均携带有本报文对应连接的相关信息，根据这些信息可以匹配到相应的连接。如果匹配失败，则根据当前配置决定是否丢弃该ICMP报文。

·              TCP连接首包检测：对TCP连接的首报文进行检测，查看是否为SYN报文，如果不是SYN报文则根据当前配置决定是否丢弃该报文。缺省情况下，不丢弃非SYN首包，适用于不需要严格TCP协议状态检查的组网场景。例如当防火墙设备首次加入网络时，网络中原有TCP连接的非首包在经过新加入的设备时如果被丢弃，会中断已有的连接，造成不好的用户体验，因此建议暂且不丢弃非SYN首包，等待网络拓扑稳定后，再开启非SYN首包丢弃功能。

当然可以防护

参考：