防火墙转发规则

防火墙转发数据包的过程是怎样的？

1、收到数据包先匹配域间策略，然后建立session吗？如果是这样的话，那么是根据什么来判断数据包的目的安全域的？根据查找路由表么？如果是通过查找路由表的话，那么整个数据包的转发过程是不是应该是：先查路由表确定数据包的源目IP所属的安全域，然后根据安全策略来判断是否放行该数据包，如果放行则建立session。如果过程是这样的话，那么当存在多出口的情况下，防火墙上配置了等价路由，如果第一步是先查路由表的话，那么如何保证数据包来回路径一致？

2、向M900这种设备它匹配session表项是是在哪个位置进行匹配的？主控板？接口板？引擎还是其他什么？