防火堵本身是篆于TCP/IP協議基礎而實現.因此也就很難完全消除因這殘協議翻潤所造成安全成脅。例如一種利用TCP的協議瀚洞向服務器發起的SYN攻擊.最終將導致被攻擊的服務器停止《拒絕)接受所有的脹務漪求.也稱為拒絕服務攻擊DoS( Denial-o(-Service) ,實現非常簡單。攻擊者向服務器提供某種服務的端u不停地發送大最的TCP連接請求SYN報文.在發送了SY、連接請求之后.并不再繼續與服務器完成接下來的握手信號交換，使得股務器陷入等待墉求者發送第三次握手信號的狀態。處于這個等待周期的連接狀態也稱為服務器的半連接狀態。服務器會保待為該連接所分配的所有資碑，直到定時移超時。如果服務器開啟大段的處于半連接狀態的TCP連接.最終會導致服務器的資源被耗盡而不能夠再接受新的TCP連接清求.即便是一個正常的請求.SYN攻擊通常針對內網中向外提供公共股務的服務器發起.單從攻擊者發送的一個單獨的TCP請求連接的SYN數據包，防火墉無法分麟它是出自于一個正常的連接請求。還是一個SYN攻擊。一些具有狀態檢側功能的防火J. .通過跟蹤輸人愉出數據包的連接狀態變化等信息.檢側數據包的首部狀態信息(如TCP的SYN位和ACK位等)的變化是否符合相應的協議規則。形成的過此規則不僅越于數據包的首部字段.祠時還今考數據包的狀態變化等參數，以提離對內部網絡系統的安全防御能力。但這種具有狀態檢洲功能的防火墉面臨的問題是，首先針對所有效據流徽的狀態檢側對防火姍的處理和計算能力都有較高的要求.并且狀態槍側會直接影響防火摘對每個數據包的處理速度;其次.對于上述SYN攻擊包來說.即便是具有狀態槍測功能的防火墉也很難準確地判斷出一個S丫N是否是攻擊包.特別是某些進行S丫N攻擊的攻擊村會采用地址哄毅.使甸次發送的SYN包用不間的派地址。

最后，防火強的安全防御能力與其處理速度是成反比的.防火墻的過a規則越復雜.對數據包檢查得越細.內部網絡的安全性就越高.但相應地處理梅一個數據包的速度也就會越二使得鎮個網絡的性能也受到彭響。