概ねその認識で良いぞ。
プロトコルとレーヤの話になると長くなるので掻い摘んで説明。

ヘッダにおまけが付いていたりフラグが立ってると、
AAAA＞・・・＞AAAA
の・・・の部分でヘッダが挿げ替えられるので情報の欠落が起こる。
もしくはフラグによっては完全に遮断される。
回避するには明示的にフィルタリングで通過にすれば、ヘッダの挿げ替え
は起こらないので、>>4の設定で駄目だった通信が出来たりはする。

がっ・・・それとて完全に総て通過してる訳でなくフラグ外しなんかが行
われるので、駄目な場合はDMZしかなかったりするｗ