ｶｽがお答えします。
どうやら、TCPやUDPをすり抜けたパケットを検査し開くか閉じるかを判断してくれるものらしい。
すなわちパケットの二枚扉の二枚目みたいなものかと思われます。