Проблема с ipfw

[Pilat]

FreeBSD 5.2.1
Если при создании правила указать keep-state, тогда при выполнении этого правила будет создано динамическое правило.
В мане на ipfw пишут

Код: Выделить всё

ipfw add check-state
ipfw add deny tcp from any to any established
ipfw add allow tcp from my-net to any setup keep-state 

This will let the firewall install dynamic rules only for those connec-
tion which start with a regular SYN packet coming from the inside of our
network.  Dynamic rules are checked when encountering the first
check-state or keep-state rule.  A check-state rule should usually be
placed near the beginning of the ruleset to minimize the amount of work scanning the ruleset.

Я так понимаю, как только попадается check-state - система проверяет динамические правила, т.е. все правила находящие ниже выполняться не должны?
З.Ы. файервол работает, даже с отсутствием check-state. Почему?

[brj]

1. скажи что ты хочешь получить в конечном этоге.
2. ruleset в студию.