;)

Uma vez que uma única (em casos de gêmeos, mais de uma, mas vamos tomar o caso geral) conexão é estabelecida, o firewall passa a dropar TODOS os outros pacotes. Isso é a política padrão de quando um firewall está sobrecarregado.

Além disso, ele não garante que o pacote que passa é o melhor qualificado. É basicamente o que consegue passar primeiro.

Nada disso é desejável em um bom firewall.

Talvez se possa dizer que uma ejaculação é o maior DoS do universo. ;)