Un firewall stateful tiene traccia dello stato delle connessioni (sa che una risposta appartiene a una richiesta che hai fatto tu) e decide su IP, porte e protocolli – il livello L3/L4. Efficace, veloce, cieco al contenuto: per lui la 443 aperta è la 443 aperta, qualunque cosa ci passi dentro.
Un NGFW (Next-Generation Firewall) aggiunge l'occhio sul contenuto: deep packet inspection, riconoscimento dell'applicazione (distingue "web" da "questa specifica app che tunnella su 443"), integrazione con IDS/IPS e threat intelligence, spesso ispezione TLS. Di fatto fonde firewall di rete e controlli applicativi in un apparato.
Nel mondo open source la linea è sfumata: OPNsense/pfSense con Suricata e i plugin coprono buona parte del territorio NGFW su hardware modesto o in una VM Proxmox. Il trade-off da conoscere: la DPI e l'ispezione TLS costano CPU e sollevano questioni di privacy – più ispezioni, più devi fidarti dell'apparato che ispeziona (e proteggerlo).