Пробивка отверстий UDP

У меня есть несколько вопросов относительно пробивки отверстий с помощью UDP. На основе вики http://en.wikipedia.org/wiki/UDP_hole_punching

1) Чтобы установить сеанс UDP между двумя сторонами (клиент, который находится за NAT, сервер, который не является NAT ) клиенту просто нужно отправить пакет на сервер, а затем сеанс разрешен в обоих направлениях (отправка и получение) через брандмауэр? Это означает, что клиент тоже может получать от сервера.

2) Пробивка отверстий UDP: Два клиента сначала подключаются к серверу, затем сервер предоставляет клиентский порт / IP-адрес другим клиентам, поэтому клиенты отправляют друг другу пакеты на этих портах. Правильно ли это?

3) если # 2 верно, почему брандмауэры позволяют получать данные с другого IP-адреса, чем тот, который использовался при установлении соединения на этом самом порту? Похоже на большую дыру в безопасности, которую нужно легко отфильтровать? Я понимаю, что спуфинг исходного IP-адреса может обмануть его, но это?

Заранее спасибо, Почему брандмауэры позволяют получать данные с IP-адреса, отличного от того, который используется для установления соединения на этом самом порту? Похоже на большую дыру в безопасности, которую нужно легко отфильтровать? Я понимаю, что подмена IP-адреса источника может обмануть его, но это?

Заранее спасибо, Почему брандмауэры позволяют получать данные с IP-адреса, отличного от того, который используется для установления соединения на этом самом порту? Похоже на большую дыру в безопасности, которую нужно легко отфильтровать? Я понимаю, что подмена IP-адреса источника может обмануть его, но это?

Заранее спасибо, Йохан