Podobnie przez zależność od topologii sieci, PF może wymagać przestrzegania zasad ruchu sieciowego tylko dla ruchu będącym odpowiedzią na żądanie. Ruch między węzłami sieciowymi w chronionej sieci nie może być kontrolowany. To daje atakującemu, który jest już w sieci prywatnej lub w jakiś sposób ominął zaporę sieciową, wolną rękę. Co gorsza, pozwala to w trywialny sposób na ustanowienie nowego nieautoryzowanego punktu dostępu do sieci prywatnej bez wiedzy i zgody administratora. Różnego rodzaju tunelowania, połączenia bezprzewodowego czy też typu dial-up mogą pozwolić atakującemu na stworzenie tylnej furtki, która może pozwolić na dostęp z pominięciem wszystkich mechanizmów bezpieczeństwa dostarczanych przez konwencjonalne zapory sieciowe. Podczas gdy zapory sieciowe nie są zaprojektowane, aby bronić sieć przed działaniami z wewnątrz sieci, powstaje konflikt między potrzebą zwiększenia możliwość komunikacji a spełnienia tych potrzeb poprzez centralnie zarządzane zapory sieciowe.