Люди растолкуйте для чего применяеться субж.
(зачем это нужно)
с keep-state всё вроде ясно.
особенно это..

Сhecks the packet against the dynamic ruleset.  If a match is found then the search terminates, otherwise we move to the next rule.  If no check-state rule is found, the dynamic ruleset is checked at the first keep-state rule.