请教一个tdi 中向本机连线的问题

我已经看完DDK中TDI相关专题，可是仍有一个问题不明白，照我的理解，在接受远端的连线请求时，TDI Client 可采用两种机制获得通知（或建立连接）：1.LISTEN IRP 2.EVENT HANDLER  。而具体采用哪一种方式，是由CLIENT 决定的。但我在论坛中发现几乎所有的TDI FILTER 防火墙在处理远端向本机连线时，均只关心clienteventconnect 这种方式的情形，这是为什么？ 我也曾自做一个tcpip.sys上的FILTER DRIVER (截获DEVICE TCP & UDP) 用SOFTICE 跟踪了一下，发现每次 本机的CLIENT 也是只走我HOOK 上的clientEVENTCONNECT 函数 而不经过 LISTEN 的IRP分支。我不知是因为TCPIP.SYS 所属的CLIENT  一定使用EVENT 机制而获得远端连线通知那还是有其他碰巧的原因。难道在做TDI层的防火墙时不应在不明了上层client 会采用那种方式建立向内连线的情况下也将listen方式考虑在内吗？我真的很不明白，真心希望得到回答，虽然这可能是一个很白痴的问题，但已经困扰我很久了，谢谢大家