В принципе, на закрытый порт можно отослать сильно фрагментированный пакет. Такой, что порт назначения не попадает в первый Ip-пакет. Правда такое характерно в основном для внешних брандмаузеров.