This is because for existing connections the firewall need only check the state table, instead of checking the packet against the firewall's rule set, which can be extensive.
Это потому, что для существующих соединений файервола нужно лишь проверить состояние таблицы, вместо проверки пакета по всему набору правил файервола, которые могут быть обширными.