Firewalls de filtragem de pacotes funcionam na camada de redes. As regras de filtragem são definidas pelo administrador da rede, as quais determinam se o datagrama será descartado ou passará. Neste caso, a filtragem pode ser baseada no bit TCP ACK.

Para assegurar um nível menos refinado de segurança, os firewalls têm de combinar filtro de pacotes com gateways de aplicação. Os gateways de aplicação conectam as redes corporativas à Internet por meio de estações seguras chamadas de bastion hosts.

Uma política de filtragem de pacotes pode ser baseada na combinação de endereços e números de porta. Neste caso, basear a política em endereços externos não oferece nenhuma proteção contra datagramas, pois o endereço da fonte pode ser falsificado, esse tipo de falsificação de IP é denominado spoofing.

Os firewalls de inspeção de estado (stateful inspection) fazem comparação entre o que está acontecendo e o que é esperado para acontecer. Neste caso, os firewalls analisam todo o tráfego de dados para encontrar estados, isto é, padrões aceitáveis por suas regras e que, a princípio, serão usados para manter a comunicação.