atuam como filtro de pacotes, mas não levam em conta os endereços IP e portas, pois atuam na camada de aplicação.

DMZ (DeMilitarized Zone) é a parte da empresa que se encontra fora do perímetro de segurança, portanto os pacotes do firewall não passam por ela.

os firewalls em “estado de conexão” mapeiam os pacotes para conexões e usam campos do cabeçalho TCP/IP para cuidar da conectividade.

os firewalls em “estado de conexão” atuam implementando gateways em nível de enlace e só monitoram as portas-padrão.

sempre que descartam uma conexão, devem informar os motivos.