O filtro tradicional permite que, em um roteador localizado dentro da rede interna da organização, seja possível rastrear a conexão TCP de entrada do início ao fim em uma conexão.

Caso se opte pelo filtro tradicional, é conveniente instalá-lo dentro da DMZ (zona desmilitarizada), ainda que esse tipo de filtro não permita criar regras distintas para datagramas que entrem e saiam da rede.

O filtro de controle de estado analisa cada pacote isoladamente e, devido às suas características, não pode ser instalado em roteadores de borda.

A filtragem de pacotes pode ser fundamentada no tipo de protocolo do datagrama IP e deve ser aplicada no roteador por onde sai e entra todo o tráfego de rede.

O filtro de pacotes deve ser necessariamente instalado dentro de uma DMZ (zona desmilitarizada).