Cada pacote que passa pelo firewall precisa passar por todas as regras estipuladas. Se existirem duas regras conflitantes, como por exemplo: uma descreve que o pacote deve ser aceito e outra que o pacote deve ser recusado, vale a regra que aparecer mais coerente na lista.

Um script de firewall mais completo pode ter várias dezenas de linhas, o que dificulta a administração, no entanto, existem firewalls gráficos que reduzem a complexidade, mas não administram as regras.

O firewall trabalha verificando os endereços de origem e de destino dos pacotes, portas a que são destinados e o status das conexões. Não é destinado a verificar o conteúdo dos pacotes e por isso pouco pode fazer com relação a vírus, trojans, phishing e outros ataques similares.

A regra "REJECT" aplica-se a pacotes que são recebidos em uma interface e roteados para outra, como no caso dos pacotes recebidos na interface de rede local e roteados para a Internet.