encaminha ou descarta um datagrama IP com base nos dados do cabeçalho desse protocolo, sem considerar informações de camadas superiores.

registra informações sobre conexões TCP estabelecidas e utiliza essa informação na decisão de filtragem de datagramas IP.

não permite conexões TCP fim-a-fim, ou seja, atua como intermediário na comunicação por meio de duas conexões TCP: uma entre o próprio firewall e a estação externa, e outra entre o firewall e a estação interna.

também é chamado de gateway de nível de circuito.

é dedicado à inspeção de conteúdo de queries DNS em datagramas UDP.