Um firewall Proxy de Aplicação regenera os pacotes a ele destinados, ou seja, constrói um novo pacote e o envia para o hospedeiro na Internet ou, se no sentido contrário, para o hospedeiro interno.

Para prover proteção, o firewall Proxy de Aplicação precisa estar instalado num único dispositivo da rede, preferencialmente o roteador.

O Firewall Proxy de aplicação não permite uma conexão TCP direta entre o hospedeiro interno à rede e o hospedeiro externo à rede.

NAT não realiza funções com o fim de proteger o computador, embora acabe provendo alguma capacidade de firewall.