Der Firewall enthält einen Paketfilter, der die Pakete sowohl beim Eintreffen als auch beim Verlassen des Firewalls überprüft. Es werden aber jeweils dieselben Regeln angewandt, d.h. man kann nicht zwei unterschiedliche Regelsätze aufstellen, die je nach Richtung des Datenverkehrs angewandt werden. Es kann aber unterschieden werden, ob das Paket den Firewall gerade verläßt oder ob es eintrifft, sowie ob es sich um ein Interface zum sicheren oder zum unsicheren Netz handelt. Somit ist man in der Lage, unterschiedliche Filter für Pakete, die eintreffen und Pakete, die den Firewall verlassen, aufzustellen.