Firewall/Application Layer

beachten zusätzlich den Inhalt der Netzwerkpakete: Quelle, Ziel, Dienst und die Nutzdaten
baut selbst eine eigene Verbindung zum Zielsystem auf
kann die Pakete zusammenhängend analysieren und Einfluss auf die Verbindung nehmen
reicht die Netzwerkanfrage des Quellsystems nicht einfach an das Zielsystem weiter
kommuniziert stellvertretend für den anfragenden Client mit dem Zielsystem
greift in den Datenverkehr ein und terminiert die Verbindungen auf beiden Seiten (zwei eigenständige Verbindungen), anstatt die Netzwerkpakete durchzureichen
für jedes höhere Kommunikationsprotokoll (HTTP, FTP, DNS, SMTP, POP3, MS-RPC usw.) gibt es einen eigenen Filter (dedicated Proxys)