根据数据通信发生的位置，常将防火墙分为两种类型，一是网络层防火墙，二是应用层防火墙。网络层防火墙可视为一种数据包过滤器，只允许符合预先定义的特定规则的数据包通过，其余的一概禁止穿越防火墙。

　　这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则；应用层防火墙就是常说的代理服务器，这种防火墙方案可以在代理服务器上设置相应的限制，以过滤或屏蔽掉某些信息。

　　代理服务器位于内部用户和外部主机之间，所有内网的主机需要使用代理服务器与外网的主机通信，同样真实ip与代理服务器怎么连接，外部的访问也要从代理服务器开始，因此增加了攻击内网主机的难度。

　　理论上，这一类防火墙可以完全阻绝外部的数据流进到受保护的主机里，但每一种协议需要相应的代理软件，使用时工作量大，实现困难。