Los firewalls aplican políticas en L3/L4 (y más allá con proxies L7): permitir/denegar por tupla, estado y zona. NAT traduce direcciones privadas a públicas: NAPT asigna muchos hosts internos a una IP pública utilizando diferentes puertos de origen. Los firewalls con estado rastrean los flujos TCP/UDP para devolver coincidencias de tráfico sin reglas entrantes explícitas.