Funciona a nivel de red (capa 3 del Modelo OSI, capa 2 del stack de protocolos TCP/IP) como filtro de paquetes IP.