一个防火墙系统通常由屏蔽路由器和代理服务器组成。
屏蔽路由器是一个多端口的IP路由器，它通过对每一个到来的IP包依据一组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息，屏蔽路由器的优点是简单和低（硬件）成本。其缺点在于正确建立包过滤规则比较困难，屏蔽路由器的管理成本高，缺乏用户级身份认证等。
代理服务器是防火墙系统中的一个服务器进程，它能够代替网络用户完成特定的TCP/IP功能。一个代理服务器本质上是一个应用层的网关，一个为特定网络应用而连接两个网络的网关。由于对更高安全性的要求，屏蔽路由器和代理服务器通常组合在一起构成混合系统，形成复合型防火墙产品。