包过滤防火墙主要在第三层（网络层）工作，根据IP地址和端口等信息进行过滤。