防火墙通常在第二层（数据链路层）和第三层（网络层）之间工作，其中网络层的信息（如IP地址、端口等）是主要的判断依据。传输层和应用层的数据包内容检查通常由更高级别的安全设备完成。