Nach einer Empfehlung des BSI sollte ein gutes Firewallsystem aus drei Firewalls bestehen: ein Paketfilter, ein Application-Gateway und ein weiterer Paketfilter. Dabei kann der meist ohnehin vorhandene externe Router mit entsprechenden Regeln als Paketfilter ausgelegt werden. Mehrstufige Komplett- Firewalls gibt es nur wenige auf dem Markt (GeNUGate, Kryptowall).