Firewall mức kết nối xác nhận tính hợp lệ của một gói tin là yêu cầu kết nối hay gói tin dữ liệu thuộc về một kết nối (hoặc một kết nối ảo) giữa hai tầng giao vận tương đương.
Để phê chuẩn một phiên làm việc, firewall mức kết nối kiểm tra việc thiết lập kết nối để đảm bảo rằng kết nối này tạo ra một thủ tục bắt tay hợp lệ cho giao thức tầng giao vận đang được sử dụng (thường là TCP). Ngoài ra các gói tin dữ liệu sẽ không được gửi cho đến khi thủ tục bắt tay được hoàn thành. Loại firewall này duy trì một bảng thông tin của các kết nối hợp lệ (bao gồm trạng thái của phiên làm việc đầy đủ và thông tin về thứ tự gói tin) và cho phép các gói tin chứa dữ liệu đi qua khi thông tin của gói tin này phù hợp với một mục trong bảng kết nối ảo. Mỗi lần một kết nối kết thúc thì mục chứa thông tin về kết nối này trong bảng kết nối ảo sẽ bị xóa và kết nối ảo giữa hai tầng giao vận tương đương cũng bị đóng.
Khi một kết nối được thiết lập, firewall mức kết nối thường lưu giữ các thông tin về kết nối sau :
• Nhận dạng phiên làm việc duy nhất đối với kết nối này, nó được sử dụng cho các mục đích theo dõi, giám sát.
• Trạng thái của kết nối : Đang bắt tay, đã thiết lập hay kết thúc.
• Thông tin thứ tự các gói tin.
• Địa chỉ IP nguồn.
• Địa chỉ IP đích.
• Giao tiếp vật lý mà gói tin đến từ đó.
• Giao tiếp vật lý mà gói tin sẽ qua đó để đi ra.
Sử dụng các thông tin này, firewall mức kết nối kiểm tra thông tin trong phần tiêu đề của mỗi gói tin để xác định xem liệu máy tính truyền có được phép gửi dữ liệu tới máy tính nhận hay không và máy tính nhận có quyền nhận dữ liệu đó hay không.
Các firewall mức kết nối cho phép truy nhập qua firewall với một lượng kiểm tra tối thiểu bằng cách xây dựng một số kiểu trạng thái kết nối nhất định. Chỉ những gói tin thuộc về một kết nối đã có trong bảng mới được đi qua firewall. Khi nhận được một gói tin thiết lập kết nối, firewall mức kết nối kiểm tra các cơ sở luật của nó để xác định xem kết nối đó có được phép hay không. Nếu kết nối này là được phép, tất cả các gói tin kết hợp với kết nối này được định tuyến thông qua firewall như đã được xác định trong bảng định tuyến của firewall mà không cần thêm các biện pháp kiểm tra an ninh khác.
Các firewall mức kết nối có thể thực hiện một số biện pháp kiểm tra thêm để đảm bảo rằng gói tin không bị giả mạo và dữ liệu chứa trong tiêu đề của giao thức tầng giao vận tuân theo định nghĩa của giao thức đó. Nhờ đó, các firewall này có thể phát hiện ra một số kiểu dữ liệu của gói tin đã bị sửa đổi.
Các firewall mức kết nối thường để địa chỉ mới cho các gói tin lớp mạng để luồng thông tin đi ra sẽ có địa chỉ nguồn là firewall mà không mang địa chỉ của một máy trạm nội bộ. Quá trình này được gọi là chuyển dịch địa chỉ, và bởi vì các firewall mức kết nối duy trì thông tin về từng phiên làm việc nên chúng có thể chuyển trả lại các gói tin đáp ứng từ mạng ngoài tới máy trạm nội bộ tương ứng một cách chính xác.