Tường lửa router lọc gói (screening router firewall) được gọi là tường lửa cấp mạng hoặc lọc gói tin (packet-filter firewall). Loại tường lửa này hoạt động bằng cách lọc các gói tin đến bằng các thuộc tính giao thức. Các thuộc tính giao thức được lọc có thể bao gồm: địa chỉ nguồn hoặc đích, loại giao thức, cổng nguồn hoặc đích, hoặc nhiều thuộc tính đặc thù giao thức khác.
Screening routers được thiết lập bằng các quy tắc để lọc truy cập sử dụng giao thức định nghĩa hoặc đến/từ địa chỉ được định nghĩa trước, cho phép hoặc từ chối gói tin IP dựa trên dữ liệu trong header gói tin.
Screening router là một phần thiết yếu của hầu hết các tường lửa. Screening router có thể là router thương mại hoặc router dựa trên host với một số khả năng lọc gói tin. Các screening router thông thường có khả năng chặn lưu lượng giữa các mạng hoặc host cụ thể, ở cấp cổng IP. Một số tường lửa chỉ bao gồm một screening router giữa mạng riêng và Internet.
Một số mạng được bảo vệ chỉ bằng một screening router giữa mạng riêng và Internet. Loại tường lửa này khác với screened host gateway ở chỗ thường có giao tiếp trực tiếp được phép giữa nhiều host trên mạng riêng và nhiều host trên Internet.
Vùng rủi ro tương tự như nhiều host trên mạng riêng, và số lượng và loại dịch vụ mà screening router cho phép lưu lượng. Đối với mỗi dịch vụ được hỗ trợ qua kết nối peer-to-peer, kích thước vùng rủi ro tăng vọt.
Cuối cùng là không thể định lượng. Kiểm soát thiệt hại cũng khó khăn vì quản trị mạng phải thường xuyên kiểm tra từng host để tìm dấu hiệu xâm nhập. Nếu không có kiểm toán thường xuyên, chỉ có thể hy vọng ngẫu nhiên phát hiện chìa khóa.
Trong trường hợp tường lửa bị phá hủy hoàn toàn, nó có xu hướng khó truy vết hoặc thậm chí phát hiện. Nếu dùng router thương mại (không giữ log) và mật khẩu quản trị router bị xâm phạm, toàn bộ mạng riêng có thể bị mở ra tấn công rất dễ dàng.
Có trường hợp router thương mại được thiết lập với quy tắc lọc sai, hoặc xuất hiện ở chế độ pass-through do lỗi phần cứng hoặc vận hành. Thường thì cấu hình này là trường hợp "điều gì không bị cấm rõ ràng thì được phép", vì người dùng khôn khéo có thể piggyback giao thức để đạt mức truy cập cao hơn quản trị mong đợi.
Screening routers không phải giải pháp an toàn nhất, nhưng chúng phổ biến vì cho phép truy cập web tự do từ bất kỳ điểm nào trong mạng riêng. Một số cố vấn và nhà cung cấp dịch vụ mạng quảng bá screening routers trong cấu hình "tường lửa".