IPアドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。

暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断できる。

パケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。

戻りのパケットに関しては，過去に通過したリクエストパケットに対応したものだけを通過させることができる。