Thuật ngữ tường lửa ban đầu đề cập đến một bức tường nhằm mục đích hạn chế đám cháy trong tòa nhà.[3] Việc sử dụng sau này đề cập đến các cấu trúc tương tự, chẳng hạn như tấm kim loại ngăn cách khoang động cơ của một chiếc xe hoặc máy bay từ khoang hành khách. Thuật ngữ này được áp dụng vào cuối những năm 1980 cho công nghệ mạng xuất hiện khi Internet còn khá mới về mặt sử dụng và kết nối toàn cầu.[4] Tiền thân của tường lửa bảo mật mạng là các bộ định tuyến được sử dụng vào cuối những năm 1980, vì chúng tách các mạng với nhau, do đó ngăn chặn sự lây lan của các vấn đề từ mạng này sang mạng khác.[5]

Thế hệ thứ nhất: bộ lọc gói tin

Loại tường lửa mạng được báo cáo đầu tiên được gọi là bộ lọc gói tin. Bộ lọc gói hoạt động bằng cách kiểm tra các gói được chuyển giữa các máy tính. Khi gói không khớp với bộ quy tắc lọc của bộ lọc gói, bộ lọc gói sẽ bỏ (loại bỏ âm thầm) gói hoặc từ chối gói (loại bỏ nó và tạo thông báo Internet Control Message Protocol cho người gửi) ngược lại thì nó được phép vượt qua.[6] Các gói có thể được lọc theo địa chỉ mạng nguồn và đích, giao thức, số cổng nguồn và đích. Phần lớn giao tiếp Internet trong thế kỷ 20 và đầu thế kỷ 21 đã sử dụng Transmission Control Protocol (TCP) hoặc User Datagram Protocol (UDP) kết hợp với các cổng phổ biến, cho phép tường lửa thời kỳ đó phân biệt và do đó kiểm soát các loại cụ thể của lưu lượng truy cập (như duyệt web, in từ xa, truyền email, truyền file), trừ khi các máy ở mỗi bên của bộ lọc gói sử dụng cùng một cổng không chuẩn.[7][8]

Bài báo đầu tiên được xuất bản về công nghệ tường lửa là vào năm 1988, khi các kỹ sư của Digital Equipment Corporation (DEC) phát triển các hệ thống lọc được gọi là tường lửa lọc gói tin. Tại AT&T Bell Labs, Bill Cheswick và Steve Bellovin tiếp tục nghiên cứu về lọc gói và phát triển một mô hình làm việc cho công ty riêng của họ dựa trên kiến trúc thế hệ đầu tiên của họ.[9]

Ý tưởng đầu tiên được đã hình thành sau khi hàng loạt các vụ xâm phạm nghiêm trọng đối với an ninh liên mạng xảy ra vào cuối những năm 1980. Năm 1988, một nhân viên tại trung tâm nghiên cứu NASA Ames tại California gửi một bản ghi nhớ qua thư điện tử tới đồng nghiệp rằng: "Chúng ta đang bị một con VIRUS Internet tấn công! Nó đã đánh Berkeley, UC San Diego, Lawrence Livermore, Stanford, và NASA Ames." Con virus được biết đến với tên Sâu Morris này đã được phát tán qua thư điện tử và khi đó đã là một sự khó chịu chung ngay cả đối với những người dùng vô thưởng vô phạt nhất. Sâu Morris là cuộc tấn công diện rộng đầu tiên đối với an ninh Internet. Cộng đồng mạng đã không hề chuẩn bị cho một cuộc tấn công như vậy và đã hoàn toàn bị bất ngờ. Sau đó, cộng đồng Internet đã quyết định rằng ưu tiên tối cao là phải ngăn chặn không cho một cuộc tấn công bất kỳ nào nữa có thể xảy ra, họ bắt đầu cộng tác đưa ra các ý tưởng mới, những hệ thống và phần mềm mới để làm cho mạng Internet có thể trở lại an toàn.

Năm 1988, bài báo đầu tiên về công nghệ tường lửa được công bố, khi Jeff Mogul thuộc Digital Equipment Corp. phát triển các hệ thống lọc đầu tiên được biết đến với tên các tường lửa lọc gói tin. Hệ thống khá cơ bản này đã là thế hệ đầu tiên của cái mà sau này sẽ trở thành một tính năng kỹ thuật an toàn mạng được phát triển cao. Từ năm 1980 đến năm 1990, hai nhà nghiên cứu tại phòng thí nghiệm AT&T Bell, Dave Presetto và Howard Trickey, đã phát triển thế hệ tường lửa thứ hai, được biến đến với tên các tường lửa tầng mạch (circuit level firewall). Các bài báo của Gene Spafford ở Đại học Purdue, Bill Cheswick ở phòng thí nghiệm AT&T và Marcus Ranum đã mô tả thế hệ tường lửa thứ ba, với tên gọi tường lửa tầng ứng dụng (application layer firewall), hay tường lửa dựa proxy (proxy-based firewall). Nghiên cứu công nghệ của Marcus Ranum đã khởi đầu cho việc tạo ra sản phẩm thương mại đầu tiên. Sản phẩm này đã được Digital Equipment Corporation's (DEC) phát hành với tên SEAL. Đợt bán hàng lớn đầu tiên của DEC là vào ngày 13 tháng 9 năm 1991 cho một công ty hóa chất tại bờ biển phía Đông của Mỹ.

Tại AT&T, Bill Cheswick và Steve Bellovin tiếp tục nghiên cứu của họ về lọc gói tin và đã phát triển một mô hình chạy được cho công ty của chính họ, dựa trên kiến trúc của thế hệ tường lửa thứ nhất của mình. Năm 1992, Bob Braden và Annette DeSchon tại Đại học Nam California đã phát triển hệ thống tường lửa lọc gói tin thế hệ thứ tư. Sản phẩm có tên "Visas" này là hệ thống đầu tiên có một giao diện với màu sắc và các biểu tượng, có thể dễ dàng cài đặt thành phần mềm cho các hệ điều hành chẳng hạn Microsoft Windows và Mac/OS của Apple và truy nhập từ các hệ điều hành đó. Năm 1994, một công ty Israel có tên Check Point Software Technologies đã xây dựng sản phẩm này thành một phần mềm sẵn sàng cho sử dụng, đó là FireWall-1. Một thế hệ thứ hai của các tường lửa proxy đã được dựa trên công nghệ Kernel Proxy. Thiết kế này liên tục được cải tiến nhưng các tính năng và mã chương trình cơ bản hiện đang được sử dụng rộng rãi trong cả các hệ thống máy tính gia đình và thương mại. Cisco, một trong những công ty an ninh mạng lớn nhất trên thế giới đã phát hành sản phẩm này năm 1997.

Thế hệ FireWall-1 mới tạo thêm hiệu lực cho động cơ kiểm tra sâu gói tin bằng cách chia sẻ chức năng này với một hệ thống ngăn chặn xâm nhập.