• Formada por um equipamento que tem duas interfaces de rede e funciona como um separador entre as duas redes.
•Os sistemas internos têm de ser conectados ao firewall para que possam se comunicar com os servidores externos e vice-versa, mas nunca diretamente.
•Assim, as comunicações são realizadas por meio de proxies ou conexões em duas etapas, nas quais o usuário se conecta primeiramente ao host dual-homed, para depois se conectar ao servidor externo.
Hybrid host (Screened host) •Formada por um filtro de pacotes e um bastionhost.
•O filtro deve ter regras que permitam o tráfego para a rede interna somente por meio do bastionhost, de modo que os usuários externos que queiram acessar um sistema da rede interna devem, primeiramente, se conectar ao bastionhost.
•O bastion host pode funcionar também como um proxy, exigindo, assim, que os usuários internos acessem a internet por meio dele.
Screened subnet •Essa arquitetura aumenta o nível de segurança com relação à arquitetura screenedhost ao adicionar a rede DMZ.
•Se, antes, um ataque ao bastionhost significava que o invasor já estaria com a rede interna disponível para ele, isso não ocorre na arquitetura screenedsubnet.
•O bastionhost fica na DMZ, que funciona como uma área de confinamento entre a rede interna e a rede externa, posicionada entre dois filtros.