Também conhecido como De-Militarized Zone(DMZ), é uma combinação de um screened host com um screening router, sendo que este é ligado após o gate. Este screened router adiciona um nível de proteção a mais ao screened host ao adicionar uma rede perimétrica que isola ainda mais a rede interna da rede externa. As funções de cada elemento deste firewall são:

1. Choke externo:



• Bloquear os pacotes:
• de serviços que você não deseja que passem pelo firewall;
• de pacotes que tenham rotas IP definidas (IP source routing), ou outro conjunto de opções estranhas;
• endereçados a sua rede interna ou ao seu choke interno.
• Passar somente os pacotes que tenham como endereço IP fonte ou destino o do seu gate.


2. Gate:



• Rodar servidores proxies para possibilitar os usuários da sua rede interna usar serviços na rede externa;
• Atuar como um servidor de mail ou receber estas mails e enviá-las para algum host designado dentro da rede interna.


3. Choke interno:



• Permitir a passagem de pacotes cujo endereço IP de destino ou fonte sejam o do gate e para os quais os portos são os de proxies definidos no gate.
• Bloquear os pacotes:
• de serviços que você não deseja que passem pelo firewall;
• de pacotes que tenham rotas IP definidas (IP source routing), ou outro conjunto de opções estranhas;
• endereçados ao seu choke externo;
• qualquer outro não especificado.

Porquê a rede perimétrica isola ainda mais a rede interna da rede externa? Em muitas configuraçoes de rede, é possível que qualquer máquina da rede enxergar todo o tráfego desta (como na Ethernet, Token Ring, FDDI, etc); e com o uso de snoopers pode-se pegar as senhas de usuários via sessões telnet, rlogin e ftp. Caso um hacker conseguisse invadir o bastion host e instalar um snooper nele, ele vai apenas "espiar" dados que vão de ou para o bastion host para a Internet, e não conseguirá observar o tráfego interno.

Vantagens:

A vantagem deste sistema é o nível de segurança muito maior do que o obtido pelos outros tipos de firewalls .

Desvantagens:

A complexidade deste sistema é alta e a sua configuração e manutenção da subnet não é tão simples como a das firewalls anteriores. O acesso a rede é também retardado porque o tráfego deve passar pela subrede. Além disto, o custo deste tipo de firewall é bem elevado.