Es stehen zwei unterschiedliche Varianten zur Verfügung:
die kaskadierte Firewall und die Firewall mit DMZ

Die kaskadierte Firewall besteht aus einem Rechner, auf dem kein IP-Forwarding aktiviert ist; einem externen Router mit IP-Filter oder einem DialUp-PC als IP-Filter. Sämtliche Zugriffe auf das Internet werden über Anwendungsschichtgateways durchgeführt.

Die Firewall mit DMZ besteht aus zwei Rechnern und einem externen Router. Der zweite Rechner ist als Anwendungsschichtgateway konfiguriert. Der IP-Filter besitzt drei Netzwerkinterfaces und schafft eine DMZ, in der weitere Serversysteme eingebracht werden können, auf die aus dem Internet Zugriff genommen werden kann. Es macht im allgemeinen wenig Sinn, eine solche Lösung in Verbindung einer Dial-Up-Ankopplung zu verwenden, da die Verbindung zum Internet keine feste IP-Nummer hat.