Según el tipo de cortafuegos instalado necesitarás diferentes tipos de arquitecturas. Las arquitecturas más conocidas son:

• Arquitectura Screening Router.
  • Se trata del modelo de cortafuegos más antiguo, que aprovecha la capacidad de algunos routers, los llamados screening routers, de hacer enrutado selectivos, es decir, para bloquear o permitir el tránsito de paquetes mediante listas de control de acceso en función de ciertas características de las tramas, de forma que el router actúe como pasarela de toda la red. Generalmente, tendrás que usar las direcciones origen y destino para determinar el filtrado con lo que el router se convierte en la pasarela de toda la red. Claro que también podrías usar, los puertos de origen y destino o el tipo de mensaje. Y si aún quieres más posibilidades podrías utilizar las interfaces de entrada y salida en el router.
• Arquitectura Dual-Homed HOST.
  • Puedes crear este modelo de cortafuegos con máquinas equipadas con dos o más tarjetas de red, denominadas dual-homed HOSTs, y en las que una de las tarjetas suele conectar a la red interna a proteger y la otra a la red externa a la organización. En esta configuración el screening router y el HOST bastión coinciden en el mismo equipo. Ahora bien, el sistema ha de ejecutar al menos un servidor PROXY por cada uno de los servicios que quieras que pase a través del cortafuegos. Esta es la arquitectura más utilizada hoy en día.
• Arquitectura Screened Subnet.
  • Screened subnet es la arquitectura más segura, pero también la más compleja. En esta configuración tendrás que usar dos routers, denominados exterior e interior, conectados ambos a la red perimétrica.