Um bastion host é um mecanismo de segurança que tem os mesmos objetivos dos firewalls; porém, sua tecnologia é totalmente diferente, já que esses usam técnicas de detecção semelhantes aos dos sistemas de detecção de intrusão (IDS).

Existem várias configurações ou arquiteturas possíveis para implantação de um firewall em uma organização. A configuração recomendada para todo o tipo de organização é a que concentra todo o controle de acesso em uma única máquina (gateway de segurança), exposta simultaneamente à Internet e à rede interna.

Uma DMZ (DeMilitarized Zone, ou zona desmilitarizada) é uma rede adicionada entre a rede protegida e uma rede externa, com o objetivo de proporcionar uma camada a mais de segurança. Todos os servidores restritos à rede interna da organização, que precisam de segurança máxima, devem estar na DMZ, sendo proibido que servidores acessíveis externamente estejam nesta rede.

Filtros de pacotes, como o IPtables, são o tipo mais comum de firewall. Esses filtros se caracterizam por basear suas decisões de acesso em informações contidas nos cabeçalhos dos pacotes, sem inspecionar os dados de aplicação. Isso os torna mais rápidos, mas menos flexíveis no trato de diferentes fluxos de dados do que ferramentas que processam o campo de dados (payload) dos pacotes, como os gateways de aplicação.

Os filtros de pacotes podem ser classificados em estáticos (stateless) ou dinâmicos (stateful). Os estáticos são os mais recomendados, pois são mais seguros, mais fáceis de serem configurados e possuem um melhor desempenho computacional, quando comparados com os filtros dinâmicos.