A figura a seguir mostra uma típica conexão de uma rede corporativa (rede interna) ao mundo externo. A DMZ (DeMilitarized Zone) abriga os elementos que têm aceso direto e irrestrito ao mundo externo. No caso a FW-inside (firewall) e os servidores DNS e Web seriam os primeiros a serem atacados.

Conforme SANTOS (2011) um Firewall filtra pacotes que entram e que saem da rede de modo a evitar que pacotes contendo conteúdo nocivo atinjam a rede e causem prejuízos. Os filtros examinam as informações do pacote desde o número da porta de comunicação até a assinatura da aplicação que está sendo transportada. Analisam as informações da camada 3 (IP de origem, IP de destino); camada 4 (portas TCP e UDP) e camada 7 (cabeçalhos de determinadas aplicações). No caso da Cisco, conforme a CCNA (2005), ela tem um firewall chamado ASA (Adaptative Security Appliance).