C) Screened Subnet

Esta arquitetura adiciona uma camada extra de segurança em relação à anterior, por meio de uma rede extra chamada de perímetro ou Zona Desmilitarizada (DMZ). Essa rede cria um isolamento entre a rede interna e a internet. A vantagem principal é que os bastion hosts ficam em uma rede isolada, de forma que defesas extras podem ser aplicadas para impedir que um bastion host comprometido tenha acesso à rede interna, aplicando o conceito de defesa em profundidade.

A rede DMZ fica protegida por dois roteadores, um externo ligado à internet e um interno ligado à rede interna. Esses roteadores devem ser configurados corretamente para permitir apenas as conexões estritamente necessárias. Os bastion hosts continuam a ser o contato com a rede pública e possuem serviços para a rede interna, como proxies e serviços públicos como correio eletrônico e páginas www públicas.