在需要用安全防火墙来防止对内部不期望的访问时，内部的用户需要一种能够提供访问外部服务的安全机制。
为了避免内部主机与外部的普遍交互而存在的安全隐患，一个机构可以指定某个安全主机来提供对外界服务的安全访问。这台主机上运行一套应用程序网关，称为堡垒主机（bastion host），如下图所示。内部的主机要访问外部网络的服务时，并不直接访问外部，而是通过堡垒主机访问外部，这样就有效地隐蔽了内部网络的情况。
从图中可以看出，防火墙构造了两道屏障。
1、外部屏障拦截除了以下情况之外的所有通信量：
（1）数据报需要到达堡垒主机提供的服务，例如WWW服务；
（2）数据报需要到达堡垒主机上的客户程序。
2、内部屏障拦截所有传入的通信量，除非这些通信量来自堡垒主机。
图中的路由器分别承担了内部屏障和外部屏障的作用，并且他们都具有分组过滤器的功能。以下是一个堡垒主机防火墙的动画演示。
堡垒主机是整个防火墙的关键。一旦入侵者能够访问堡垒主机，那么，他就能够通过堡垒主机访问内部网络。堡垒主机的安全缺陷通常来自操作系统和运行的网络应用程序两个方面。因此，网络管理员在选择和配置堡垒主机的软件系统时必须非常小心。