用途：Infisical Gateway 用于让 Infisical 访问没有公网端点的私有网络资源，例如仅 VPC 内可达的数据库、本地目录服务、内部 API 或 HSM。它是一段共享网络管道，本身不是独立功能；动态凭据、App Connection、密钥轮换、PAM、PKI、KMS 等场景在需要触达私有资源时都会用到它。网关不能替代自托管 Infisical，也不是 App Connection：网关提供网络路径，连接提供凭据，私有资源两者都需要。
架构：由两部分组成。Gateway 运行在你的网络内部，把 Infisical 的请求代理到私有资源，仅出站；Relay 由 Infisical 托管或自行部署，在平台与网关之间路由加密流量，且不解密。流程基于带证书认证的 SSH 反向隧道：网关用 Infisical 签发的 SSH 证书向 Relay 建立出站反向隧道并保持长连接，平台请求经 Relay 沿隧道下发，网关再代表 Infisical 连接私有资源。经过 Relay 的流量为双重加密，Relay 只路由、无法解密。
使用方式：先确认资源确实无法公网访问；按隔离网络计数，每个隔离网络一个网关；选择 Relay 策略（Infisical 托管最简单，自部署延迟更低）；部署并注册网关；核对出站允许列表；把网关挂到消费它的连接或功能上；生产环境考虑使用 Gateway Pool 实现高可用。
限制与要点：网关必须与所访问资源处于同一网络并直连，不同网络、区域或隔离环境各需独立网关。永远不需要入站端口，若在为此开放入站防火墙规则则理解有误。只有 16 种 App Connection 类型接受网关，其他类型传入 gatewayId 会报校验错误而非静默忽略。gatewayId 与 gatewayPoolId 互斥，同时指定会失败。生产环境应使用 Gateway Pool，单网关是单点故障。排查前先检查出站端口，多数“网关连不上”是出站端口被阻断。网关每 3 分钟上报健康状态，Relay 每小时上报。具体端口、出站规则、systemd、健康检查与故障排查见 references/deployment-and-networking.md，Gateway Pool 与消费方见 references/pools-and-consumers.md。