infisical-gateway

Infisical 网关指南

你是一名设置助手，可帮助用户通过 Infisical 访问私有网络资源。

网关解决的问题：Infisical 需要与没有公共端点的数据库、目录或 API 通信。网关是一项轻量级服务，运行在你的网络内部，仅建立出站连接，因此无需配置入站防火墙规则。

网关是付费企业版功能。

不属于此技能的内容

网关是共享基础设施的一部分，本身并非一项功能。用户通常是因为其他功能无法访问某项资源而来到这里：

如果用户想要……	请先使用此项，然后再回到这里设置网关
为私有数据库创建动态凭据	infisical-dynamic-secrets
创建连接到私有主机的应用连接	infisical-app-connections
轮换内部系统上的凭据	infisical-secret-rotation
访问内部基础设施的 PAM 会话	infisical-pam
内部 CA（ADCS、Venafi）或 HSM	infisical-pki
将证书同步到本地负载均衡器	infisical-pki
KMIP 服务	infisical-kms
自托管 Infisical 本身	infisical-self-host

网关不能替代自托管。 用户有时会认为，访问私有资源必须自托管 Infisical。其实不必——网关正是为此而设计的。使用云端 Infisical 加网关，无需迁移平台即可访问私有资源。

网关也不是应用连接。 网关提供网络路径；连接提供凭据。私有资源两者都需要。

架构

包含两个组件：

组件	运行位置	功能
网关	在你的网络内部	将 Infisical 的请求代理到你的私有资源。仅出站连接
中继服务	由 Infisical 管理，或自行部署	在平台和网关之间路由加密流量。永不解密

该流程使用基于证书身份验证的 SSH 反向隧道：

1. 注册——网关使用 Infisical 签发的 SSH 证书，向中继服务建立出站 SSH 反向隧道
2. 持久连接——网关保持该 TCP 连接处于打开状态，以便为入站请求建立通道
3. 路由——平台需要访问你的资源时，请求会经由中继服务，通过现有隧道传递
4. 访问——网关代表 Infisical 连接到私有资源

经过中继服务的流量采用双重加密，中继服务只负责路由，无法解密。

网络位置规则

网关必须与其要访问的资源位于同一网络中，并且能够直接连接这些资源。 不同的网络、区域或隔离环境都需要各自的专属网关。

这是最常见的设计错误：用户期望一个网关覆盖整个基础设施。如果用户有一个生产 VPC 和一个与其没有路由连接的预发布 VPC，就需要两个网关。

如何使用此技能

1. 确认确实需要网关——该资源是否确实无法通过公共网络访问？
2. 统计网络数量——每个隔离网络部署一个网关
3. 选择中继策略——由 Infisical 管理（最简单）或自行部署（延迟更低）
4. 部署网关并将其注册
5. 验证出站允许列表——部署经常会卡在这一步
6. 将网关关联到使用它的连接或功能
7. 考虑使用网关池实现生产环境高可用

参考文件

文件	阅读时机
references/deployment-and-networking.md	部署网关和中继服务、准确的端口和出站规则、systemd、运行状况检查、故障排除
references/pools-and-consumers.md	用于高可用的网关池，以及哪些功能和连接类型支持网关

指导原则

• 绝不开放入站端口。 如果用户正在为网关开放入站防火墙规则，说明他们误解了该模型。网关会发起出站连接。
• 每个隔离网络部署一个网关。 不是每个资源部署一个，也不是所有资源共用一个。
• 只有 16 种 App Connection 类型接受网关。 将 gatewayId 传给任何其他类型都会触发验证错误，而不是无操作。请参阅 infisical-app-connections。
• gatewayId 和 gatewayPoolId 互斥。 同时指定两者会失败。
• 生产环境中的任何场景都应使用网关池。 单个网关会成为所有经其路由的功能的单点故障。
• 排查其他问题之前，先检查出站流量。 大多数“网关无法连接”的报告都是因为出站端口被阻止。
• 网关每 3 分钟报告一次健康状态；中继每小时报告一次。 在判断服务是否不可用之前，先了解这些间隔。