Application Gateway เป็นประเภทของไฟร์วอลล์ (Firewall) ที่ให้การควบคุมระดับแอปพลิเคชัน (Application-level Control) ต่อการจราจรเครือข่าย Application gateways สามารถใช้เพื่อปฏิเสธการเข้าถึงทรัพยากรของเครือข่ายส่วนตัว (Private Networks) ให้กับไคลเอ็นต์ที่ไม่น่าเชื่อถือ (Distrusted Clients) ผ่านเว็บ
Application gateway เป็นโปรแกรมแอปพลิเคชันที่ทำงานบนระบบไฟร์วอลล์ระหว่างสองเครือข่าย เมื่อโปรแกรมไคลเอ็นต์สร้างลิงก์ไปยังบริการปลายทาง (Destination Service) มันเชื่อมต่อกับ application gateway หรือโปร็กซี่ (Proxy) ไคลเอ็นต์ต่อมาเจรจา (Negotiate) กับเซิร์ฟเวอร์โปร็กซี่เพื่อโต้ตอบกับบริการปลายทาง ในผลกระทบ โปร็กซี่สร้างการเชื่อมต่อกับปลายทางเบื้องหลังไฟร์วอลล์และทำหน้าที่แทนไคลเอ็นต์ ซ่อนและรักษาความปลอดภัยคอมพิวเตอร์แต่ละเครื่องบนเครือข่ายเบื้องหลังไฟร์วอลล์
สิ่งนี้สร้างการเชื่อมต่อสองเส้น คือ หนึ่งระหว่างไคลเอ็นต์และเซิร์ฟเวอร์โปร็กซี่ และหนึ่งระหว่างเซิร์ฟเวอร์โปร็กซี่และปลายทาง เนื่องจากเชื่อมต่อแล้ว โปร็กซี่ทำการตัดสินใจการส่งต่อแพ็กเก็ต (Packet-forwarding Decisions) ทั้งหมด เนื่องจากการสื่อสารทั้งหมดดำเนินการผ่านเซิร์ฟเวอร์โปร็กซี่ คอมพิวเตอร์เบื้องหลังไฟร์วอลล์จึงได้รับการป้องกัน
Application gateway ทำงานโดยการกำหนดแพ็กเก็ตเข้าหรือบล็อกข้อมูล (Data Blocks) ที่ระดับแอปพลิเคชันหรือโปรแกรม มันใช้โปร็กซี่เพื่อสร้างการเชื่อมต่อส่วนตัว (Private Connection) สำหรับผู้ใช้ระยะไกล (Remote Users) ดังนั้น พิจารณาผู้ใช้ภายนอกพยายามเข้าถึงเซิร์ฟเวอร์ภายในบริษัท (Internal Company Server) ในกรณีนั้น มันจะรันโปร็กซี่หรืออินสแตนซ์ของแอปพลิเคชันที่จำลองฟังก์ชันของเซิร์ฟเวอร์โดยอัตโนมัติ วิธีนั้น เซิร์ฟเวอร์แอปพลิเคชันจริงไม่ได้รับผลกระทบจากอะไรที่ไคลเอ็นต์ทำ
Application gateways กำหนดแพ็กเก็ตเข้าในระดับแอปพลิเคชันและใช้โปร็กซี่เพื่อสร้างเซสชันที่ปลอดภัยกับผู้ใช้ระยะไกล ตัวอย่างเช่น เมื่อผู้ใช้ภายนอกกับเว็บเบราว์เซอร์พยายามเข้าถึงเว็บเซิร์ฟเวอร์อินทราเน็ต (Internal Internet Server) ของบริษัท Application gateway รันแอปพลิเคชันโปร็กซี่ที่จำลองเซิร์ฟเวอร์อินทราเน็ตภายใน
เซสชันถูกสร้างระหว่างผู้ใช้ระยะไกลและแอปพลิเคชันโปร็กซี่ ในขณะที่เซสชันแยกต่างหาก อิสระ (Independent) ถูกสร้างระหว่างแอปพลิเคชันโปร็กซี่และเซิร์ฟเวอร์อินทราเน็ตภายใน ผู้ใช้ระยะไกลสร้างคำขอไปยังโปร็กซี่ โปร็กซี่ทำหน้าที่เป็นผู้กลาง (Go-between) และได้ข้อมูลจากเซิร์ฟเวอร์อินทราเน็ตภายใน และจากนั้นโปร็กซี่คืนผลลัพธ์ให้ผู้ใช้ระยะไกล
ข้อได้เปรียบของการใช้ application gateways เหนือ packet-filtering routers คือใน packet filtering การเชื่อมต่อเครือข่ายโดยตรง (Direct Network Connection) ยังคงมีอยู่ระหว่างผู้ใช้ระยะไกลและทรัพยากรเครือข่ายภายใน ในขณะที่ application gateway ป้องกันผู้ใช้ระยะไกลไม่ให้เข้าถึงทรัพยากรเครือข่ายภายในโดยตรง
ชั้นความปลอดภัยเพิ่มเติมนี้มาพร้อมกับค่าใช้จ่ายบางอย่าง ซึ่ง application gateways โดยทั่วไปช้ากว่า และต้องการแอปพลิเคชันโปร็กซี่แยกต่างหากสำหรับแต่ละบริการเครือข่ายภายในที่ต้องการทำให้พร้อมใช้งานผ่านไฟร์วอลล์
Application gateways ยังได้รับการเลือกมากกว่า packet filtering routers เพราะตัวหลังใช้การเชื่อมต่อเครือข่ายโดยตรง มันยังสนับสนุนว่า application gateways ให้คอมพิวเตอร์รายการที่ครอบคลุมของการจราจรเข้า (Incoming Traffic) บางอย่าง นั่นมาทำให้มีประโยชน์เมื่อระบุความพยายามที่เป็นอันตรายของการแฮ็กเข้าสู่เครือข่าย
