Gately v0.5.6 veröffentlicht

22. Oktober 2026

Diese Version bringt das Modul Einbruchschutz (#10) und damit die fail2ban-Funktionen, die viele in 1Panel nutzen, in Gately: Es findet die Quell-IPs von Brute-Force-Versuchen und Portscans, sperrt sie automatisch und verwirft ihren Verkehr in der System-Firewall.

v0.5.6 herunterladen · GitHub Release · Moduldokumentation

Einbruchschutz

• Protokollregeln: lesen Protokolldateien (auch nach Rotation), das systemd-Journal, Befehlsausgaben (etwa logread -f unter OpenWrt) oder Docker-Container-Protokolle, finden Fehlschläge per regulärem Ausdruck und <HOST> und sperren eine IP, die die Anzahl im Zeitfenster erreicht. Vorlagen gibt es für SSH, Dropbear, Nginx, Vaultwarden, Home Assistant, Proxmox VE und mehr; im Editor lassen sich Beispielzeilen zum Testen einfügen;
• Gately-Ereignisse: fehlgeschlagene Anmeldungen an der Oberfläche und WAF-Blockierungen können ebenfalls eine Regel speisen, ganz ohne regulären Ausdruck;
• Köderports: Köder auf Ports, die dieser Host nicht nutzt. Jede Quelle, die sich verbindet, wird gesperrt; lauschende Ports werden automatisch ausgenommen;
• Portscan-Erkennung: Eine Quelle, die sich öfter als der Schwellenwert pro Minute zu geschlossenen Ports verbindet, wird gesperrt;
• Eine Sperrliste: Manuelle Sperren (auch CIDR-Netze und dauerhafte Sperren) und die Sperren des Webdienstes nach fehlgeschlagener Authentifizierung werden hier verwaltet und überstehen Neustarts; Wiederholungstäter bekommen jeweils die doppelte Dauer;
• Whitelist: LAN, Loopback, 100.64.0.0/10 (Tailscale) und die IPv6-/64-Netze dieses Hosts werden standardmäßig ignoriert;
• System-Firewall: Sperren landen in einer eigenen Tabelle inet gately in nftables und werden im Kernel verworfen, auch an Docker-Container und LAN-Geräte weitergeleiteter Verkehr. Antworten auf Verbindungen, die dieser Host zu einer gesperrten Adresse aufbaut (etwa DNS), kommen weiterhin an. Beim Beenden von Gately werden die Regeln entfernt.

Portweiterleitung, Webdienst, STUN, WebDAV, FTP und die Oberfläche weisen gesperrte Adressen ebenfalls direkt ab. Sperren lösen das Ereignis „Einbruchschutz: IP gesperrt“ aus, das Sie in der Benachrichtigungszentrale abonnieren können.

Wo es funktioniert

• Linux als root, das fnOS-Paket, OpenWrt ab 22.03: alles verfügbar;
• Docker: benötigt Host-Netzwerk und NET_ADMIN (cap_add: [NET_ADMIN]); das Image enthält nftables;
• Windows, macOS, FreeBSD sowie Linux ohne nftables oder Berechtigung: Sperren gelten nur für Gatelys eigene Dienste, Köderports bedient Gately selbst, die Portscan-Erkennung ist nicht verfügbar. Oben auf der Seite stehen Grund und Abhilfe.

Weitere Verbesserungen

• Die Docker-Einstellungen zeigen die Registry-Mirrors des Docker-Daemons selbst (registry-mirrors in daemon.json) (#11);
• Behoben: Das Einschalten geplanter Backups schlug mit unknown field "hasPassword" fehl (#9);
• Die Website hat eine neue Sponsoring-Seite.

Hinweise zum Upgrade

• Linux-Binärinstallationen werden auf der Seite Über aktualisiert; bei Docker das neue Image ziehen und den Container neu erstellen; auf fnOS das neue .fpk im App-Center installieren; auf OpenWrt das neue .ipk / .apk installieren.
• Für Sperren auf Firewall-Ebene unter Docker cap_add: [NET_ADMIN] in die Compose-Datei aufnehmen und den Container neu erstellen. Alles andere funktioniert auch ohne.
• Linux-Instanzen, die als root laufen, legen nach dem Upgrade die Tabelle inet gately an. Ohne Sperren enthält sie nur leere Regeln und beeinflusst bestehenden Verkehr nicht. Wer sie nicht braucht, schaltet die Synchronisierung unter „Einbruchschutz → Einstellungen“ oder das Modul unter „Einstellungen → Funktionsmodule“ ab.
• Die Sperren des Webdienstes nach fehlgeschlagener Authentifizierung nutzen jetzt die gemeinsame Sperrliste und gelten bei aktiver Synchronisierung für den ganzen Host. Das standardmäßig aktive „LAN-Adressen ignorieren“ verhindert, dass LAN-Adressen auf diese Weise gesperrt werden.
• Bei Sites hinter einem CDN, das die echte IP per Header übergibt, sehen WAF und Authentifizierungssperren die Adressen des CDN; diese Regeln für solche Sites nicht einschalten.
• Für Docker v0.5.6.1 verwenden; es behebt, dass das Image von v0.5.6 ein älteres nft auf dem Host abstürzen ließ.