Gately v0.5.8 veröffentlicht

25. Oktober 2026

Mit dieser Version kann Gately als OIDC-Identitätsanbieter dienen, sie ergänzt SMB-Dateifreigaben (#15), Filter für alle Protokolle (#16) und eine einstellbare Reihenfolge der WAF-Regelgruppen (#17).

v0.5.8 herunterladen · GitHub Release · Dokumentation zu OIDC-Single-Sign-on

OIDC-Single-Sign-on

Der Web-Dienst enthält einen eingebauten OpenID-Connect-Identitätsanbieter. Gitea, OpenList, Grafana und andere Anwendungen mit OIDC-Anmeldung melden Benutzer direkt mit den gemeinsamen Benutzern an und erkennen, wer sich angemeldet hat; das ersetzt die OIDC-Funktion von Authelia.

• Unter „Web-Dienst → Globale Einstellungen → OIDC-Identitätsanbieter“ genügt es, die Aussteller-URL einzutragen und Clients hinzuzufügen; die Aussteller-Domain braucht keine Site;
• Gemeinsame Benutzer erhalten optional E-Mail, Anzeigename und Gruppen, die den Anwendungen als Claims email, name und groups übergeben werden, sodass Anwendungen Konten automatisch anlegen und Administratorrechte nach Gruppe vergeben können;
• Jeder Client lässt sich auf bestimmte Benutzer oder Gruppen beschränken; PKCE, Refresh-Tokens und prompt=none / prompt=login werden unterstützt, öffentliche Clients (Single-Page-Apps, Mobil-Apps) müssen PKCE verwenden;
• Die Anmeldung nutzt die Anmeldeseite und die TOTP-Zwei-Faktor-Prüfung der Web-Authentifizierung; liegt der Aussteller in der SSO-Domain, genügt die Anmeldung an einer beliebigen Site auch für die Anwendungen;
• Nach einer Änderung von Passwort oder TOTP, dem Löschen des Benutzers oder dem Entfernen aus der Liste erlaubter Benutzer werden bereits ausgestellte Tokens sofort ungültig; sub ist die feste ID des gemeinsamen Benutzers und bleibt bei einer Umbenennung gleich;
• Die Dokumentation enthält Einrichtungsbeispiele für Gitea, OpenList und Grafana, alle mit den echten Anwendungen geprüft.

SMB-Dienst

Die Dateidienste erhalten den SMB-Dienst, der lokale Verzeichnisse für den Windows-Explorer, den macOS-Finder, Linux sowie SMB-Clients auf Smartphones und Fernsehern freigibt:

• SMB 2.0.2 bis 3.1.1, NTLMv2-Authentifizierung und -Signierung, optional mit verpflichtender SMB-3-Verschlüsselung;
• Benutzer werden wie bei FTP und WebDAV eingerichtet; jeder Benutzer sieht nur seine eigenen Freigaben, und jedes Verzeichnis kann schreibgeschützt sein;
• Die Seite listet die Verbindungsadresse jeder Freigabe, und mit Bonjour-Ankündigung findet der Finder den Dienst direkt;
• Nur unter Linux und macOS verfügbar. Windows verbindet sich nur mit Port 445; belegt das mitgelieferte Samba des NAS diesen bereits, wählen Sie einen anderen Port.

Protokolle filtern

Systemprotokolle und die Protokollkarte jedes Moduls lassen sich nach Stufe, Quelle, Stichwort (mit Phrasen und Ausschlusswörtern), Client-IP oder Netzbereich und Zeitraum filtern; der Web-Dienst filtert zusätzlich nach Site, Domain und Statuscode. Gefiltert wird auf dem Server, und „Ältere Protokolle laden“ sucht weiter in den auf die Festplatte geschriebenen Protokolldateien. Zugriffsprotokolle des Web-Dienstes und WAF-Trefferprotokolle erfassen Client-IP, Domain, Statuscode und Regel-ID; ein Klick auf ein Tag in einem Eintrag filtert nach diesem Wert. Die Protokoll-API akzeptiert dieselben Filterparameter.

Web-Dienst und WAF

• Request- und Response-Header von Sites werden zeilenweise bearbeitet, Namen und Werte lassen sich aus gängigen Einträgen wählen (HSTS, CSP, X-Frame-Options und weitere); ein Klick ergänzt die gängigen Sicherheits-Header, und Format sowie häufige Fehler werden bei der Eingabe geprüft; der Content-Type von Sites mit festem Text lässt sich aus gängigen Typen wählen;
• Request-Header, deren Name oder Wert unzulässige Zeichen enthält, werden beim Speichern abgelehnt; früher ließ eine solche Konfiguration die ganze Site 502 zurückgeben;
• Neben den Optionen des Reverse-Proxys erklärt ein neuer Hinweis, was jede der sechs Optionen bewirkt und wann sie sinnvoll ist;
• WAF-Regelgruppen lassen sich nach oben und unten verschieben. Erlaubnisregeln (allow, ctl: und ähnliche) gehören über OWASP CRS, Entfernungsdirektiven wie SecRuleRemoveById unter CRS; Oberfläche und Dokumentation erklären das.

Fehlerbehebungen

• Das Umbenennen eines FTP- oder WebDAV-Benutzers ohne erneute Eingabe des Passworts ließ das Speichern fehlschlagen.

Hinweise zum Upgrade

• So aktualisieren Sie: Linux-Binärinstallationen werden auf der Seite Über aktualisiert; bei Docker das neue Image ziehen und den Container neu erstellen; auf fnOS das neue .fpk im App-Center installieren; auf OpenWrt das neue .ipk / .apk installieren.
• Das Konfigurationsformat ist abwärtskompatibel, Sie können also direkt aktualisieren. Gemeinsame Benutzer erhalten beim ersten Start automatisch eine feste ID, die in die Konfigurationsdatei zurückgeschrieben wird.
• Das Anmeldeformular der Web-Authentifizierung lehnt Übermittlungen von anderen Websites ab; die normale Anmeldung funktioniert wie bisher.