Gately v0.6.1.1 veröffentlicht

30. Oktober 2026

v0.6.1.1 herunterladen · GitHub Release

Sperren bei Web-Pfadsondierung

Der Einbruchschutz hat die neue Regelquelle Web-Pfadsondierung. Sie zählt direkt die vom Webdienst verarbeiteten Anfragen, ganz ohne Protokolle:

• Lässt sich auf einen oder mehrere Listener beschränken, leer bedeutet alle; Pfadregeln unterstützen Platzhalter (* passt auch auf /, ohne Beachtung der Groß-/Kleinschreibung) und reguläre Ausdrücke, die mit ~ beginnen, und Schreibweisen wie //.env oder /a/../.env treffen über den normalisierten Pfad ebenfalls;
• Standardmäßig zählen nur 404 und 444, Anfragen an vorhandene Seiten also nicht; umstellbar auf „Jeder Statuscode“ (zusammen mit Pfadregeln) oder „Nur unbekannte Domains“;
• Drei Vorlagen: Web-Köderpfade (/.env, /.git, wp-login.php, phpinfo.php, phpMyAdmin u. a., gesperrt beim ersten Treffer), Scans unbekannter Domains (5-mal in 1 Minute) und Web-404-Sondierung (10-mal in 1 Minute);
• Anzahl, Zeitfenster, Sperrdauer, Allowlist, steigende Sperrdauer und nftables-Synchronisation teilen sich die Regeln, und eine auf einem beliebigen Listener ausgelöste Sperre gilt für alle Dienste.

„Sondierung sperren“ auf der Karte eines Listeners im Webdienst wählt diesen Listener vor und wendet die Köder-Vorlage an; im Regeleditor lassen sich Anfragepfade zum Testen einfügen. Siehe Einbruchschutz · Web-Pfadsondierung.

Seite Auth-Benutzer

Die Gruppe Web in der Seitenleiste hat die neue Seite Auth-Benutzer. Sie bündelt gemeinsame Benutzer, die Single-Sign-on-Domain, Passwort selbst ändern und den OIDC-Identitätsanbieter und listet die Sites nach Listener, mit Filter und Alles auswählen, um gesammelt festzulegen, welche Sites gemeinsame Benutzer verwenden: Wird eine Site ohne Authentifizierung ausgewählt, wird auch Web-Auth eingeschaltet; eine Site, die nur über gemeinsame Benutzer authentifiziert, lässt sich dort nicht abwählen, damit sie nie versehentlich öffentlich wird; Sites mit Forward-Auth können nicht ausgewählt werden. Alle Änderungen werden mit Speichern gemeinsam übernommen, und schlägt eine Prüfung fehl, wird nichts gespeichert. Das API ist GET/PUT /api/webservice/users.

Passwort selbst ändern

Ist Passwort selbst ändern auf der Seite Auth-Benutzer aktiviert, können gemeinsame Benutzer (auch solche, die sich über den eingebauten OIDC-Anbieter bei Anwendungen anmelden) unter /__gately_auth/password (auf der Issuer-Domain /__gately_oidc/password) nach Eingabe des aktuellen Passworts und eines Bestätigungscodes ihr Passwort ändern, und ihre Sitzungen auf allen Sites enden. Gemeinsame Dateibenutzer haben einen eigenen Schalter auf der Seite Gemeinsame Dateibenutzer und nutzen dieselbe Seite; Klartext- oder bcrypt-Speicherung bleibt erhalten, und WebDAV, FTP und SMB verwenden sofort das neue Passwort. Fehlversuche zählen zur selben Ratenbegrenzung und automatischen Sperre wie die Anmeldung, und jedes Konto kann sein Passwort einmal pro Minute ändern. Siehe Web-Dienste · Passwort selbst ändern.

Verbindung schließen bei Ablehnung

Der Tab Sicherheit der Site hat die neue Option Bei Ablehnung: Mit Verbindung schließen erhalten Anfragen, die durch eine Sperre, die IP-Zugriffskontrolle (einschließlich Pfadregeln) oder den Länderfilter abgelehnt werden, keinerlei Antwort und werden als 444 protokolliert. Zusammen mit einer Allowlist kommen eigene IPs durch, alle anderen werden abgewiesen. Ratenbegrenzung und WAF-Blockaden bleiben unverändert. Die Dokumentation beschreibt jetzt auch die Grenzen des Schließens: TCP- und TLS-Handshake sind bereits abgeschlossen, HTTP/2 und HTTP/3 setzen nur die Anfrage zurück, und um einen Port vor Scannern zu verbergen, braucht es eine Sperre im Einbruchschutz.

Routen für Cloudflare-Tunnel

Mit einem optionalen Cloudflare-API-Token an einem Token-Tunnel liest und schreibt die Schaltfläche Routen auf der Karte die Remote-Konfiguration des Tunnels: Hostname, Pfad als regulärer Ausdruck und Dienst sowie TLS-Prüfung zum Ursprung überspringen und der Host-Header zum Ursprung; laufendes cloudflared übernimmt die Änderungen ohne Neustart. Beim Speichern wird die Konfigurationsversion geprüft, damit anderswo vorgenommene Änderungen erhalten bleiben, und für die Hostnamen lassen sich proxied CNAME-Einträge anlegen; vorhandene Einträge bleiben unverändert und werden aufgeführt. Siehe Cloudflare Tunnel · Routen.

Ausschließen-Filter in Protokollen

Der Protokoll-Viewer hat das neue Feld Ausschließen: Einträge mit einem der Begriffe werden ausgeblendet, zusammen mit den Suchbegriffen. Das Protokoll-API nimmt den passenden Parameter exclude an.

Korrekturen und Verbesserungen

• Das Speichern schlug fehl, wenn Köder-Ports oder die Scan-Erkennung eine dauerhafte Sperre verwendeten (#41);
• Routen: Ein einzelnes abschließendes / an einer Dienstadresse wird entfernt (cloudflared lehnt Dienste mit Pfad ab); Tunnel, die über eine lokale Konfigurationsdatei verwaltet werden, fragen vor dem Speichern nach; ein CNAME auf den Tunnel ohne Proxy wird als Konflikt gemeldet; Zonen werden nur im Konto des Tunnels gesucht;
• Der Dialog mit den globalen Einstellungen des Webdienstes sendet keine Einstellungen zu gemeinsamen Benutzern und OIDC mehr mit und überschreibt daher keine gerade auf der Seite Auth-Benutzer gespeicherten Änderungen;
• Die Pfadsondierung prüft den vom Besucher angefragten Pfad (Umschreibungsregeln beeinflussen das Zählen nicht mehr), und das Zugriffsprotokoll zeichnet ihn ebenfalls auf; sehr lange Pfade werden über Anfang und Ende geprüft, und Sperrgründe maskieren Zeilenumbrüche und andere Steuerzeichen;
• Schlägt das Speichern einer selbst vorgenommenen Passwortänderung fehl, zeigt die Seite eine allgemeine Meldung, die Details landen im Protokoll;
• Einige mehrteilige API-Beschreibungen mischten Chinesisch mit dem übersetzten Text.

Hinweise zum Upgrade

• Docker: neues Image ziehen und den Container neu erstellen. OpenWrt: das neue .apk / .ipk über das alte installieren. fnOS: das neue .fpk manuell im App Center installieren. Andere Installationen lassen sich unter „Systemeinstellungen“ online aktualisieren.
• Eine gespeicherte Regel zur Pfadsondierung mit „Jeder Statuscode“ ohne Pfadregeln und ohne „Nur unbekannte Domains“ wird beim nächsten Bearbeiten und Speichern abgelehnt; ergänzen Sie Pfadregeln.