Gately v0.6.2 veröffentlicht

31. Oktober 2026

v0.6.2 herunterladen · GitHub Release

Protokoll-Routing

Das neue Modul Protokoll-Routing steht in der Seitenleiste neben Portweiterleitung. Es erkennt das Protokoll an den ersten Bytes, die der Client sendet, und leitet Verbindungen auf einem Port an unterschiedliche Backends weiter, ohne etwas zu entschlüsseln:

• TLS wird nach SNI-Domain und ALPN geroutet, HTTP nach Host und Minecraft nach der Serveradresse im Handshake;
• SSH, RDP, SOCKS4/5, OpenVPN über TCP (einschließlich tls-auth und tls-crypt-v2), XMPP, MQTT, PostgreSQL, RTSP, SIP, Redis, AMQP, SMB, Git, IRC, ADB und BitTorrent erhalten je eine Route; HTTP, RTSP und SIP werden an der Version am Ende der Anfragezeile unterschieden;
• eine Warte-Timeout-Route nimmt Clients auf, die nach dem Verbindungsaufbau nichts senden (Protokolle, bei denen der Server zuerst spricht, etwa VNC oder MySQL), und das Erkennungs-Timeout lässt sich auf Zehntelsekunden genau einstellen;
• nicht erkannte oder zu keiner Route passende Verbindungen gehen an das Standardziel; jede Route kann das PROXY-Protokoll an ihr Backend senden, und die Liste zeigt, wie viele Verbindungen jede Route erhalten hat.

Woran jedes Protokoll erkannt wird, in welcher Reihenfolge Domains und ALPN verglichen werden und Beispiele als Ersatz für haproxy-SNI-Routing und sslh finden Sie unter Protokoll-Routing.

Gruppen und Sortierung in Listen (#48)

Dynamisches DNS, Portweiterleitung, Protokoll-Routing, Sites der Web-Dienste, STUN, SSL-Zertifikate, WAF, Einbruchschutz, frp, Cloudflare-Tunnel, File Browser, Speicher-Einbindungen, Wake-on-LAN, geplante Aufgaben, Benachrichtigungen, gespeicherte Web-Terminal-Verbindungen, API-Tokens und weitere Listen nutzen jetzt dieselben Werkzeuge:

• Suche, Sortieren per Drag-and-drop (auf dem Smartphone mit Auf-/Ab-Pfeilen) und Verschieben mehrerer ausgewählter Einträge in eine Gruppe auf einmal;
• Verschieben ganzer Gruppen, Umbenennen und Zusammenführen von Gruppen direkt in der Liste sowie gespeicherter Einklappzustand;
• auch die DNS-Einträge innerhalb einer Aufgabe von Dynamisches DNS lassen sich gruppieren und sortieren.

Das Ändern von Gruppen oder Reihenfolge startet keine laufende Instanz neu. Siehe Gruppen und Sortierung in Listen.

STUN-Adressen in Dynamisches DNS (#47)

Eintragswerte und Webhooks können {STUN_Name der Regel_PORT}, {STUN_Name der Regel_IP} und {STUN_Name der Regel_ADDR} verwenden. Ändert sich die öffentliche Adresse einer STUN-Regel, synchronisieren die Aufgaben, die darauf verweisen, sofort; stehen die Variablen nur im Webhook, wird der Webhook trotzdem einmal aufgerufen. Solange die Regel deaktiviert ist oder noch keine Traversal gelungen ist, wird der Eintrag in dieser Runde übersprungen und sein Status nennt den Grund. Siehe Dynamisches DNS · Variablen im Eintragswert.

STUN hinter mehrfachem NAT

Regeln mit UPnP / NAT-PMP fragen jetzt zuerst das Gateway nach seiner eigenen externen Adresse. Weicht sie von der öffentlichen Adresse ab, die STUN meldet (zum Beispiel bei einem Router hinter Carrier-Grade-NAT), gehört der öffentliche Port zum äußeren NAT: Es bleibt nur die Zuordnung des Tunnelports bestehen, auf dem Router wird keine zusätzliche Zuordnung angelegt, und der öffentliche Port ändert sich nicht mehr bei jeder erneuten Prüfung. Die STUN-Dokumentation behandelt jetzt Full-Cone- und eingeschränktes Provider-NAT, UPnP hinter mehrfachem NAT, das Festlegen des lokalen Ports und dessen Freigabe in der Host-Firewall.

Sicherheitsverbesserungen

• Solange das Standardpasswort verwendet wird, sind Konto, Zwei-Faktor-Authentifizierung, Passkeys, zusätzliche Konten, API-Tokens, Systemeinstellungen und die Sicherheitseinstellungen des Web-Terminals schreibgeschützt; auch das Wiederherstellen einer Sicherung und das Zurücksetzen dieser Einstellungen auf eine frühere Version werden abgelehnt, bis das Standardpasswort geändert ist;
• Nur-Lese-Konten und Nur-Lese-API-Tokens sehen in Konfiguration und Protokollen maskierte Passwörter gemeinsamer Benutzer, Freigabelink-Tokens, Header-Werte und Geheimnisse sowie URLs mit maskierten Passwörtern, Query-Werten und Tokens im Pfad;
• das Durchsuchen von Verzeichnissen unter files/ und sftp/ erfordert Schreibrechte;
• eine Anmeldung nur mit Passwort setzt den Fehlversuchszähler nicht mehr zurück, sodass Zwei-Faktor-Codes nicht per Brute Force erraten werden können;
• hinter einem vertrauenswürdigen Proxy werden widersprüchliche X-Forwarded-For- und X-Real-IP-Header strenger behandelt, sodass eine gefälschte interne Adresse „Nur LAN-Zugriff“ nicht umgehen kann;
• im Dialog für API-Tokens sind Module, deren Schreibzugriff Befehle auf dem Server ausführen kann (Dynamisches DNS, geplante Aufgaben, Einbruchschutz, STUN, SSL, Web-Terminal, Docker, frp, File Browser, Cloudflare-Tunnel), mit „Führt Befehle aus“ markiert, und beim Gewähren erscheint eine Warnung;
• die von einem UPnP-Gateway gelieferten Gerätebeschreibungs- und Steuerungs-URLs müssen zu dem Gerät gehören, das geantwortet hat.

Weitere Verbesserungen

• Jeder Eintrag auf der Karte einer Aufgabe von Dynamisches DNS lässt sich direkt löschen (der DNS-Eintrag beim Anbieter bleibt erhalten);
• die Tastenleiste des Web-Terminals auf Smartphones ist eine einzeilige, horizontal scrollbare Zeile, die mit der Bildschirmtastatur ein- und ausgeblendet wird;
• Homescreen-Symbole unter Android Chrome und iOS sind nicht mehr transparent, und Admin-Oberfläche und Website stellen ein Web-App-Manifest bereit;
• Startseite der Website und README wurden neu gestaltet.

Fehlerbehebungen

• Das Bearbeiten einer Einbruchschutz-Regel, die bereits angeschlagen hatte, schlug mit „unknown field lastSeen“ fehl;
• decken mehrere Zertifikate dieselbe Domain ab, wird das am spätesten ablaufende verwendet, sodass Reihenfolge und Gruppen der Zertifikatsliste das verwendete Zertifikat nicht mehr beeinflussen;
• Protokoll-Routing leitet keine Nullbytes mehr weiter, wenn ein ClientHello durch das Erkennungs-Timeout abgeschnitten wird, und das Stoppen oder Bearbeiten einer Regel schließt Verbindungen, die noch erkannt werden, sofort;
• STUN-Variablen in einem JSON-Webhook-Body wurden nicht ersetzt.

Hinweise zum Upgrade

• Beim ersten Start nach dem Upgrade wandern SNI-Routing-Regeln aus Portweiterleitung in Protokoll-Routing, mit unveränderten Keys, Namen, Aktivierungsstatus, Gruppen und Routen; war Portweiterleitung ausgeschaltet, ist auch Protokoll-Routing ausgeschaltet; API-Tokens mit Zugriff auf Portweiterleitung erhalten denselben Zugriff auf Protokoll-Routing.
• Skripte, die Routing-Regeln über die API verwalten, sollten /api/protoroute/rules verwenden; das Routenfeld heißt dort routes statt sniRoutes. /api/portforward/rules akzeptiert das Feld mode nicht mehr. Die Metriken dieser Regeln heißen jetzt gately_protoroute_*.
• Docker: neues Image ziehen und den Container neu erstellen. OpenWrt: das neue .apk / .ipk über das alte installieren. fnOS: das neue .fpk manuell im App Center installieren. Andere Installationen lassen sich unter „Systemeinstellungen“ online aktualisieren.