Gately v0.6.3 veröffentlicht

2. November 2026

v0.6.3 herunterladen · GitHub Release

Leistungsüberwachung (#59)

Das neue Modul „Leistung“ erfasst alle 5 Sekunden CPU, Arbeitsspeicher, Festplatte und Last des Hosts sowie CPU, Arbeitsspeicher, Dateideskriptoren und Goroutinen des Gately-Prozesses:

• Die Seite zeigt Verläufe über 60 Sekunden / 1 Stunde / 24 Stunden, daneben laufende Anfragen, Anfragen pro Sekunde, 5xx-Anteil, Zeit bis zum ersten Byte (P95) und Backend-Zustand der laufenden Sites; ein Klick auf eine Site öffnet deren Statistik;
• Web-Sites messen jetzt die Zeit bis zum ersten Byte (vom Eingang der Anfrage bis zum Senden der Antwort-Header), die Site-Statistik erhält P50- / P95-Kurven, Prometheus erhält gately_site_request_duration_seconds sowie die Metriken gately_host_* und gately_process_*, und das Grafana-Dashboard wurde entsprechend ergänzt;
• Eine Alarmregel wählt eine Metrik, einen Vergleich und einen Schwellenwert und legt dann eine Dauer fest (1 bis 1440 Minuten); sie löst nur aus, wenn die Bedingung die ganze Dauer über erfüllt ist, und beim Abklingen wird eine Benachrichtigung gesendet. Für 5xx-Anteil und Latenz lässt sich eine Mindestanzahl an Anfragen festlegen, bei zu wenig Traffic wird nicht geprüft. Alarme gehen über die Benachrichtigungszentrale, und die Seite weist darauf hin, wenn keine Benachrichtigungsregel sie abonniert.

Der Verlauf liegt nur im Arbeitsspeicher und beginnt nach einem Neustart von vorn. Siehe Leistung.

WAF mit SafeLine

Eine WAF-Instanz kann Anfragen zur semantischen Analyse an Ihre selbst betriebene SafeLine-Community-Edition-Erkennungs-Engine übergeben, ohne einen weiteren Reverse Proxy vor oder hinter Gately:

• Tragen Sie die Adresse der Engine ein (host:port oder unix: plus Pfad von snserver.sock); „Verbindung testen“ sendet einen Heartbeat und eine Beispiel-SQL-Injection und zeigt die Laufzeit sowie die von SafeLine erfasste Ereignis-ID;
• SafeLine läuft vor den Regelgruppen, bei reiner SafeLine-Nutzung können die Regelgruppen leer bleiben; der Modus „Nur erkennen“ protokolliert Erkennungen, ohne zu blockieren;
• Blockierungen zählen in den WAF-Zählern, im WAF-Protokoll (mit Ereignis-ID), in Zugriffsprotokollen, in der Site-Statistik und im Einbruchschutz;
• Einstellbar sind das Erkennungs-Timeout (Standard 1 Sekunde), das Limit für den geprüften Body (Standard 1024 KB, der Rest wird unverändert weitergeleitet) und ob Anfragen bei nicht verfügbarer Engine durchgelassen oder mit 503 beantwortet werden (Standard: durchlassen).

Siehe WAF-Firewall · SafeLine verwenden.

Stapeloperationen (#57)

Der Modus „Sortieren“ der Listen heißt jetzt „Sortieren & Stapel“: Nach dem Markieren lassen sich Einträge gemeinsam aktivieren, deaktivieren und löschen, vor dem Löschen werden die Namen zur Bestätigung aufgelistet. Web-Dienste-Sites können über Listener hinweg markiert werden, um Domains gesammelt hinzuzufügen oder zu entfernen, das Suffix der Hauptdomain zu ersetzen (old.com → new.com schreibt auch www.old.com und *.old.com um) und Kompression, Zugriffsprotokolle, CORS, Weiterleitungs-Header, Verbindung beim Abweisen trennen und WAF-Verweise gesammelt zu ändern; nicht geänderte Optionen behalten den Wert der jeweiligen Site. Der gesamte Stapel wird zuerst geprüft und einmal gespeichert, bei einem Fehler wird nichts übernommen, und nur die betroffenen Listener werden neu geladen, ohne bestehende Verbindungen zu trennen. Die API besteht aus den allgemeinen PUT <Pfad>-enable und POST <Pfad>-delete sowie POST /api/webservice/sites/batch.

STUN: Firewall-Ports automatisch freigeben

STUN-Regeln erhalten „Firewall-Port freigeben“: Ist die Option aktiv, gibt Gately den Traversal-Port in der Firewall dieses Rechners frei (zusammen mit dem internen UPnP- / NAT-PMP-Port, falls gesetzt) und entfernt die Freigabe, wenn die Regel gestoppt oder gelöscht wird. Unterstützt werden nftables (OpenWrt fw4, firewalld) und iptables (fw3, ufw); nach einem Neuladen der Firewall werden die Regeln innerhalb von 30 Sekunden wiederhergestellt, und die Regelkarte zeigt das Ergebnis oder den Grund eines Fehlschlags. Siehe STUN-Traversal.

Fehlerbehebung: Ausstellung scheitert an Wildcard-CNAMEs (#61)

Hat eine Domain einen Wildcard-Eintrag wie *.example.com auf example.com, löst auch _acme-challenge zu einem CNAME auf, der DNS-01-Validierungseintrag wurde auf @ geschrieben, und die CA meldete, dass sie den TXT-Eintrag nicht findet. Gately entscheidet das jetzt selbst: Ein ausdrücklich gesetzter CNAME wird weiterhin verfolgt, sodass die Validierung an eine andere Domain delegiert werden kann; ein durch einen Wildcard entstandener CNAME wird erkannt, und der Eintrag wird unter _acme-challenge.<Domain> geschrieben. Zertifikate erhalten außerdem die Option „CNAME von _acme-challenge nicht folgen“. Siehe SSL-Zertifikate.

Web-Dienste-Protokolle (#62)

• Zugriffsprotokolle erfassen den Grund einer Blockierung (Sperre, IP-Liste, Land, Ratenbegrenzung, WAF), und Anfragen mit einer Anmeldesitzung der Konsole dieser Instanz erfassen den Konsolenbenutzernamen;
• Die Protokollseite erhält „Gesperrte Quellen ausblenden“ (standardmäßig aus, damit die Anfragen, die eine Sperre ausgelöst haben, für Audits sichtbar bleiben) und „Konsolenanfragen ausblenden“ (standardmäßig an); beides wirkt nur auf die Anzeige, die Protokolle werden wie bisher gespeichert;
• Der IP-Filter akzeptiert Ausschlüsse mit vorangestelltem ! oder -, als Adressen, Bereiche oder Teiladressen.

Weitere Verbesserungen

• Die Netzwerktopologie erhält „Filter“: nach Listener, nur Knoten mit Problemen und Sites nach Blockierungsgrund; die Maskierung erhält den Stil „Aliasse“, der Adressen durch Nummern wie Visitor-01 und Backend-01 ersetzt (#54);
• Das Tour-Video der README startet direkt auf der Intro-Karte;
• Abhängigkeiten aktualisiert: go-jose auf v4.1.7 und klauspost/compress auf v1.18.7.

Fehlerbehebungen und Härtung

• Liefert das Backend einer WAF-Site selbst 403, gilt das nicht mehr als WAF-Blockierung: Bisher erhöhte es die Blockzähler und löste ein waf.blocked-Ereignis aus, sodass eine Einbruchschutz-Regel, die WAF-Blockierungen abonniert, normale Besucher sperren konnte;
• „Konsolenanfragen ausblenden“ vertraut nur Administrator-Sitzungen, das Anmelde-Cookie eines schreibgeschützten Kontos kann Anfragen also nicht als Konsolenanfragen markieren; blockierte Anfragen tragen keine Konsolenmarkierung;
• Stapeloperationen begrenzen die Zahl der übermittelten Einträge vor der Deduplizierung, und ein Stapel, der eine nicht vorhandene WAF-Instanz setzt, wird abgelehnt;
• Laufen mehrere Gately-Instanzen auf einem Host, werden die automatisch geöffneten Firewall-Regeln pro Instanz unterschieden und löschen einander nicht.

Hinweise zum Upgrade

• Docker: neues Image ziehen und den Container neu erstellen; ist der Docker-Socket eingebunden, kann sich Gately auch über seine Docker-Seite selbst aktualisieren. OpenWrt: das neue .apk / .ipk über das alte installieren. fnOS: das neue .fpk manuell im App Center installieren. Andere Bereitstellungen können in den Einstellungen online aktualisieren.