Gately v0.6.3.5 veröffentlicht

3. November 2026

v0.6.3.5 herunterladen · GitHub Release

Sicherheitskorrekturen

• Nur-Lese-Konten und API-Tokens mit nur Leserechten konnten in der Tailscale-Statusschnittstelle und in den Modulprotokollen den Anmeldelink einer ausstehenden Anmeldung sehen; wer den Link hatte, konnte dieses Gateway in seinem eigenen Tailnet registrieren. Anmeldelinks gehen jetzt nur noch an Identitäten mit Schreibrecht für Tailscale, und Protokolle behalten nur den Host-Teil des Links (das neue NetBird-Modul behandelt Anmeldelinks und Gerätecodes ebenso). (GHSA-xq69-cppr-8497)
• Im Web-Terminal muss „Verbindung testen“ nun auch dann die Sperre aus Nutzungsvereinbarung und Zwei-Faktor-Authentifizierung passieren, wenn eine gespeicherte Verbindung getestet, gespeicherte Geheimnisse übernommen oder eine Anmeldevorlage verwendet wird: Solche Anfragen senden das gespeicherte Passwort an den in der Anfrage angegebenen Host.

Vernetzung mit NetBird (#69)

Das neue Modul NetBird verwaltet den offiziellen Client und funktioniert wie das Tailscale-Modul:

• Gately kann netbird service run selbst betreiben (der Zustand liegt im Konfigurationsverzeichnis) oder einen bereits auf dem System installierten NetBird-Dienst übernehmen;
• Anmeldung per Setup-Key oder per Anmeldelink / Gerätecode; einstellbar sind die Adresse eines selbst betriebenen Management-Servers, Hostname, Routen, DNS, „Eingehend blockieren“, „Userspace-Netzwerk“ mit „Lokale Dienste erreichbar“ und ein SOCKS5-Proxy;
• im verwalteten Betrieb übernimmt Gately die Verbindung, verbindet sich nach einem Neustart des Daemons automatisch neu und wiederholt Fehlschläge mit einem Backoff von 10 Sekunden bis 5 Minuten;
• „Online installieren“ auf der Seite lädt NetBird herunter, aktualisiert, setzt zurück und deinstalliert es, und „Standardeinstellungen wiederherstellen“ meldet ab und löscht den Anmeldezustand.

Siehe Netzwerk & Tunnel · NetBird.

Automatische Update-Prüfung und Sicherheitswarnungen (#68)

• Standardmäßig fragt Gately alle 12 Stunden anonym die Release-Liste und die Sicherheitshinweise auf GitHub ab (über den „Update-Proxy“; es wird nur gelesen und nichts übermittelt); abschalten lässt sich das auf der Seite „Über“ oder in den Einstellungen;
• gibt es eine neue Version, zeigt die Konsole oben einen Hinweis, über den sich die Änderungen ansehen oder die Version überspringen lassen; ist die laufende Version von einem veröffentlichten Sicherheitsproblem betroffen, erscheint ein roter Hinweis mit Kennungen, Schweregrad und behobenen Versionen der Hinweise;
• neue Versionen und Sicherheitsprobleme lösen die Ereignisse system.update / system.security aus, und die Benachrichtigungszentrale erhält die Regelvorlage „Updates“; die Online-Installationskarten von frp, cloudflared, Tailscale, NetBird und File Browser erhalten „Nach Updates suchen“, und auch die geplante Docker-Prüfung benachrichtigt, wenn sie ein neues Image findet.

Siehe Installation · Automatische Update-Prüfung und Sicherheitswarnungen.

Einträge kopieren (#65)

Jede Liste kann eine Kopie auf Basis eines vorhandenen Eintrags anlegen: Der Bearbeitungsdialog öffnet sich mit dem Original als Vorlage, der Name erhält automatisch „(Kopie)“, und Passwörter und Geheimnisse übernimmt der Server aus dem Original, sodass kein Klartext durch den Browser geht. Eine Zertifikatskopie wird neu ausgestellt oder neu eingelesen, ihre Bereitstellungsziele sind zunächst deaktiviert, damit die Dateien des ursprünglichen Zertifikats nicht überschrieben werden; eine Web-Site-Kopie kann auf einem anderen Listener landen, und eine Listener-Kopie kann wahlweise ihre Sites mitnehmen. Die API ist das allgemeine POST <Pfad>/{key}/copy.

Web-Sites verschieben (#63)

• Das Feld „Listener“ im Site-Dialog lässt sich jetzt auch beim Bearbeiten ändern, und beim Speichern wandert die Site zum neuen Listener;
• der Modus „Sortieren & Stapel“ erhält „Zu Listener verschieben“, um über Listener hinweg markierte Sites in einem Schritt zu verschieben;
• eine Site auf eine Site oder Gruppe eines anderen Listeners zu ziehen, verschiebt sie ebenfalls.

Hat der Ziel-Listener bereits dieselbe Domain, wird das Verschieben abgelehnt; Alarmregeln der Leistungsüberwachung und die Nutzungszähler von Freigabelinks ziehen mit der Site um, Anmeldesitzungen gelten dagegen je Listener und Site, sodass Besucher sich nach dem Verschieben neu anmelden müssen. Wird eine Site mit Anmeldepflicht von HTTPS auf unverschlüsseltes HTTP verschoben, erscheint ein Risikohinweis.

Benachrichtigungen und Proxys (#67)

• Die Benachrichtigungszentrale erhält „Benachrichtigungseinstellungen“ mit einem globalen Benachrichtigungs-Proxy (keiner / globalen Update-Proxy verwenden / benutzerdefiniert), und jeder Kanal kann einen eigenen wählen; unterstützt werden http://, https://, socks5:// und socks5h://, und E-Mails über einen Proxy führen STARTTLS / SSL innerhalb des Tunnels aus;
• auch DDNS- / STUN-Webhooks, HTTP-Anfragen geplanter Aufgaben, abonnierte IP-Listen und GeoIP-Datenbank-Downloads können einen Proxy nutzen;
• Proxy-Passwörter werden in Karten und Fehlermeldungen ausgeblendet.

Weitere Verbesserungen

• Seitenköpfe und Listen-Werkzeugleisten bleiben beim Scrollen sichtbar: Modulköpfe haften oben, und ist der Titel weggescrollt, bleibt nur die Aktionsleiste; Werkzeugleisten in Karten haften unter dem Seitenkopf; in Dialogen bleiben Titel, Tab-Leiste und Schaltflächen unten stehen, und das Formular scrollt dazwischen (#64);
• Docker-Hintergrundaufgaben wie Pull, Push, Build, Update-Prüfung, Compose und Massen-Upgrades lassen sich abbrechen, wobei Compose zuerst ein Interrupt-Signal erhält, um sauber abzuschließen (#67);
• in der Netzwerktopologie öffnen Sites, Backends und aktive IPs direkt ihre Zugriffsprotokolle, und Sites, Backends und Listener lassen sich auf der Topologieseite an Ort und Stelle bearbeiten; Site-Zeilen der Web-Dienste erhalten eine Schaltfläche „Protokolle“ (#67);
• das Image erscheint auch auf Docker Hub als vanjayak/gately, dasselbe Multi-Architektur-Image wie auf GHCR mit derselben cosign-Signatur (#67);
• der Dialog für ein neues API-Token zeigt einen Beispielaufruf von /api/openapi.json (#67);
• manuelle Sperren in den Web-Diensten und „Trennen und sperren“ erhalten die Option „Dauerhaft“;
• „Gesperrte Quellen ausblenden“ blendet bei noch gesperrten Quellen auch die Anfragen aus, die die Sperre ausgelöst haben;
• Nur-Lese-Konten sehen Audit-Protokoll, Konfigurationsverlauf, API-Tokens und Einstellungen nicht mehr in der Seitenleiste; ein direkter Aufruf dieser Seiten führt zurück zur Übersicht, und die Oberfläche ruft keine Admin-Schnittstellen mehr auf.

Fehlerbehebungen und Härtung

• Das Anlegen mehrerer Einträge auf einmal wird jetzt unter Sperre geprüft, was ein Data Race zwischen neuen Web-Dienste-Listenern und IP-Listen behebt;
• mehrere Site-Verschiebungen hintereinander laufen der Reihe nach, sodass Alarmregeln der Leistungsüberwachung nicht an einer nicht mehr vorhandenen Site hängen bleiben;
• manuelle Sperren lehnen Loopback-, unspezifizierte und vertrauenswürdige Proxy-Adressen ab (manuelle Sperren im Einbruchschutz lehnen Loopback- und unspezifizierte Adressen ab), und sehr große Sperrdauern laufen nicht mehr in eine dauerhafte Sperre über;
• die geplante Docker-Prüfung behält ihre Benachrichtigungseinträge, solange eine Prüfung fehlschlägt oder der Container gestoppt ist, sodass dasselbe neue Image nicht doppelt gemeldet wird;
• NetBird und Tailscale ändern beim Verwalten des Daemons nicht mehr die Rechte eines vorhandenen benutzerdefinierten Zustandsverzeichnisses; lauscht der Userspace-SOCKS5 von NetBird vor 0.75 fest auf 0.0.0.0, erscheint eine Warnung, und die Oberfläche weist darauf hin, wenn der SOCKS5-Listener auf einer Adresse außerhalb dieses Rechners liegt;
• die Zugriffsprotokolle einer benannten Standardsite werden von der Topologieseite aus nach dieser Site gefiltert; unbenannte Standardsites bieten keinen Einstieg mehr, der die Protokolle aller Sites vermischen würde;
• die Löschen-Schaltfläche des Quellenfilters in den Laufzeitprotokollen funktioniert wieder; Nur-Lese-Konten erzeugen beim Neuladen von Admin-Seiten keine 403-Anfragen mehr;
• Proxy-Passwörter mit unkodiertem @, / oder : werden ebenfalls vollständig ausgeblendet.

Hinweise zum Upgrade

• Docker: neues Image ziehen und den Container neu erstellen; ist der Docker-Socket eingebunden, kann sich Gately auch über seine Docker-Seite selbst aktualisieren. OpenWrt: das neue .apk / .ipk über das alte installieren. fnOS: das neue .fpk manuell im App Center installieren. Andere Bereitstellungen können in den Einstellungen online aktualisieren.
• Nach dem Upgrade ist die automatische Update-Prüfung standardmäßig aktiv; wer sie nicht braucht, schaltet sie auf der Seite „Über“ ab.