Gately v0.6.5.2 veröffentlicht

8. November 2026

v0.6.5.2 herunterladen · GitHub Release

Synology DSM und andere Kernel ohne nf_tables

Der Kernel von Synology DSM hat kein nf_tables. Bisher scheiterte der Einbruchschutz daher beim Schreiben der Firewall-Regeln und versuchte es jede Minute erneut, und die automatische Firewall-Freigabe blieb wirkungslos. In dieser Version:

• Der Einbruchschutz verwendet iptables (legacy) und ipset, wenn der Kernel kein nf_tables hat oder kein nft-Befehl vorhanden ist. Die Regeln stehen in Gatelys eigenen Ketten der mangle-Tabelle, die vor den Regeln der Synology-Firewall und von Docker verarbeitet werden; manuelle und dauerhafte Sperren, Köderports und Portscan-Erkennung wirken im Kernel, und Sperren mit mehr als etwa 24 Tagen Restlaufzeit werden vor ihrem Ablauf neu geschrieben;
• „Firewall automatisch freigeben“ bei Portweiterleitung, Web-Dienst und Protokoll-Routing nutzt eine eigene iptables-Kette von Gately, deren Sprung an erster Stelle in INPUT steht und nach einem Neuladen der Synology-Firewall innerhalb von 30 Sekunden wiederhergestellt wird; das gilt für Docker und für die direkte Installation;
• Das Docker-Image enthält iptables-legacy und ipset; auf Systemen, auf denen nftables funktioniert, ändert sich nichts;
• Ist beides nicht nutzbar, zeigt der Einbruchschutz „Nicht verfügbar“ mit dem Grund an und versucht es nicht regelmäßig erneut.

Docker-Installationen benötigen Host-Netzwerk und cap_add: NET_ADMIN. Siehe Einbruchschutz.

Platzhalter im ersten Label von Sites

Eine Site-Domain darf in ihrem ersten Label ein * enthalten: api-*.example.com passt zu api-1.example.com und api-test.example.com, aber nicht zu tieferen Subdomains. Zuerst greifen exakte Domains, dann Platzhalter, dann *; ein Platzhalter im ersten Label hat Vorrang vor *.example.com, und bei gleich langen Platzhaltern gewinnt die zuerst aufgeführte Site. Weiterleitungen können mit {1} den von * erfassten Teil verwenden; Zertifikate werden weiterhin für *.example.com beantragt. Siehe Web-Dienst.

Forward-Auth: 401-Umleitung

Forward-Auth hat einen neuen Schalter „401-Umleitung“ für Auth-Dienste wie Casdoor, die im Location einer 401-Antwort eine dynamische Login-Adresse liefern. Ist er an und „Login-Weiterleitung“ leer, leitet Gately den Besucher mit 302 dorthin weiter und gibt Set-Cookie und Cache-Control mit; relative Adressen, javascript: und ähnliche Formen lassen die 401 unverändert. Der Schalter ist standardmäßig aus.

Fehlerbehebungen

• Gately beendete sich, wenn ein Backend über HTTP/2 antwortete, bevor es den gesamten Anfrage-Body gelesen hatte, etwa beim Anmelden mit der Home-Assistant-App für iOS im LAN;
• Eine Domain mit abschließendem Punkt (etwa example.com.) erreicht dieselbe Site wie ohne Punkt;
• Das Diagnosepaket ersetzt den Hostnamen als ganzes Wort und ohne Beachtung der Groß-/Kleinschreibung: Ein kurzer Hostname wie gate macht aus gately nicht mehr <hostname>ly, und zusammengesetzte Namen wie nas-backup werden weiterhin geschwärzt;
• Das Maskieren in der Netzwerktopologie erfasst Domains mit Platzhalter im ersten Label; beim Kopieren eines Freigabelinks einer Site wird die erste konkrete Domain verwendet und jede Platzhalterform übersprungen.