Gately v0.6.5.3 veröffentlicht

10. November 2026

v0.6.5.3 herunterladen · GitHub Release

Sicherheitskorrektur: Antwort-Cache

Bisher speicherte eine Reverse-Proxy-Site mit aktiviertem Antwort-Cache im Arbeitsspeicher und einer „Standarddauer“ über 0 Antworten auf Anfragen mit Zugangsdaten-Headern wie X-Emby-Token, X-Api-Key und X-Plex-Token oder mit Abfrageparametern wie api_key, token und access_token; andere Besucher, die danach dieselbe Adresse aufriefen, konnten diese Antwort erhalten. Außerdem speicherte der Cache bei einer Site mit gleichzeitig aktiviertem CORS und Cache die CORS-Header für einen bestimmten Ursprung mit der Antwort, sodass ursprungsübergreifende Anfragen anderer Ursprünge fehlschlugen. In dieser Version:

• Anfragen mit gängigen Zugangsdaten-Headern oder Zugangsdaten-Abfrageparametern werden in keinem Modus gecacht, wie Authorization und Cookie;
• Cache-Einträge speichern die CORS-Header nicht, die Gately je nach Ursprung des Besuchers schreibt; bei einem Treffer werden sie für die jeweilige Anfrage neu erzeugt. Antworten werden nicht gecacht, wenn das Vary des Backends andere Anfrage-Header als Accept-Encoding enthält (bei aktiviertem CORS zusätzlich Origin);
• Anfragen, deren Pfad ;, \, %2F oder %5C enthält, umgehen den Cache.

Sites, die den Antwort-Cache nutzen, sollten bald aktualisieren.

Navigationspanels (#78)

„Web → Navigationspanels“ im linken Menü verwaltet eine Panel-Bibliothek: Sie fasst Links zu den genutzten Diensten nach Gruppen auf einer Seite zusammen. Anschließend im Web-Dienst eine Site vom Typ „Navigationspanel“ hinzufügen und das Panel wählen.

• Jeder Link hat Name, Gruppe, Beschreibung, öffentliche Adresse und optional eine LAN-Adresse, Symbol und Farbe; LAN-Besucher (Loopback-, private und Link-Local-Adressen oder die zusätzlichen LAN-Bereiche des Panels) erhalten automatisch die LAN-Adresse, und die Seite kann zwischen beiden umschalten;
• Jeder Link kann bis zu 8 „Weitere Zugriffswege“ haben, etwa direktes IPv6, frp, STUN-Durchdringung oder einen Cloudflare-Tunnel;
• 110 eingebaute Symbole (Gately-Module, gängige Apps, Systeme und Netzwerkgeräte, allgemeine Symbole), außerdem Emoji, eine Bild-URL oder ein hochgeladenes Bild;
• Adressen unterstützen {host}, {port}, {1} und STUN-Variablen, und Links lassen sich mit „Aus Webdienst-Sites hinzufügen“ anlegen; die Seite bietet Suche sowie helles und dunkles Design;
• Die Seite wird vom Server erzeugt und führt nur eingebaute Stile und Skripte mit zufälliger Nonce aus; Site-Authentifizierung, IP-Zugriffskontrolle, Länderfilter und WAF greifen wie gewohnt.

Ob LAN oder öffentlich, entscheidet die direkte Adresse des Besuchers: Kommen öffentliche Besucher über ein lokales frpc, cloudflared oder eine Docker-Portweiterleitung herein, das PROXY-Protokoll am Listener aktivieren oder vertrauenswürdige Proxys konfigurieren. Siehe Web-Dienst · Navigationspanels.

Besucherprüfung

„Web → Besucherprüfung“ fasst die Zugriffe auf alle Sites nach Besucheradresse zusammen: erster und letzter Besuch, Anfragen und Blockierungen pro Tag, Verteilung der Statuscodes, Blockierungsgründe sowie die besuchten Sites, Pfade, Identitäten und User-Agents. Ausgewertet wird für heute, 7 Tage, 30 Tage oder die gesamte Aufbewahrungsdauer, mit Filtern für blockiert, authentifiziert, Administratoren, gesperrt und scannerartig sowie Suche; in den Details lässt sich die Adresse direkt sperren oder ihr Zugriffsprotokoll öffnen.

Gespeichert werden nur aggregierte Zähler pro Besucher und von jeder URL nur der Pfadteil; Abfragezeichenfolgen, Anfrage-Bodys, Cookies und Zugangsdaten werden nie aufgezeichnet. Die Daten werden komprimiert im Konfigurationsverzeichnis abgelegt (nicht in Konfigurationssicherungen); Aufbewahrungsdauer (Standard 30 Tage) und Besucherobergrenze (Standard 10000) sind einstellbar, und die Funktion lässt sich abschalten. Siehe Web-Dienst · Besucherprüfung.

Wiedergabe der Netzwerktopologie

Die Netzwerktopologie erhält eine „Wiedergabe“: Bei aktivierter Aufzeichnung wird alle 5 Sekunden ein Schnappschuss der gesamten Topologie gespeichert, nur im Arbeitsspeicher, wobei die neuesten Daten innerhalb einer Kapazitätsgrenze (Standard 8 MB) erhalten bleiben; bei wenig Verkehr deckt sie dadurch einen längeren Zeitraum ab. Die Zeitleiste zeigt den Verkehr als Flächendiagramm und markiert rot die Zeiträume, in denen ein Listener nicht starten konnte oder ein Backend Fehler hatte; man kann an eine Stelle ziehen, schrittweise vorgehen, mit 1× bis 60× abspielen und Leerlaufphasen überspringen, und während der Wiedergabe stehen die sieben Layouts, Filter, Maskierung und Fokus auf Aktivität wie gewohnt zur Verfügung. Die Aufzeichnung ist standardmäßig aus, und beim Abschalten werden die Daten gelöscht.

Cache-Regeln pro Pfad (#77)

Der Antwort-Cache einer Reverse-Proxy-Site unterstützt Regeln pro Pfad: „Nicht cachen“, eine eigene Dauer oder „Cache erzwingen“ (ignoriert no-store, no-cache und max-age des Backends, beachtet weiterhin private). Spezifischere Regeln haben Vorrang; der Reiter „Datenverkehr“ zeigt die Anzahl gecachter Einträge und deren Größe und kann den gesamten Cache oder den Cache unter dem Pfad einer Regel leeren. Erzwungen gecachte Antworten teilen sich alle Besucher; diese Option daher nur für Inhalte verwenden, die nicht von der Identität des Besuchers abhängen.

Web-Terminal: Host-Fingerabdrücke nach Schlüsseltyp geprüft

Server haben meist mehrere Host-Schlüssel gleichzeitig: ECDSA, RSA und Ed25519. Das Web-Terminal speichert jetzt den Schlüsseltyp mit dem Fingerabdruck (angezeigt als ECDSA SHA256:...) und handelt nur diesen Schlüsseltyp aus; fehlt der Typ oder passt er nicht, probiert es die anderen Typen nacheinander und akzeptiert nur einen Schlüssel, der zum gespeicherten Fingerabdruck passt. Ein Fingerabdruck beliebigen Typs aus Werkzeugen wie ssh-keyscan lässt sich direkt verwenden, ohne falsche Warnung „Der Host-Schlüssel hat sich geändert“. Der Host-Schlüssel wird weiterhin vor der Authentifizierung geprüft, und passt kein Fingerabdruck, wird kein Passwort gesendet.

Protokollpanel

Die Ziehleiste unter dem Protokollbereich passt dessen Höhe an (auch mit den Pfeiltasten), ein Doppelklick stellt die Standardhöhe wieder her, und der Browser merkt sich die Höhe; die Werkzeugleiste erhält eine Schaltfläche „Vollbild“, Esc beendet es; beim Lesen älterer Einträge ziehen neue Protokolle die Ansicht nicht mehr nach unten, und die Schaltfläche „Zum neuesten“ zeigt, wie viele Einträge inzwischen hinzugekommen sind.

Fehlerbehebungen

• Beim Zugriff über eine IPv6-Adresse behält {host} in Weiterleitungs- und Pfad-Umschreibungsregeln die eckigen Klammern; Pfad-Umschreibungsregeln prüfen die Zeichen von {host} wie Weiterleitungsvariablen, und ein Host mit ungültigen Zeichen erhält eine 400.