Gately v0.5.6 publicado

22 de octubre de 2026

Esta versión añade el módulo Prevención de intrusiones (#10), que lleva a Gately las funciones de fail2ban que muchos usan en 1Panel: detecta las IP de origen de ataques de fuerza bruta y escaneos de puertos, las bloquea automáticamente y descarta su tráfico en el cortafuegos del sistema.

Descargar v0.5.6 · GitHub Release · Documentación del módulo

Prevención de intrusiones

• Reglas de registros: leen archivos de registro (siguiendo la rotación), el diario de systemd, la salida de un comando (como logread -f en OpenWrt) o los registros de contenedores Docker, buscan fallos con expresiones regulares y <HOST> y bloquean la IP que alcanza el número de fallos en la ventana de tiempo. Incluye plantillas para SSH, Dropbear, Nginx, Vaultwarden, Home Assistant, Proxmox VE y otros, y en el editor puedes pegar líneas de ejemplo para probarlas;
• Eventos de Gately: los inicios de sesión fallidos en el panel y los bloqueos del WAF también pueden alimentar una regla, sin expresiones regulares;
• Puertos trampa: trampas en puertos que este equipo no usa. Cualquier origen que se conecte queda bloqueado; los puertos en escucha se excluyen automáticamente;
• Detección de escaneos: se bloquea el origen que se conecta a puertos cerrados de este equipo más veces por minuto que el umbral;
• Una sola lista de bloqueos: aquí se gestionan los bloqueos manuales (incluidas redes CIDR y bloqueos permanentes) y los bloqueos por fallos de autenticación del servicio web, que se conservan tras reiniciar; la duración se duplica con cada reincidencia;
• Lista blanca: por defecto se ignoran la LAN, loopback, 100.64.0.0/10 (Tailscale) y las redes IPv6 /64 de este equipo;
• Cortafuegos del sistema: los bloqueos se escriben en una tabla propia inet gately de nftables y se descartan en el kernel, incluido el tráfico reenviado a contenedores Docker y dispositivos de la LAN. Las respuestas a las conexiones que este equipo abre hacia una dirección bloqueada (por ejemplo, DNS) siguen pasando. Las reglas se eliminan al detener Gately.

El reenvío de puertos, el servicio web, STUN, WebDAV, FTP y el panel también rechazan directamente las direcciones bloqueadas. Los bloqueos generan el evento «Prevención de intrusiones: IP bloqueada», al que puedes suscribirte en el Centro de notificaciones.

Dónde funciona

• Linux ejecutándose como root, el paquete de fnOS y OpenWrt 22.03 o posterior: todas las funciones disponibles;
• Docker: necesita red host y NET_ADMIN (cap_add: [NET_ADMIN]); la imagen incluye nftables;
• Windows, macOS, FreeBSD y Linux sin nftables o sin permisos: los bloqueos solo afectan a los servicios de Gately, Gately escucha él mismo en los puertos trampa y la detección de escaneos no está disponible. La parte superior de la página muestra el motivo y cómo solucionarlo.

Otras mejoras

• La configuración de Docker muestra los espejos de registro del propio demonio de Docker (registry-mirrors en daemon.json) (#11);
• Se corrigió el error unknown field "hasPassword" al activar las copias de seguridad programadas (#9);
• El sitio web tiene una nueva página de patrocinio.

Notas de actualización

• Las instalaciones con binario de Linux se actualizan desde la página Acerca de; en Docker descarga la nueva imagen y recrea el contenedor; en fnOS instala el nuevo .fpk desde el centro de aplicaciones; en OpenWrt instala el nuevo .ipk / .apk.
• Para los bloqueos a nivel de cortafuegos en Docker, añade cap_add: [NET_ADMIN] al archivo compose y recrea el contenedor. Todo lo demás funciona sin ello.
• Las instancias de Linux que se ejecutan como root crean la tabla inet gately tras actualizar. Sin bloqueos solo contiene reglas vacías y no afecta al tráfico existente. Si no la necesitas, desactiva la sincronización en «Prevención de intrusiones → Configuración» o el módulo en «Configuración → Módulos».
• Los bloqueos por fallos de autenticación del servicio web pasan a la lista compartida, así que con la sincronización activada afectan a todo el equipo. «Ignorar direcciones de la LAN», activado por defecto, evita que las direcciones de la LAN se bloqueen de este modo.
• En sitios detrás de una CDN que pasa la IP real en una cabecera, el WAF y los bloqueos por autenticación ven las direcciones de la CDN; no actives esas reglas en esos sitios.
• En Docker usa v0.5.6.1, que corrige que la imagen de v0.5.6 hiciera fallar un nft antiguo en el anfitrión.