Gately v0.6.2 publicado

31 de octubre de 2026

Descargar v0.6.2 · GitHub Release

Enrutamiento por protocolo

El nuevo módulo Enrutamiento por protocolo aparece junto a Reenvío de puertos en la barra lateral. Identifica el protocolo a partir de los primeros bytes que envía el cliente y dirige las conexiones de un mismo puerto a distintos backends, sin descifrar nada:

• TLS se enruta por el dominio SNI y el ALPN, HTTP por Host y Minecraft por la dirección del servidor incluida en el handshake;
• SSH, RDP, SOCKS4/5, OpenVPN sobre TCP (incluidos tls-auth y tls-crypt-v2), XMPP, MQTT, PostgreSQL, RTSP, SIP, Redis, AMQP, SMB, Git, IRC, ADB y BitTorrent tienen una ruta cada uno; HTTP, RTSP y SIP se distinguen por la versión al final de la línea de petición;
• una ruta de Tiempo de espera recibe a los clientes que no envían nada tras conectarse (protocolos en los que el servidor habla primero, como VNC o MySQL), y el tiempo de detección admite décimas de segundo;
• las conexiones no reconocidas o sin ruta coincidente van al destino predeterminado; cada ruta puede enviar el protocolo PROXY a su backend, y la lista muestra cuántas conexiones ha recibido cada ruta.

Consulta Enrutamiento por protocolo para ver en qué se basa la detección de cada protocolo, el orden de coincidencia de dominios y ALPN, y ejemplos que sustituyen el enrutamiento SNI de haproxy y sslh.

Grupos y orden de las listas (#48)

DNS dinámico, Reenvío de puertos, Enrutamiento por protocolo, sitios de Servicios web, STUN, certificados SSL, WAF, Prevención de intrusiones, frp, túneles de Cloudflare, File Browser, montajes de almacenamiento, Wake-on-LAN, tareas programadas, notificaciones, conexiones guardadas del Terminal web, tokens de API y otras listas comparten ahora las mismas herramientas:

• búsqueda, ordenación arrastrando (flechas arriba/abajo en el móvil) y mover a la vez varios elementos seleccionados a un grupo;
• mover grupos enteros, renombrar y fusionar grupos en el sitio, y recordar los grupos contraídos;
• los registros DNS dentro de una tarea de DNS dinámico también se pueden agrupar y ordenar.

Cambiar los grupos o el orden nunca reinicia una instancia en ejecución. Consulta Grupos y orden de las listas.

Direcciones STUN en el DNS dinámico (#47)

Los valores de registro y los Webhooks pueden usar {STUN_nombre de regla_PORT}, {STUN_nombre de regla_IP} y {STUN_nombre de regla_ADDR}. Cuando cambia la dirección pública de una regla STUN, las tareas que la referencian se sincronizan de inmediato; si las variables solo aparecen en el Webhook, el Webhook se llama igualmente una vez. Mientras la regla está desactivada o aún no ha logrado el traversal, el registro se omite en esa ronda y su estado indica el motivo. Consulta DNS dinámico · Variables del valor del registro.

STUN detrás de varios NAT

Las reglas con UPnP / NAT-PMP consultan primero a la puerta de enlace su propia dirección externa. Si difiere de la dirección pública que observa STUN (por ejemplo, un router detrás de un NAT del operador), el puerto público pertenece al NAT exterior: solo se mantiene la asignación del puerto del túnel, no se añade ninguna asignación extra en el router y el puerto público ya no cambia en cada nueva comprobación. La documentación de STUN explica ahora el NAT del operador de cono completo y restringido, UPnP detrás de varios NAT, fijar el puerto local y permitirlo en el cortafuegos del host.

Mejoras de seguridad

• Mientras se use la contraseña predeterminada, la cuenta, la verificación en dos pasos, las passkeys, las cuentas adicionales, los tokens de API, los ajustes del sistema y los ajustes de seguridad del Terminal web son de solo lectura, y también se rechaza restaurar una copia de seguridad o devolver estos ajustes a una versión del historial, hasta que se cambie la contraseña predeterminada;
• las cuentas y los tokens de API de solo lectura ven enmascarados, en la configuración y los registros, las contraseñas de usuarios compartidos, los tokens de enlaces compartidos, los valores de cabeceras y los secretos, así como las contraseñas, valores de consulta y tokens de ruta dentro de las URL;
• explorar directorios bajo files/ y sftp/ requiere permiso de escritura;
• un inicio de sesión solo con contraseña ya no reinicia el contador de fallos, de modo que los códigos de dos pasos no se pueden obtener por fuerza bruta;
• detrás de un proxy de confianza, las cabeceras X-Forwarded-For y X-Real-IP que no coinciden se tratan con más rigor, de modo que una dirección interna falsificada no puede saltarse «Acceso solo desde la red local»;
• en el diálogo de tokens de API, los módulos cuyo permiso de escritura puede ejecutar comandos en el servidor (DNS dinámico, tareas programadas, Prevención de intrusiones, STUN, SSL, Terminal web, Docker, frp, File Browser, túneles de Cloudflare) se marcan con «Ejecuta comandos» y al concederlos se muestra un aviso;
• las URL de descripción del dispositivo y de control que devuelve una puerta de enlace UPnP deben pertenecer al dispositivo que respondió.

Otras mejoras

• Cada registro de la tarjeta de una tarea de DNS dinámico se puede eliminar directamente (el registro DNS en el proveedor se conserva);
• en el móvil, la barra de teclas del Terminal web es una sola fila con desplazamiento horizontal que aparece y se oculta con el teclado en pantalla;
• los iconos de la pantalla de inicio en Android Chrome e iOS ya no son transparentes, y la interfaz de administración y el sitio web ofrecen un manifiesto de aplicación web;
• se han rediseñado la página de inicio del sitio web y el README.

Correcciones

• Editar una regla de Prevención de intrusiones que ya había coincidido fallaba con «unknown field lastSeen»;
• cuando varios certificados cubren el mismo dominio, se usa el que caduca más tarde, de modo que el orden y los grupos de la lista de certificados ya no cambian el certificado en uso;
• el Enrutamiento por protocolo ya no reenvía relleno de ceros cuando un ClientHello queda cortado por el tiempo de detección, y detener o editar una regla cierra de inmediato las conexiones que aún se están identificando;
• las variables STUN en un cuerpo de Webhook JSON no se sustituían.

Notas de actualización

• En el primer arranque tras la actualización, las reglas de enrutamiento SNI de Reenvío de puertos pasan a Enrutamiento por protocolo con sus claves, nombres, estado de activación, grupos y rutas; si Reenvío de puertos estaba desactivado, Enrutamiento por protocolo también queda desactivado; los tokens de API con acceso a Reenvío de puertos obtienen el mismo acceso a Enrutamiento por protocolo.
• Los scripts que gestionan reglas de enrutamiento mediante la API deben usar /api/protoroute/rules, donde el campo de rutas es routes en lugar de sniRoutes; /api/portforward/rules ya no acepta el campo mode. Las métricas de estas reglas pasan a ser gately_protoroute_*.
• Docker: descargue la nueva imagen y vuelva a crear el contenedor. OpenWrt: instale el nuevo .apk / .ipk sobre el anterior. fnOS: instale manualmente el nuevo .fpk en el Centro de aplicaciones. El resto de instalaciones puede actualizarse en línea desde «Ajustes del sistema».