Gately v0.6.5.2 publicado

8 de noviembre de 2026

Descargar v0.6.5.2 · GitHub Release

Synology DSM y otros kernels sin nf_tables

El kernel de Synology DSM no tiene nf_tables, por lo que la prevención de intrusiones no podía escribir sus reglas de cortafuegos y lo reintentaba cada minuto, y la apertura automática del cortafuegos no tenía efecto. En esta versión:

• La prevención de intrusiones usa iptables (legacy) e ipset cuando el kernel no tiene nf_tables o no existe el comando nft. Las reglas están en cadenas propias de Gately en la tabla mangle, que se procesan antes que las del cortafuegos de Synology y de Docker; los bloqueos manuales y permanentes, los puertos trampa y la detección de escaneos actúan en el kernel, y los bloqueos con más de unos 24 días restantes se vuelven a escribir antes de expirar;
• «Abrir el cortafuegos automáticamente» en el reenvío de puertos, el servicio web y el enrutamiento por protocolo usa una cadena de iptables propia de Gately, con su salto en el primer puesto de INPUT y restaurado en menos de 30 segundos tras recargar el cortafuegos de Synology; funciona en Docker y en una instalación directa;
• La imagen Docker incluye iptables-legacy e ipset; en los sistemas donde nftables funciona no cambia nada;
• Si ninguno de los dos se puede usar, la prevención de intrusiones muestra «No disponible» con el motivo y deja de reintentar.

Los despliegues con Docker necesitan red host y cap_add: NET_ADMIN. Consulta Prevención de intrusiones.

Comodines en la primera etiqueta de los sitios

Un dominio de sitio puede llevar un * en su primera etiqueta: api-*.example.com coincide con api-1.example.com y api-test.example.com, pero no con subdominios más profundos. Primero coinciden los dominios exactos, luego los comodines y por último *; un comodín en la primera etiqueta tiene prioridad sobre *.example.com, y entre comodines de igual longitud gana el sitio que aparece primero. Las redirecciones pueden usar {1} para la parte capturada por *; los certificados se siguen solicitando para *.example.com. Consulta Servicio web.

Autenticación delegada: redirección 401

La autenticación delegada tiene un nuevo interruptor «Redirección 401» para servicios como Casdoor que devuelven una dirección de inicio de sesión dinámica en el Location de una respuesta 401. Si está activado y «Redirección de inicio de sesión» está vacío, Gately envía al visitante un 302 a esa dirección y transmite Set-Cookie y Cache-Control; las direcciones relativas, javascript: y formas similares mantienen el 401 tal cual. El interruptor está desactivado por defecto.

Correcciones

• Gately se cerraba cuando un backend respondía antes de leer todo el cuerpo de una solicitud HTTP/2, por ejemplo al iniciar sesión con la app de Home Assistant para iOS en la red local;
• Un dominio con punto final (como example.com.) llega al mismo sitio que sin el punto;
• El paquete de diagnóstico sustituye el nombre de host como palabra completa y sin distinguir mayúsculas: un nombre corto como gate ya no convierte gately en <hostname>ly, y los nombres compuestos como nas-backup se siguen anonimizando;
• El enmascarado de la topología de red cubre los dominios con comodín en la primera etiqueta; al copiar un enlace para compartir de un sitio se usa su primer dominio concreto y se omite cualquier forma con comodín.