Gately v0.5.6 est disponible

22 octobre 2026

Cette version ajoute le module Prévention d'intrusion (#10), qui apporte à Gately les fonctions de fail2ban que beaucoup utilisent dans 1Panel : il repère les IP sources des attaques par force brute et des scans de ports, les bannit automatiquement et rejette leur trafic dans le pare-feu du système.

Télécharger v0.5.6 · GitHub Release · Documentation du module

Prévention d'intrusion

• Règles de journaux : lisent des fichiers journaux (en suivant la rotation), le journal systemd, la sortie d'une commande (comme logread -f sur OpenWrt) ou les journaux de conteneurs Docker, repèrent les échecs avec des expressions régulières et <HOST>, et bannissent l'IP qui atteint le nombre d'échecs dans la fenêtre de temps. Des modèles sont fournis pour SSH, Dropbear, Nginx, Vaultwarden, Home Assistant, Proxmox VE et d'autres, et l'éditeur permet de coller des lignes d'exemple pour les tester ;
• Événements Gately : les échecs de connexion à la console et les blocages du WAF peuvent aussi alimenter une règle, sans expression régulière ;
• Ports pièges : pièges sur des ports que cet hôte n'utilise pas. Toute source qui s'y connecte est bannie ; les ports en écoute sont exclus automatiquement ;
• Détection de scan de ports : une source qui se connecte à des ports fermés de cet hôte plus souvent que le seuil par minute est bannie ;
• Une seule liste de bannissement : les bannissements manuels (réseaux CIDR et bannissements permanents compris) et ceux du service web après échec d'authentification sont gérés ici et conservés après redémarrage ; la durée double à chaque récidive ;
• Liste blanche : le LAN, le bouclage, 100.64.0.0/10 (Tailscale) et les réseaux IPv6 /64 de cet hôte sont ignorés par défaut ;
• Pare-feu du système : les bannissements sont écrits dans une table dédiée inet gately de nftables et rejetés dans le noyau, y compris le trafic redirigé vers des conteneurs Docker et des appareils du LAN. Les réponses aux connexions que cet hôte ouvre vers une adresse bannie (par exemple DNS) passent toujours. Les règles sont supprimées à l'arrêt de Gately.

La redirection de ports, le service web, STUN, WebDAV, FTP et la console refusent aussi directement les adresses bannies. Les bannissements déclenchent l'événement « Prévention d'intrusion : IP bannie », auquel vous pouvez vous abonner dans le Centre de notifications.

Où cela fonctionne

• Linux exécuté en root, le paquet fnOS, OpenWrt 22.03 et versions ultérieures : tout est disponible ;
• Docker : nécessite le réseau host et NET_ADMIN (cap_add: [NET_ADMIN]) ; l'image inclut nftables ;
• Windows, macOS, FreeBSD et Linux sans nftables ou sans autorisation : les bannissements ne s'appliquent qu'aux services de Gately, Gately écoute lui-même sur les ports pièges et la détection de scan est indisponible. Le haut de la page indique la raison et la marche à suivre.

Autres améliorations

• Les paramètres Docker affichent les miroirs de registre du démon Docker lui-même (registry-mirrors dans daemon.json) (#11) ;
• Correction de l'erreur unknown field "hasPassword" à l'activation des sauvegardes planifiées (#9) ;
• Le site web a une nouvelle page de soutien.

Notes de mise à jour

• Les installations par binaire Linux se mettent à jour depuis la page À propos ; avec Docker, récupérez la nouvelle image et recréez le conteneur ; sur fnOS, installez le nouveau .fpk depuis le centre d'applications ; sur OpenWrt, installez le nouveau .ipk / .apk.
• Pour les bannissements au niveau du pare-feu dans Docker, ajoutez cap_add: [NET_ADMIN] au fichier compose et recréez le conteneur. Le reste fonctionne sans.
• Les instances Linux exécutées en root créent la table inet gately après la mise à jour. Sans bannissement, elle ne contient que des règles vides et n'affecte pas le trafic existant. Si vous n'en avez pas besoin, désactivez la synchronisation dans « Prévention d'intrusion → Paramètres » ou le module dans « Paramètres → Modules ».
• Les bannissements du service web après échec d'authentification passent dans la liste partagée ; avec la synchronisation activée, ils s'appliquent donc à tout l'hôte. « Ignorer les adresses du LAN », activé par défaut, évite que les adresses du LAN soient bannies ainsi.
• Pour les sites derrière un CDN qui transmet l'IP réelle dans un en-tête, le WAF et les bannissements après échec d'authentification voient les adresses du CDN ; n'activez pas ces règles pour ces sites.
• Avec Docker, utilisez v0.5.6.1, qui corrige le plantage d'un nft ancien sur l'hôte causé par l'image v0.5.6.