Gately v0.6.5.2 est disponible

8 novembre 2026

Télécharger v0.6.5.2 · GitHub Release

Synology DSM et autres noyaux sans nf_tables

Le noyau de Synology DSM n’a pas nf_tables : la prévention d’intrusion échouait à écrire ses règles de pare-feu et réessayait chaque minute, et l’ouverture automatique du pare-feu restait sans effet. Dans cette version :

• La prévention d’intrusion utilise iptables (legacy) et ipset quand le noyau n’a pas nf_tables ou qu’il n’y a pas de commande nft. Les règles sont placées dans des chaînes propres à Gately de la table mangle, traitée avant les règles du pare-feu Synology et de Docker ; les bannissements manuels et permanents, les ports pièges et la détection de scans agissent dans le noyau, et les bannissements de plus de 24 jours environ restants sont réécrits avant leur expiration ;
• « Ouvrir le pare-feu automatiquement » pour la redirection de ports, le service web et le routage par protocole utilise une chaîne iptables propre à Gately, dont le saut est placé en tête d’INPUT et rétabli dans les 30 secondes après un rechargement du pare-feu Synology ; cela fonctionne avec Docker comme avec une installation directe ;
• L’image Docker inclut iptables-legacy et ipset ; rien ne change sur les systèmes où nftables fonctionne ;
• Si aucun des deux n’est utilisable, la prévention d’intrusion affiche « Indisponible » avec la raison et ne réessaie plus.

Les déploiements Docker nécessitent le réseau host et cap_add: NET_ADMIN. Voir Prévention d’intrusion.

Joker dans le premier libellé des sites

Un domaine de site peut contenir un * dans son premier libellé : api-*.example.com correspond à api-1.example.com et api-test.example.com, mais pas aux sous-domaines plus profonds. Les domaines exacts passent en premier, puis les jokers, puis * ; un joker dans le premier libellé l’emporte sur *.example.com, et entre jokers de même longueur, c’est le site listé en premier qui gagne. Les redirections peuvent utiliser {1} pour la partie capturée par * ; les certificats se demandent toujours pour *.example.com. Voir Service web.

Authentification déléguée : redirection 401

L’authentification déléguée a un nouvel interrupteur « Redirection 401 » pour les services comme Casdoor qui placent une adresse de connexion dynamique dans le Location d’une réponse 401. Quand il est activé et que « Redirection de connexion » est vide, Gately envoie au visiteur un 302 vers cette adresse et transmet Set-Cookie et Cache-Control ; les adresses relatives, javascript: et formes similaires laissent le 401 tel quel. L’interrupteur est désactivé par défaut.

Corrections

• Gately s’arrêtait quand un backend répondait avant d’avoir lu tout le corps d’une requête HTTP/2, par exemple lors d’une connexion avec l’app Home Assistant pour iOS sur le réseau local ;
• Un domaine avec un point final (comme example.com.) atteint le même site que sans le point ;
• Le paquet de diagnostic remplace le nom d’hôte comme mot entier et sans tenir compte de la casse : un nom court comme gate ne transforme plus gately en <hostname>ly, et les noms composés comme nas-backup restent masqués ;
• Le masquage de la topologie réseau couvre les domaines avec joker dans le premier libellé ; la copie d’un lien de partage d’un site utilise son premier domaine concret et ignore toute forme avec joker.