Gately v0.6.3.5 リリース
2026年11月3日
v0.6.3.5 をダウンロード · GitHub Release
セキュリティ修正
- 読み取り専用アカウントと読み取り専用の API トークンは、Tailscale の状態 API とモジュールのログから、ログイン待ちのときのログインリンクを見ることができました。リンクを手に入れれば、このゲートウェイを自分の tailnet に登録できてしまいます。現在、ログインリンクは Tailscale の書き込み権限を持つ ID にだけ返され、ログにはリンクのホスト部分だけが残ります（新しい NetBird モジュールもログインリンクとデバイスコードを同様に扱います）。 (GHSA-xq69-cppr-8497)
- Web ターミナルの「接続テスト」は、保存済みの接続をテストするとき、保存済みのシークレットを組み合わせるとき、認証プリセットを参照するときも、利用規約と 2 段階認証のチェックを先に通過する必要があります。これらのリクエストは保存済みのパスワードをリクエストで指定されたホストへ送るためです。
NetBird によるネットワーク接続（#69）
公式クライアントを管理する NetBird モジュールを追加しました。使い方は Tailscale モジュールと同じです。
- Gately が
netbird service runを管理するか（状態は設定ディレクトリに保存）、システムにインストール済みの NetBird サービスを引き継ぐことができます。 - セットアップキー、またはログインリンク / デバイスコードでのログインに対応し、自前の管理サーバーの URL、ホスト名、ルート、DNS、受信を拒否、ユーザースペースネットワークと「ローカルサービスへのアクセス」、SOCKS5 プロキシを設定できます。
- 管理モードでは Gately が接続を担当し、デーモンの再起動後は自動で再接続し、失敗時は 10 秒から 5 分までのバックオフで再試行します。
- ページの「オンラインインストール」で NetBird のダウンロード、更新、ロールバック、アンインストールができ、「デフォルト設定に戻す」はログアウトしてログイン状態を消去します。
詳しくは ネットワーク接続と NAT 越え · NetBird を参照してください。
自動更新チェックとセキュリティ通知（#68）
- 既定では 12 時間ごとに GitHub のリリース一覧とセキュリティアドバイザリを匿名で照会します（「更新用プロキシ」を経由し、読み取るだけで何も送信しません）。「バージョン情報」ページまたは「設定」で無効にできます。
- 新しいバージョンがあると管理画面の上部に表示され、更新内容を確認するか、このバージョンをスキップできます。現在のバージョンが公開済みのセキュリティ問題の影響を受ける場合は赤い表示になり、アドバイザリ番号、深刻度、修正バージョンを一覧表示します。
- 新しいバージョンやセキュリティ問題を見つけると
system.update/system.securityイベントを発行し、通知センターに「アップデート」ルールテンプレートが加わりました。frp、cloudflared、Tailscale、NetBird、File Browser のオンラインインストールカードに「更新を確認」が加わり、Docker の定期チェックで新しいイメージが見つかったときにも通知を送ります。
詳しくは インストールとデプロイ · 自動更新チェックとセキュリティ通知 を参照してください。
項目のコピー（#65）
すべてのリストで、既存の項目をもとにコピーを作成できます。編集ダイアログは元の項目をテンプレートとして開き、名前には自動で「のコピー」が付きます。パスワードとシークレットはサーバー側で元の項目から引き継がれ、平文がブラウザを通ることはありません。証明書のコピーは発行または読み込みをやり直し、元の証明書のファイルを上書きしないようデプロイ先は既定で無効になります。Web サイトのコピーは別のリスナーに置くことができ、リスナーのコピーではサイトも含めるかどうかを選べます。API は汎用の POST <パス>/{key}/copy です。
Web サイトの移動（#63）
- サイト編集ダイアログの「所属リスナー」を編集時にも変更でき、保存するとサイトが新しいリスナーへ移動します。
- 「並べ替え・一括」モードに「リスナーへ移動」が加わり、リスナーをまたいで選択して複数のサイトを一度に移動できます。
- サイトを別のリスナーのサイトやグループの上にドラッグしても移動できます。
移動先のリスナーに同じドメインがある場合、移動は拒否されます。パフォーマンス監視のアラートルールと共有リンクの使用回数はサイトに付いて移動します。ログイン状態はリスナーとサイトごとに区別されるため、移動後は訪問者が再ログインする必要があります。ログインが必要なサイトを HTTPS から平文の HTTP へ移動する場合はリスクを警告します。
通知とプロキシ（#67）
- 通知センターに「通知設定」が加わり、グローバルな通知用プロキシ（使用しない / グローバル更新プロキシを使用 / カスタム）を設定できます。チャネルごとに個別に選ぶこともでき、
http://、https://、socks5://、socks5h://に対応します。メールをプロキシ経由で送るときは、トンネル内で STARTTLS / SSL を行います。 - DDNS / STUN の Webhook、スケジュールタスクの HTTP リクエスト、購読する IP リストと GeoIP データベースのダウンロードにもプロキシを設定できます。
- カードとエラーメッセージではプロキシのパスワードを隠します。
その他の改善
- ページヘッダーとリストのツールバーはスクロール中も表示されたままになりました。モジュールのヘッダーは上部に固定され、タイトルがスクロールで隠れると操作バーだけが残ります。カード内のツールバーはヘッダーの下に固定されます。ダイアログはタイトル、タブバー、下部のボタンが固定され、フォームは中央でスクロールします（#64）。
- Docker の pull、push、ビルド、更新チェック、Compose、一括アップグレードなどのバックグラウンドタスクを中断できます。Compose には先に割り込みシグナルを送り、自分で後始末させます（#67）。
- ネットワークトポロジーのサイト、バックエンド、アクティブな IP から直接アクセスログを確認でき、サイト、バックエンド、リスナーはトポロジー画面でその場で編集できます。Web サービスのサイト行に「ログ」ボタンが加わりました（#67）。
- イメージは Docker Hub の
vanjayak/gatelyにも公開されます。GHCR と同じマルチアーキテクチャイメージで、同じく cosign の署名付きです（#67）。 - API トークンの新規作成ダイアログに
/api/openapi.jsonの呼び出し例が加わりました（#67）。 - Web サービスの手動禁止と「切断してブロック」に「永久」オプションが加わりました。
- 「禁止された送信元を隠す」は、禁止中の送信元について、禁止のきっかけになったリクエストも隠すようになりました。
- 読み取り専用アカウントのサイドバーには監査ログ、設定履歴、API トークン、設定が表示されなくなりました。これらのページを直接開くと概要に戻り、画面から管理者用 API を呼び出すこともなくなりました。
修正と強化
- 項目の一括追加はロックを保持したまま検証するようになり、Web サービスのリスナーと IP リストを新規追加するときのデータ競合を修正しました。
- サイトを続けて移動したときは順番に実行され、パフォーマンス監視のアラートルールが存在しないサイトに残ることはありません。
- 手動禁止はループバックアドレス、未指定アドレス、信頼済みプロキシのアドレスを拒否し（侵入防御の手動禁止はループバックと未指定アドレスを拒否）、非常に大きな禁止秒数がオーバーフローして永久禁止になることはなくなりました。
- Docker の定期チェックは、チェックの失敗中やコンテナの停止中も通知記録を保持し、同じ新しいイメージを重複して通知しません。
- NetBird と Tailscale がデーモンを管理するとき、既存のカスタム状態ディレクトリの権限を変更しなくなりました。NetBird 0.75 未満のユーザースペース SOCKS5 が常に 0.0.0.0 で待ち受ける場合は警告し、SOCKS5 がこのマシン以外から届くアドレスで待ち受けている場合は画面で注意を促します。
- トポロジー画面で名前付きの既定サイトのアクセスログを開くと、そのサイトで絞り込まれます。名前のない既定サイトには、全サイトのログが混ざる入口を表示しなくなりました。
- 実行ログの送信元フィルターのクリアボタンが正常に動作するようになりました。読み取り専用アカウントで管理者用ページを再読み込みしても 403 のリクエストは発生しません。
- プロキシのパスワードにエンコードされていない
@、/、:が含まれていても、完全に隠すようになりました。
アップグレードの注意
- Docker は新しいイメージを pull してコンテナを再作成します。Docker ソケットをマウントしている場合は、Gately の Docker ページから Gately 自身をアップグレードすることもできます。OpenWrt は新しい
.apk/.ipkを上書きインストールします。fnOS はアプリセンターで新しい.fpkを手動でインストールします。その他のデプロイ方法では「設定」からオンラインでアップグレードできます。 - アップグレード後は自動更新チェックが既定で有効になります。不要な場合は「バージョン情報」ページで無効にしてください。