Gately v0.6.5.2 リリース

2026年11月8日

ダウンロード v0.6.5.2 · GitHub Release

Synology DSM など nf_tables のないカーネル

Synology DSM のカーネルには nf_tables がなく、これまで侵入防御はファイアウォールルールの書き込みに失敗して毎分再試行し、ファイアウォールの自動許可も効きませんでした。このリリースでは：

• カーネルに nf_tables がない場合や nft コマンドがない場合、侵入防御は iptables（legacy）と ipset を使います。ルールは mangle テーブル内の Gately 専用チェーンに書かれ、Synology のファイアウォールや Docker のルールより先に処理されます。手動ブロック、永久ブロック、トラップポート、ポートスキャン検知はすべてカーネルで有効になり、残り約 24 日を超えるブロックは期限前に自動で書き直されます。
• ポート転送、Web サービス、プロトコル振り分けの「ファイアウォールを自動で許可」は Gately 専用の iptables チェーンを使い、ジャンプを INPUT の先頭に置きます。Synology のファイアウォールを再読み込みしても 30 秒以内に戻ります。Docker でも直接インストールでも動作します。
• Docker イメージに iptables-legacy と ipset を同梱しました。nftables が使えるシステムの動作は変わりません。
• どちらも使えない場合、侵入防御は理由とともに「利用不可」と表示し、定期的な再試行はしません。

Docker では host ネットワークと cap_add: NET_ADMIN が必要です。詳しくは 侵入防御 を参照してください。

Web サイトの先頭ラベル内ワイルドカード

サイトのドメインの先頭ラベルに * を 1 つ書けます。api-*.example.com は api-1.example.com や api-test.example.com に一致し、さらに深いサブドメインには一致しません。一致の順序は完全一致、ワイルドカード、* です。先頭ラベル内ワイルドカードは *.example.com より優先され、同じ長さのワイルドカードは一覧で先にあるサイトが使われます。リダイレクトでは {1} で * に一致した部分を使えます。証明書は引き続き *.example.com で申請します。詳しくは Web サービス を参照してください。

フォワード認証：401 リダイレクト

フォワード認証に「401 リダイレクト」スイッチを追加しました。Casdoor のように 401 応答の Location に動的なログイン先を返す認証サービス向けです。オンにして「ログインへのリダイレクト」が空のとき、Gately は訪問者をそのアドレスへ 302 でリダイレクトし、Set-Cookie と Cache-Control を引き渡します。相対アドレスや javascript: などの場合は 401 をそのまま返します。既定はオフです。

修正

• バックエンドがリクエスト本文を読み終える前に応答したとき（LAN 内で Home Assistant の iOS アプリからログインした場合など）、HTTP/2 リクエストで Gately のプロセスが終了していました。
• 末尾にドットの付いたドメイン（example.com. など）が、ドットなしと同じサイトに一致するようになりました。
• 診断パッケージはホスト名を単語単位で、大文字小文字を区別せずに置き換えます。gate のような短いホスト名で gately が <hostname>ly になることはなくなり、nas-backup のような複合名に含まれるホスト名は引き続き置き換えられます。
• ネットワークトポロジーのマスクが先頭ラベル内ワイルドカードのドメインにも適用されます。サイトの共有リンクのコピーには最初の具体的なドメインを使い、ワイルドカードの書き方はすべて飛ばします。