Gately v0.6.6.4 リリース

2026年11月14日

ダウンロード v0.6.6.4 · GitHub Release

管理画面のログインセキュリティ

• パスワードルール：新しいパスワードは 10～72 バイトです。よくある弱いパスワード（よくある変形を含む）、gately やユーザー名を含むもの、連続または繰り返しの文字、文字種が少なすぎるものを拒否します（16 文字以上では緩和）。入力中に強度をリアルタイムで表示します。
• 強制変更：初期パスワードや弱いパスワードでログインすると、閉じられないパスワード変更ダイアログが表示され、変更が終わるまでサーバー側はほかの書き込み操作を拒否します。既存の弱いパスワードは次回のパスワードログイン時に検出されます。
• 段階的ロック：同じ送信元が繰り返しロックされると、ロック時間は毎回 2 倍になり、最長 24 時間です。
• 未知のアドレスの失敗上限：一度もログインに成功したことのないアドレスからのパスワードログイン失敗の合計が 10 分以内に上限（既定 20、「システム設定」で調整または無効化可能）に達すると、未知のアドレスからのパスワードログインは一時的に 429 を返し、通知を送ります。よく使うアドレスと Passkey ログインは影響を受けません。
• パスワードログインを無効化：Passkey を登録済みであればパスワードログインを無効にし、Passkey またはサードパーティログインだけを使えます。gately reset-password で再び有効になります。
• セキュリティスコア：「システム設定 → アカウントとセキュリティ」の上部に管理画面のセキュリティスコアを表示し、7 つのチェックそれぞれについて得点と設定への入口を示します。

詳しくは セキュリティモデルとプライバシーの約束 を参照してください。

優先拒否リスト（#95）

IP アクセス制御に「優先拒否リスト」を追加しました。アドレスとネットワーク範囲を手入力できるほか、購読している IP リスト（悪意のある IP の脅威情報など）を参照できます。一致した送信元は常に拒否されます。ホワイトリストとブラックリストより先に判定され、アクセス制御のモードに関係なく適用され、パスルールでも上書きできません。つまり常に拒否が先です。Web サイト、ポート転送、プロトコル振り分け、STUN 内蔵転送、frps インスタンス（frpc のログインチェック）で使えます。購読リストは更新後すぐに反映され、参照されているリストは削除できません。詳しくは Web サービス を参照してください。

Web サービス

• ノック許可制とログイン後に許可：サイトは、送信元がポートノッキングルールの有効な許可を持っている場合にだけアクセスを受け付けるよう設定できます。サイトを許可の入口にすることもできます。訪問者がサイトの認証を通過すると、その送信元 IP（IPv6 は既定で /64 単位）に許可が登録され、そのルールを参照するサイト、ポート転送、システムファイアウォールがすぐに通します。入口ページ /__gately_knock で許可の確認と取り消しができ、デュアルスタックの検出で IPv4 と IPv6 の両方を許可します。ログアウト、ユーザーの削除、パスワード変更の際は自動で取り消されます。ノックルールでファイアウォールのブロックを有効にしない場合はポートを空欄にでき、Web ログインによる許可だけに使えます。
• 管理画面ログインで認証免除：Gately の管理画面にログイン済みの管理者は、このオプションを有効にしたサイトで Basic 認証や Web 認証を求められなくなります。同じ親ドメインの下では SSO ドメインを通じて有効になります。サイトと管理画面の親ドメインが異なる場合は「管理画面の入口 URL」を入力すると、ワンタイムチケットのリダイレクトでハンドシェイクします。資格情報は管理画面のセッションに紐づき、ログアウト、すべてのデバイスからのログアウト、パスワード変更で直ちに無効になり、バックエンドへは転送されません。
• 共有ユーザーの Passkey ログイン：有効にすると、共有ユーザーはサイトの /__gately_auth/passkey ページで Passkey を登録し、以後はログインページでワンクリックでログインでき、パスワードやワンタイムコードの入力が不要になります。サイトの完全一致ドメインと OIDC 発行者ドメインでのみ提供されます。管理者がユーザーのパスワードや TOTP シークレットを変更すると、そのユーザーの Passkey も削除されます。
• 平文 HTTP/2 バックエンド：サイトのオプション「http:// バックエンドで平文 HTTP/2（h2c）を使う」は、平文ポートだけで待ち受ける gRPC サービス（NetBird の管理/シグナルなど）向けです。gRPC のストリーミングとトレーラーはそのまま転送され、同じポートへの WebSocket リクエストは自動で HTTP/1.1 に切り替わります。

侵入防御

カーネルレベルのおとりポートとポートスキャン検出でブロックするとき、ブロック理由、ログ、通知に一致したポートが含まれます。カーネルや nftables がポートの記録に対応していない場合は自動でスキップし、ほかのルールは通常どおり動作します。詳しくは 侵入防御 を参照してください。

その他の改善

• ダイアログ、確認ボックス、ドロワーを開いているとき、スクロールで下のページが動かなくなりました。オーバーレイ内のターミナルとエディターは通常どおりスクロールできます。
• カードとグループ化されたリスト、並べ替えバー、タブの間の余白を統一しました。

アップグレードの注意

• Docker は新しいイメージを pull してコンテナを再作成します。OpenWrt は新しい .apk / .ipk を上書きインストールします。fnOS はアプリセンターで新しい .fpk を手動インストールします。その他の環境では「システム設定」からオンラインでアップグレードできます。
• 管理者パスワードが弱い場合、アップグレード後の次回のパスワードログインでパスワード変更を求められます。その後は「システム設定 → アカウントとセキュリティ」でセキュリティスコアを確認できます。
• 未知のアドレスの失敗上限は既定で有効（10 分間に 20 回）で、一度もログインに成功したことのないアドレスだけに影響します。