Gately v0.5.6 출시

2026년 10월 22일

이번 버전은 "침입 방지" 모듈(#10)을 추가해 1Panel에서 많이 쓰는 fail2ban 기능을 Gately에 넣었습니다. 무차별 대입 공격과 포트 스캔의 출처 IP를 찾아 자동으로 차단하고, 시스템 방화벽에서 해당 트래픽을 버립니다.

v0.5.6 다운로드 · GitHub Release · 모듈 문서

침입 방지

• 로그 규칙: 로그 파일(로테이션 자동 추적), systemd 저널, 명령 출력(OpenWrt의 logread -f 등), Docker 컨테이너 로그를 읽어 정규식과 <HOST>로 실패 기록을 찾고, 집계 기간 내에 횟수에 도달한 IP를 차단합니다. SSH, Dropbear, Nginx, Vaultwarden, Home Assistant, Proxmox VE 등의 템플릿이 들어 있고, 편집할 때 로그 샘플을 붙여 넣어 바로 테스트할 수 있습니다.
• Gately 이벤트: 관리 콘솔 로그인 실패와 WAF 차단도 규칙의 출처로 쓸 수 있으며 정규식이 필요 없습니다.
• 미끼 포트: 이 호스트에서 쓰지 않는 포트에 미끼를 두고, 접속하는 출처를 즉시 차단합니다. 수신 중인 포트는 자동으로 제외됩니다.
• 포트 스캔 탐지: 같은 출처가 분당 임계값보다 많이 열려 있지 않은 포트에 접속하면 차단합니다.
• 통합 차단 목록: 수동 차단(CIDR 네트워크와 영구 차단 지원)과 웹 서비스 인증 실패 자동 차단을 여기서 관리하며 재시작 후에도 유지됩니다. 같은 주소가 다시 차단되면 시간이 두 배가 됩니다.
• 화이트리스트: LAN, 루프백, 100.64.0.0/10(Tailscale), 이 호스트가 속한 IPv6 /64는 기본적으로 무시합니다.
• 시스템 방화벽: 차단은 nftables의 별도 테이블 inet gately에 기록되어 커널에서 삭제되며, Docker 컨테이너와 LAN 기기로 전달되는 트래픽도 막습니다. 이 호스트가 차단된 주소로 먼저 연 연결(DNS 등)의 응답은 영향을 받지 않습니다. Gately를 중지하면 규칙이 자동으로 제거됩니다.

포트 포워딩, 웹 서비스, STUN, WebDAV, FTP, 관리 콘솔도 차단된 주소를 바로 거부합니다. 차단하면 "침입 방지: IP 차단됨" 이벤트가 발생하며 알림 센터에서 구독할 수 있습니다.

지원 범위

• root로 실행하는 Linux, fnOS 패키지, OpenWrt 22.03 이상: 모든 기능을 사용할 수 있습니다.
• Docker: host 네트워크와 NET_ADMIN(cap_add: [NET_ADMIN])이 필요하며, 이미지에 nftables가 들어 있습니다.
• Windows, macOS, FreeBSD, nftables나 권한이 없는 Linux: 차단은 Gately 자체 서비스에만 적용되고, 미끼 포트는 Gately가 직접 수신하며 포트 스캔 탐지는 사용할 수 없습니다. 페이지 상단에 원인과 해결 방법이 표시됩니다.

기타 개선

• Docker 설정에 Docker 데몬 자체의 레지스트리 미러(daemon.json의 registry-mirrors)를 표시합니다(#11).
• 예약 백업을 켤 때 unknown field "hasPassword"로 실패하던 문제를 수정했습니다(#9).
• 공식 사이트에 후원 페이지를 추가했습니다.

업그레이드 안내

• Linux 바이너리는 「정보」 페이지에서 바로 업그레이드하고, Docker는 새 이미지를 받아 컨테이너를 다시 만들고, fnOS는 앱 센터에서 새 .fpk를, OpenWrt는 새 .ipk / .apk를 설치합니다.
• Docker에서 방화벽 수준 차단을 쓰려면 compose에 cap_add: [NET_ADMIN]을 추가하고 컨테이너를 다시 만드세요. 추가하지 않아도 나머지 기능은 그대로 쓸 수 있습니다.
• root로 실행하는 Linux는 업그레이드 후 inet gately 테이블을 자동으로 만듭니다. 차단이 없으면 빈 규칙뿐이라 기존 트래픽에 영향이 없습니다. 필요 없으면 "침입 방지 → 설정"에서 동기화를 끄거나 "설정 → 기능 모듈"에서 모듈을 끄세요.
• 웹 서비스 인증 실패 차단이 통합 차단 목록으로 들어가므로, 방화벽 동기화를 켜면 호스트 전체에 적용됩니다. 기본으로 켜진 "LAN 주소 무시" 덕분에 LAN 주소는 이렇게 차단되지 않습니다.
• 실제 IP를 헤더로 전달하는 CDN 뒤의 사이트에서는 WAF와 인증 실패 차단이 CDN 주소를 보게 되므로, 해당 규칙을 켜지 마세요.
• Docker는 v0.5.6.1을 사용하세요. v0.5.6 이미지 때문에 호스트의 구버전 nft가 충돌하던 문제를 수정했습니다.