Gately v0.6.6.4 发布
2026 年 11 月 14 日
管理后台登录安全
- 密码规则：新密码 10～72 字节，拒绝常见弱口令（含常见变形）、包含 gately 或用户名、连续或重复字符、字符种类过少的密码（16 位以上放宽），输入时实时显示强度。
- 强制修改：使用默认密码或弱密码登录后弹出无法关闭的改密对话框，改好之前服务端拒绝其他写操作。已有的弱密码在下一次密码登录时识别。
- 递增锁定：同一来源反复被锁定时，锁定时长每次翻倍，最长 24 小时。
- 陌生来源失败预算：从未登录成功过的地址 10 分钟内的密码登录失败总数达到上限（默认 20，可在「系统设置」调整或关闭）后，陌生地址的密码登录暂时返回 429 并发出通知；常用地址与 Passkey 登录不受影响。
- 关闭密码登录：已注册 Passkey 后可以关闭密码登录，只用 Passkey 或第三方登录；
gately reset-password会重新开启。 - 安全评分：「系统设置 → 账号与安全」顶部显示管理端安全评分，七项检查各自给出得分与修改入口。
详见 安全模型。
优先拒绝名单（#95）
IP 访问控制新增「优先拒绝名单」：可以手填地址与网段，也可以引用订阅的 IP 列表（例如恶意 IP 情报）。命中的来源一律拒绝，先于白名单、黑名单判断，与访问控制模式无关，路径规则也不能覆盖，也就是“先黑后白”。Web 站点、端口转发、协议分流、STUN 内置转发与 frps 实例（frpc 登录检查）都可使用；订阅列表刷新后立即生效，被引用的列表不能删除。详见 Web 服务。
Web 服务
- 敲门准入与登录后放行：站点可以要求来源持有某条端口敲门规则的有效授权才能访问；也可以作为放行入口，访客通过站点认证后为其来源 IP（IPv6 默认按 /64）登记授权，引用该规则的站点、端口转发与系统防火墙随即放行。入口页
/__gately_knock可查看与撤销放行，并通过双栈探测把 IPv4 与 IPv6 都放行；退出登录、用户被删除或改密码时自动撤销。敲门规则不开防火墙拦截时端口可以留空，只用于网页登录放行。 - 后台登录免认证：已登录 Gately 管理后台的管理员访问开启该选项的站点时，不再需要站点的基本认证或网页认证。同一父域下经单点登录域生效；站点与后台不在同一父域时，填写「后台入口地址」后经一次性票据跳转握手。凭据绑定后台会话，登出、退出所有设备或改密码后立即失效，不会转发给后端。
- 共享用户 Passkey 登录：开启后，共享用户可在站点的
/__gately_auth/passkey页面注册 Passkey，之后在登录页一键登录，免输入密码和动态验证码。只在站点的精确域名与 OIDC 签发者域名上提供；管理员修改用户的密码或 TOTP 密钥后，该用户的 Passkey 一并删除。 - 明文 HTTP/2 后端：站点选项「http:// 后端使用明文 HTTP/2（h2c）」用于只监听明文端口的 gRPC 服务（如 NetBird 管理/信令），gRPC 流式传输与尾部元数据原样透传；同一端口上的 WebSocket 请求自动改用 HTTP/1.1。
入侵防护
内核层的诱饵端口与端口扫描检测封禁时，封禁原因、日志与通知会带上命中的端口。内核或 nftables 不支持记录端口时自动跳过，其余规则照常生效。详见 入侵防护。
其他改进
- 打开对话框、确认框或抽屉时，滚动不再带动下方页面；终端、编辑器在弹出层中仍可正常滚动。
- 卡片与分组列表、排序栏、标签页之间的间距统一。
升级提示
- Docker 拉取新镜像后重建容器；OpenWrt 覆盖安装新的
.apk/.ipk；飞牛在应用中心手动安装新版.fpk；其他部署方式可在「系统设置」中在线升级。 - 管理员密码过弱时，升级后下一次用密码登录会要求修改密码；之后可在「系统设置 → 账号与安全」查看安全评分。
- 陌生来源失败预算默认开启（20 次 / 10 分钟），只影响从未登录成功过的地址。