Gately v0.5.6 lançado

22 de outubro de 2026

Esta versão adiciona o módulo Prevenção de intrusão (#10), trazendo para o Gately os recursos do fail2ban que muita gente usa no 1Panel: ele encontra os IPs de origem de ataques de força bruta e varreduras de portas, bloqueia-os automaticamente e descarta o tráfego deles no firewall do sistema.

Baixar v0.5.6 · GitHub Release · Documentação do módulo

Prevenção de intrusão

• Regras de logs: leem arquivos de log (acompanhando a rotação), o journal do systemd, a saída de um comando (como logread -f no OpenWrt) ou logs de contêineres Docker, encontram falhas com expressões regulares e <HOST> e bloqueiam o IP que atinge o número de falhas na janela de tempo. Há modelos para SSH, Dropbear, Nginx, Vaultwarden, Home Assistant, Proxmox VE e outros, e no editor você pode colar linhas de exemplo para testá-los;
• Eventos do Gately: falhas de login no painel e bloqueios do WAF também podem alimentar uma regra, sem expressão regular;
• Portas armadilha: armadilhas em portas que este host não usa. Qualquer origem que se conecte é bloqueada; portas em escuta são excluídas automaticamente;
• Detecção de varredura: a origem que se conecta a portas fechadas mais vezes por minuto que o limite é bloqueada;
• Uma única lista de bloqueio: bloqueios manuais (incluindo redes CIDR e permanentes) e os bloqueios do serviço web por falha de autenticação ficam aqui e continuam após reiniciar; a duração dobra a cada reincidência;
• Lista de permissões: a LAN, loopback, 100.64.0.0/10 (Tailscale) e as redes IPv6 /64 deste host são ignoradas por padrão;
• Firewall do sistema: os bloqueios vão para uma tabela própria inet gately no nftables e são descartados no kernel, inclusive o tráfego encaminhado a contêineres Docker e dispositivos da LAN. As respostas às conexões que este host abre para um endereço bloqueado (por exemplo, DNS) continuam passando. As regras são removidas quando o Gately para.

O encaminhamento de portas, o serviço web, STUN, WebDAV, FTP e o painel também recusam diretamente os endereços bloqueados. Os bloqueios geram o evento "Prevenção de intrusão: IP bloqueado", que você pode assinar na Central de notificações.

Onde funciona

• Linux rodando como root, o pacote do fnOS e o OpenWrt 22.03 ou posterior: tudo disponível;
• Docker: precisa da rede host e de NET_ADMIN (cap_add: [NET_ADMIN]); a imagem já inclui o nftables;
• Windows, macOS, FreeBSD e Linux sem nftables ou sem permissão: os bloqueios valem só para os serviços do Gately, o próprio Gately escuta nas portas armadilha e a detecção de varredura fica indisponível. O topo da página mostra o motivo e como resolver.

Outras melhorias

• As configurações do Docker mostram os espelhos de registro do próprio daemon do Docker (registry-mirrors em daemon.json) (#11);
• Corrigido o erro unknown field "hasPassword" ao ativar backups agendados (#9);
• O site ganhou uma página de patrocínio.

Notas de atualização

• Instalações por binário Linux atualizam pela página Sobre; no Docker, baixe a nova imagem e recrie o contêiner; no fnOS, instale o novo .fpk pela central de aplicativos; no OpenWrt, instale o novo .ipk / .apk.
• Para bloqueios no nível do firewall no Docker, adicione cap_add: [NET_ADMIN] ao arquivo compose e recrie o contêiner. O resto funciona sem isso.
• Instâncias Linux que rodam como root criam a tabela inet gately após a atualização. Sem bloqueios, ela só tem regras vazias e não afeta o tráfego existente. Se não precisar, desligue a sincronização em "Prevenção de intrusão → Configurações" ou o módulo em "Configurações → Módulos".
• Os bloqueios do serviço web por falha de autenticação passam para a lista compartilhada e, com a sincronização ligada, valem para o host inteiro. "Ignorar endereços da LAN", ligado por padrão, evita que endereços da LAN sejam bloqueados assim.
• Em sites atrás de uma CDN que passa o IP real em um cabeçalho, o WAF e os bloqueios por autenticação veem os endereços da CDN; não ative essas regras nesses sites.
• No Docker, use a v0.5.6.1, que corrige a imagem da v0.5.6 que fazia o nft antigo do host travar.