Gately v0.6.2 lançado

31 de outubro de 2026

Baixar v0.6.2 · GitHub Release

Roteamento por protocolo

O novo módulo Roteamento por protocolo fica ao lado de Redirecionamento de portas na barra lateral. Ele identifica o protocolo pelos primeiros bytes que o cliente envia e encaminha as conexões de uma mesma porta para backends diferentes, sem descriptografar nada:

• TLS é roteado pelo domínio SNI e pelo ALPN, HTTP pelo Host e Minecraft pelo endereço do servidor no handshake;
• SSH, RDP, SOCKS4/5, OpenVPN sobre TCP (incluindo tls-auth e tls-crypt-v2), XMPP, MQTT, PostgreSQL, RTSP, SIP, Redis, AMQP, SMB, Git, IRC, ADB e BitTorrent têm uma rota cada; HTTP, RTSP e SIP são diferenciados pela versão no fim da linha de requisição;
• uma rota de Tempo de espera recebe clientes que não enviam nada depois de conectar (protocolos em que o servidor fala primeiro, como VNC ou MySQL), e o tempo limite de detecção aceita décimos de segundo;
• conexões não reconhecidas ou sem rota correspondente vão para o destino padrão; cada rota pode enviar o protocolo PROXY ao seu backend, e a lista mostra quantas conexões cada rota recebeu.

Veja Roteamento por protocolo para saber em que cada protocolo é identificado, a ordem de correspondência de domínios e ALPN e exemplos que substituem o roteamento SNI do haproxy e o sslh.

Grupos e ordenação de listas (#48)

DNS dinâmico, Redirecionamento de portas, Roteamento por protocolo, sites de Serviços Web, STUN, certificados SSL, WAF, Prevenção de intrusão, frp, túneis Cloudflare, File Browser, montagens de armazenamento, Wake-on-LAN, tarefas agendadas, notificações, conexões salvas do Terminal Web, tokens de API e outras listas agora compartilham as mesmas ferramentas:

• busca, ordenação por arrastar e soltar (setas para cima/baixo no celular) e mover de uma vez vários itens selecionados para um grupo;
• mover grupos inteiros, renomear e mesclar grupos no próprio lugar, e lembrar os grupos recolhidos;
• os registros DNS dentro de uma tarefa de DNS dinâmico também podem ser agrupados e ordenados.

Alterar grupos ou a ordem nunca reinicia uma instância em execução. Veja Grupos e ordenação de listas.

Endereços STUN no DNS dinâmico (#47)

Valores de registro e Webhooks podem usar {STUN_nome da regra_PORT}, {STUN_nome da regra_IP} e {STUN_nome da regra_ADDR}. Quando o endereço público de uma regra STUN muda, as tarefas que a referenciam sincronizam na hora; quando as variáveis aparecem só no Webhook, o Webhook ainda é chamado uma vez. Enquanto a regra estiver desativada ou ainda não tiver feito a travessia, o registro é ignorado naquela rodada e o status mostra o motivo. Veja DNS dinâmico · Variáveis no valor do registro.

STUN atrás de vários NATs

Regras com UPnP / NAT-PMP agora consultam primeiro o gateway sobre o próprio endereço externo. Quando ele difere do endereço público que o STUN observa (por exemplo, um roteador atrás de um NAT da operadora), a porta pública pertence ao NAT externo: só o mapeamento da porta do túnel é mantido, nenhum mapeamento extra é adicionado no roteador e a porta pública deixa de mudar a cada nova verificação. A documentação do STUN agora cobre NAT de operadora full cone e restrito, UPnP atrás de vários NATs, a fixação da porta local e sua liberação no firewall do host.

Melhorias de segurança

• Enquanto a senha padrão estiver em uso, a conta, a verificação em duas etapas, as passkeys, as contas adicionais, os tokens de API, as configurações do sistema e as configurações de segurança do Terminal Web ficam somente leitura, e restaurar um backup ou reverter essas configurações para uma versão do histórico também é recusado, até que a senha padrão seja trocada;
• contas e tokens de API somente leitura veem mascarados, na configuração e nos logs, as senhas de usuários compartilhados, os tokens de links de compartilhamento, os valores de cabeçalhos e os segredos, além das senhas, valores de consulta e tokens de caminho dentro de URLs;
• navegar por diretórios em files/ e sftp/ exige permissão de escrita;
• um login só com senha não zera mais o contador de falhas, então os códigos de duas etapas não podem ser descobertos por força bruta;
• atrás de um proxy confiável, cabeçalhos X-Forwarded-For e X-Real-IP divergentes são tratados com mais rigor, então um endereço interno forjado não consegue contornar "Acesso somente pela rede local";
• na janela de tokens de API, os módulos cuja permissão de escrita pode executar comandos no servidor (DNS dinâmico, tarefas agendadas, Prevenção de intrusão, STUN, SSL, Terminal Web, Docker, frp, File Browser, túneis Cloudflare) são marcados com "Executa comandos" e concedê-los mostra um aviso;
• as URLs de descrição e de controle do dispositivo retornadas por um gateway UPnP precisam pertencer ao dispositivo que respondeu.

Outras melhorias

• Cada registro no cartão de uma tarefa de DNS dinâmico pode ser excluído diretamente (o registro DNS no provedor é mantido);
• no celular, a barra de teclas do Terminal Web é uma única linha com rolagem horizontal que aparece e some junto com o teclado na tela;
• os ícones da tela inicial no Android Chrome e no iOS não ficam mais transparentes, e a interface de administração e o site oferecem um manifesto de aplicativo web;
• a página inicial do site e o README foram redesenhados.

Correções

• Editar uma regra de Prevenção de intrusão que já tinha sido acionada falhava com "unknown field lastSeen";
• quando vários certificados cobrem o mesmo domínio, é usado o que vence por último, então a ordem e os grupos da lista de certificados não mudam mais o certificado em uso;
• o Roteamento por protocolo não encaminha mais preenchimento com zeros quando um ClientHello é cortado pelo tempo limite de detecção, e parar ou editar uma regra fecha na hora as conexões que ainda estão sendo identificadas;
• variáveis STUN em um corpo de Webhook JSON não eram substituídas.

Notas de atualização

• Na primeira inicialização após a atualização, as regras de roteamento SNI do Redirecionamento de portas passam para o Roteamento por protocolo com suas chaves, nomes, estado de ativação, grupos e rotas; se o Redirecionamento de portas estava desligado, o Roteamento por protocolo também fica desligado; tokens de API com acesso ao Redirecionamento de portas recebem o mesmo acesso ao Roteamento por protocolo.
• Scripts que gerenciam regras de roteamento pela API devem usar /api/protoroute/rules, onde o campo de rotas é routes em vez de sniRoutes; /api/portforward/rules não aceita mais o campo mode. As métricas dessas regras passam a ser gately_protoroute_*.
• Docker: baixe a nova imagem e recrie o contêiner. OpenWrt: instale o novo .apk / .ipk sobre o anterior. fnOS: instale manualmente o novo .fpk na Central de aplicativos. As demais instalações podem ser atualizadas online em "Configurações do sistema".