Gately v0.6.5.2 lançado

8 de novembro de 2026

Baixar v0.6.5.2 · GitHub Release

Synology DSM e outros kernels sem nf_tables

O kernel do Synology DSM não tem nf_tables, então a prevenção de intrusão falhava ao gravar as regras de firewall e tentava de novo a cada minuto, e a abertura automática do firewall não tinha efeito. Nesta versão:

• A prevenção de intrusão usa iptables (legacy) e ipset quando o kernel não tem nf_tables ou não existe o comando nft. As regras ficam em cadeias próprias do Gately na tabela mangle, processada antes das regras do firewall do Synology e do Docker; bloqueios manuais e permanentes, portas-armadilha e detecção de varreduras atuam no kernel, e bloqueios com mais de cerca de 24 dias restantes são regravados antes de expirar;
• "Abrir firewall automaticamente" no redirecionamento de portas, no serviço Web e no roteamento por protocolo usa uma cadeia iptables própria do Gately, com o salto no topo de INPUT e restaurado em até 30 segundos depois que o firewall do Synology recarrega; vale para Docker e para instalação direta;
• A imagem Docker inclui iptables-legacy e ipset; nada muda nos sistemas em que o nftables funciona;
• Quando nenhum dos dois pode ser usado, a prevenção de intrusão mostra "Indisponível" com o motivo e não fica tentando de novo.

Implantações com Docker precisam de rede host e cap_add: NET_ADMIN. Veja Prevenção de intrusão.

Curingas no primeiro rótulo dos sites

Um domínio de site pode ter um * no primeiro rótulo: api-*.example.com corresponde a api-1.example.com e api-test.example.com, mas não a subdomínios mais profundos. Primeiro valem os domínios exatos, depois os curingas e por último *; um curinga no primeiro rótulo tem prioridade sobre *.example.com, e entre curingas de mesmo tamanho vence o site listado primeiro. Redirecionamentos podem usar {1} para a parte capturada pelo *; os certificados continuam sendo pedidos para *.example.com. Veja Serviço Web.

Autenticação encaminhada: redirecionar 401

A autenticação encaminhada ganhou a chave "Redirecionar 401" para serviços como o Casdoor, que colocam um endereço de login dinâmico no Location de uma resposta 401. Com ela ligada e "Redirecionamento de login" vazio, o Gately envia ao visitante um 302 para esse endereço e repassa Set-Cookie e Cache-Control; endereços relativos, javascript: e formas parecidas mantêm o 401 como está. A chave vem desligada.

Correções

• O Gately encerrava quando um backend respondia antes de ler todo o corpo de uma requisição HTTP/2, por exemplo ao entrar com o app Home Assistant para iOS na rede local;
• Um domínio com ponto final (como example.com.) chega ao mesmo site que sem o ponto;
• O pacote de diagnóstico substitui o nome do host como palavra inteira e sem diferenciar maiúsculas: um nome curto como gate não transforma mais gately em <hostname>ly, e nomes compostos como nas-backup continuam ocultos;
• O mascaramento da topologia de rede cobre domínios com curinga no primeiro rótulo; ao copiar um link de compartilhamento de um site, usa-se o primeiro domínio concreto e qualquer forma com curinga é ignorada.