Вышла Gately v0.5.6

22 октября 2026 г.

В этой версии появился модуль «Защита от вторжений» (#10) — в Gately пришли возможности fail2ban, которыми многие пользуются в 1Panel: он находит IP источников подбора паролей и сканирования портов, блокирует их автоматически и отбрасывает их трафик в системном брандмауэре.

Скачать v0.5.6 · GitHub Release · Документация модуля

Защита от вторжений

• Правила журналов: читают файлы журналов (следя за ротацией), журнал systemd, вывод команды (например, logread -f в OpenWrt) или журналы контейнеров Docker, находят неудачи по регулярным выражениям с <HOST> и блокируют IP, набравший заданное число попыток за окно подсчёта. Есть шаблоны для SSH, Dropbear, Nginx, Vaultwarden, Home Assistant, Proxmox VE и других; в редакторе можно вставить примеры строк и проверить их;
• События Gately: неудачные входы в панель и блокировки WAF тоже могут быть источником правила, без регулярных выражений;
• Порты-ловушки: ловушки на портах, которые этот хост не использует. Любой подключившийся источник блокируется; прослушиваемые порты исключаются автоматически;
• Обнаружение сканирования: источник, который подключается к закрытым портам чаще порога в минуту, блокируется;
• Единый список блокировок: здесь управляются ручные блокировки (включая CIDR-сети и постоянные) и блокировки веб-службы после неудачной аутентификации, они сохраняются после перезапуска; при повторном нарушении длительность удваивается;
• Белый список: по умолчанию игнорируются локальная сеть, loopback, 100.64.0.0/10 (Tailscale) и сети IPv6 /64 этого хоста;
• Системный брандмауэр: блокировки записываются в отдельную таблицу inet gately в nftables и отбрасываются в ядре, включая трафик, перенаправляемый в контейнеры Docker и устройства локальной сети. Ответы на соединения, которые хост сам открывает к заблокированному адресу (например, DNS), проходят. При остановке Gately правила удаляются.

Переадресация портов, веб-служба, STUN, WebDAV, FTP и панель управления тоже сразу отклоняют заблокированные адреса. Блокировки порождают событие «Защита от вторжений: IP заблокирован», на которое можно подписаться в Центре уведомлений.

Где работает

• Linux от root, пакет для fnOS, OpenWrt 22.03 и новее: доступно всё;
• Docker: нужны сеть host и NET_ADMIN (cap_add: [NET_ADMIN]); nftables уже есть в образе;
• Windows, macOS, FreeBSD и Linux без nftables или прав: блокировки действуют только на службы Gately, порты-ловушки слушает сам Gately, обнаружение сканирования недоступно. Вверху страницы указаны причина и способ исправления.

Прочие улучшения

• В настройках Docker показываются зеркала реестра самого демона Docker (registry-mirrors в daemon.json) (#11);
• Исправлена ошибка unknown field "hasPassword" при включении резервного копирования по расписанию (#9);
• На сайте появилась страница поддержки.

Об обновлении

• Установка из бинарного файла Linux обновляется на странице «О программе»; в Docker загрузите новый образ и пересоздайте контейнер; в fnOS установите новый .fpk из центра приложений; в OpenWrt установите новый .ipk / .apk.
• Чтобы в Docker блокировки работали на уровне брандмауэра, добавьте cap_add: [NET_ADMIN] в compose-файл и пересоздайте контейнер. Остальное работает и без этого.
• Экземпляры Linux, работающие от root, после обновления создадут таблицу inet gately. Без блокировок в ней только пустые правила, существующий трафик не затрагивается. Если она не нужна, выключите синхронизацию в «Защита от вторжений → Настройки» или модуль в «Настройки → Модули».
• Блокировки веб-службы после неудачной аутентификации теперь попадают в общий список и при включённой синхронизации действуют на весь хост. Включённое по умолчанию «Игнорировать адреса локальной сети» не даёт так блокировать адреса локальной сети.
• Для сайтов за CDN, передающей реальный IP в заголовке, WAF и блокировки после аутентификации видят адреса CDN — не включайте для них эти правила.
• В Docker используйте v0.5.6.1: в нём исправлено падение старого nft на хосте из-за образа v0.5.6.