Вышла Gately v0.5.8

25 октября 2026 г.

В этой версии Gately может работать как поставщик удостоверений OIDC, появился общий доступ к файлам по SMB (#15), все журналы получили фильтры (#16), а порядок групп правил WAF можно менять (#17).

Скачать v0.5.8 · GitHub Release · Документация по единому входу OIDC

Единый вход OIDC

В веб-службу встроен поставщик удостоверений OpenID Connect. Gitea, OpenList, Grafana и другие приложения с поддержкой входа через OIDC могут пускать общих пользователей напрямую и различать, кто вошёл; это заменяет функцию OIDC в Authelia.

• Достаточно указать адрес издателя и добавить клиентов в «Веб-служба → Глобальные настройки → Поставщик удостоверений OIDC»; для домена издателя сайт не нужен;
• У общих пользователей появились необязательные email, отображаемое имя и группы; они передаются приложениям как утверждения email, name и groups, по которым приложения могут автоматически создавать учётные записи и выдавать права администратора по группе;
• Каждый клиент можно ограничить определёнными пользователями или группами; поддерживаются PKCE, токены обновления и prompt=none / prompt=login, а публичные клиенты (одностраничные приложения, мобильные приложения) обязаны использовать PKCE;
• Вход использует страницу входа веб-аутентификации и двухэтапную проверку TOTP; если издатель находится в домене единого входа, после входа на любой сайт заново входить в приложения не нужно;
• Смена пароля или TOTP, удаление пользователя или исключение из списка разрешённых сразу аннулирует уже выданные токены; sub — постоянный ID общего пользователя, он не меняется при переименовании;
• В документации есть примеры настройки Gitea, OpenList и Grafana, все проверены на реальных приложениях.

SMB-сервер

В «Файловые сервисы» добавлен «SMB-сервер», который открывает локальные каталоги для Проводника Windows, Finder в macOS, Linux, а также SMB-клиентов на телефонах и телевизорах:

• SMB 2.0.2–3.1.1, аутентификация и подпись NTLMv2, по выбору обязательное шифрование SMB 3;
• Пользователи настраиваются так же, как для FTP и WebDAV; каждый пользователь видит только свои ресурсы, а каждый каталог можно сделать доступным только для чтения;
• Страница показывает адрес подключения каждого ресурса, а объявление через Bonjour позволяет Finder сразу найти службу;
• Доступно только в Linux и macOS. Windows подключается только к порту 445, поэтому если его уже занимает встроенный Samba на NAS, выберите другой порт.

Фильтрация журналов

«Системные журналы» и карточку журналов каждого модуля можно фильтровать по уровню, источнику, ключевым словам (с фразами и исключаемыми словами), IP или подсети клиента и интервалу времени; веб-служба дополнительно фильтрует по сайту, домену и коду состояния. Фильтрация выполняется на сервере, а «Загрузить более ранние журналы» продолжает поиск в файлах журналов на диске. Журналы доступа веб-службы и журналы срабатываний WAF записывают IP клиента, домен, код состояния и ID правила; щелчок по метке в записи фильтрует по этому значению. API журналов принимает те же параметры фильтрации.

Веб-служба и WAF

• Заголовки запросов и ответов сайтов редактируются построчно, имена и значения выбираются из типовых вариантов (HSTS, CSP, X-Frame-Options и другие); одним нажатием добавляются типовые заголовки безопасности, а формат и частые ошибки проверяются по ходу ввода; Content-Type сайтов с фиксированным текстом выбирается из типовых значений;
• Заголовки запросов, имя или значение которых содержит недопустимые символы, отклоняются при сохранении; раньше такая конфигурация заставляла весь сайт возвращать 502;
• Рядом с «Параметрами» обратного прокси появилось пояснение, описывающее назначение каждого из шести параметров и случаи их применения;
• Группы правил WAF можно перемещать вверх и вниз. Разрешающие правила (allow, ctl: и подобные) ставятся выше OWASP CRS, а директивы удаления вроде SecRuleRemoveById — ниже CRS; это объясняется и в интерфейсе, и в документации.

Исправления

• Переименование пользователя FTP или WebDAV без повторного ввода пароля приводило к ошибке сохранения.

Об обновлении

• Как обновиться: установка из бинарного файла Linux обновляется на странице «О программе»; в Docker загрузите новый образ и пересоздайте контейнер; в fnOS установите новый .fpk из центра приложений; в OpenWrt установите новый .ipk / .apk.
• Формат конфигурации обратно совместим, поэтому можно обновляться напрямую. Общие пользователи при первом запуске автоматически получают постоянный ID, который записывается обратно в файл конфигурации.
• Форма входа веб-аутентификации отклоняет отправку с других сайтов; обычный вход работает как прежде.