Вышел Gately v0.6.1.1

30 октября 2026 г.

Скачать v0.6.1.1 · GitHub Release

Блокировка зондирования веб-путей

В защите от вторжений появился новый источник правил — «Зондирование веб-путей». Он напрямую считает запросы, обработанные веб-сервисом, без чтения журналов:

• Можно ограничить одним или несколькими слушателями, пустое значение означает все; правила путей поддерживают шаблоны (* совпадает и с /, без учёта регистра) и регулярные выражения, начинающиеся с ~, а записи вроде //.env или /a/../.env тоже совпадают по нормализованному пути;
• По умолчанию учитываются только 404 и 444, поэтому запросы к существующим страницам не считаются; можно переключиться на «Любой код состояния» (вместе с правилами путей) или «Только неизвестные домены»;
• Три шаблона: «Веб-пути-приманки» (/.env, /.git, wp-login.php, phpinfo.php, phpMyAdmin и др., блокировка с первого обращения), «Сканирование неизвестных доменов» (5 раз за 1 минуту) и «Веб-зондирование 404» (10 раз за 1 минуту);
• Число попыток, окно, срок блокировки, белый список, нарастающая блокировка и синхронизация с nftables общие с другими правилами, а блокировка, сработавшая на любом слушателе, действует для всех сервисов.

Кнопка «Блок зондирования» на карточке слушателя веб-сервиса заранее выбирает этот слушатель и применяет шаблон приманок; вставьте пути запросов в редактор, чтобы проверить правила. Подробнее — Защита от вторжений · Зондирование веб-путей.

Страница «Пользователи входа»

В группе «Веб» боковой панели появилась страница «Пользователи входа». Она собирает общих пользователей, домен единого входа, самостоятельную смену пароля и OIDC-провайдер удостоверений и показывает сайты по слушателям с фильтром и выбором всех, чтобы массово указать, какие сайты принимают общих пользователей: при выборе сайта без аутентификации также включается веб-аутентификация; сайт, который проверяет только общих пользователей, там нельзя снять, чтобы он случайно не стал открытым; сайты с внешней аутентификацией выбрать нельзя. Все изменения сохраняются вместе, и если хоть одна проверка не проходит, ничего не сохраняется. API — GET/PUT /api/webservice/users.

Самостоятельная смена пароля

Если на странице «Пользователи входа» включена «Самостоятельная смена пароля», общие пользователи (включая тех, кто входит в приложения через встроенный OIDC-провайдер) могут сменить пароль на /__gately_auth/password (/__gately_oidc/password на домене издателя), указав текущий пароль и код подтверждения, после чего их сеансы на всех сайтах завершаются. У общих пользователей файлов есть свой переключатель на странице «Общие пользователи файлов», и они пользуются той же страницей; хранение в открытом виде или в bcrypt сохраняется, а WebDAV, FTP и SMB сразу используют новый пароль. Неудачные попытки учитываются в том же ограничении и автоматической блокировке, что и вход, а каждая учётная запись может менять пароль раз в минуту. Подробнее — Веб-службы · Самостоятельная смена пароля.

Закрытие соединения при отказе

На вкладке «Безопасность» сайта появился параметр «При отказе»: с вариантом «Закрыть соединение» запросы, отклонённые блокировкой, контролем доступа по IP (включая правила путей) или фильтром стран, не получают никакого ответа и записываются в журнал с кодом 444, так что ваши IP проходят, а все остальные обрываются. Ограничение частоты и блокировки WAF не меняются. В документации также описаны пределы закрытия: рукопожатия TCP и TLS уже завершены, HTTP/2 и HTTP/3 сбрасывают только сам запрос, а чтобы скрыть порт от сканеров, нужна блокировка защиты от вторжений.

Маршруты туннелей Cloudflare

Если у туннеля с токеном указан необязательный API-токен Cloudflare, кнопка «Маршруты» на его карточке читает и записывает удалённую конфигурацию туннеля: имя хоста, регулярное выражение пути и сервис, а также «Не проверять TLS-сертификат источника» и заголовок Host для источника; запущенный cloudflared применяет изменения без перезапуска. При сохранении сверяется версия конфигурации, чтобы изменения, сделанные в другом месте, сохранились, а для имён хостов можно создать проксируемые CNAME-записи; существующие записи остаются без изменений и перечисляются. Подробнее — Cloudflare Tunnel · Маршруты.

Фильтр «Исключить» в журналах

В просмотрщике журналов появилось поле «Исключить»: записи, содержащие любое из его слов, скрываются, вместе с ключевыми словами. API журналов принимает соответствующий параметр exclude.

Исправления и улучшения

• Сохранение не удавалось, если для портов-приманок или обнаружения сканирования выбрана постоянная блокировка (#41);
• Маршруты: одиночный завершающий / в адресе сервиса удаляется (cloudflared отклоняет сервисы с путём); туннели, управляемые локальным файлом конфигурации, перед сохранением запрашивают подтверждение; CNAME на туннель без проксирования отображается как конфликт; домены ищутся только в аккаунте туннеля;
• Диалог глобальных настроек веб-сервиса больше не отправляет настройки общих пользователей и OIDC и поэтому не перезаписывает изменения, только что сохранённые на странице «Пользователи входа»;
• Зондирование путей сверяет путь, который запросил посетитель (правила перезаписи больше не влияют на подсчёт), и журнал доступа тоже записывает его; очень длинные пути сверяются по началу и концу, а в причинах блокировки экранируются переводы строк и другие управляющие символы;
• Если сохранение самостоятельной смены пароля не удалось, страница показывает общее сообщение, а подробности попадают в журнал;
• В некоторых многоабзацных описаниях API китайский текст смешивался с переводом.

Об обновлении

• Docker: скачайте новый образ и пересоздайте контейнер. OpenWrt: установите новый .apk / .ipk поверх старого. fnOS: вручную установите новый .fpk в Центре приложений. Остальные установки можно обновить онлайн в разделе «Системные настройки».
• Сохранённое правило зондирования путей с «Любым кодом состояния», без правил путей и без «Только неизвестные домены» будет отклонено при следующем редактировании и сохранении; добавьте правила путей.