Вышел Gately v0.6.3.5

3 ноября 2026 г.

Скачать v0.6.3.5 · GitHub Release

Исправления безопасности

• Учётные записи только для чтения и API-токены только для чтения могли видеть в API состояния Tailscale и в журналах модуля ссылку для входа, пока вход ожидал завершения; получив ссылку, любой мог зарегистрировать этот шлюз в своём tailnet. Теперь ссылка для входа возвращается только субъектам с правом записи для Tailscale, а в журналах остаётся лишь хостовая часть ссылки (новый модуль NetBird так же обращается со ссылками для входа и кодами устройств). (GHSA-xq69-cppr-8497)
• В Веб-терминале «Проверить подключение» теперь тоже должно пройти проверку пользовательского соглашения и двухфакторной проверки, когда проверяется сохранённое подключение, подставляются сохранённые секреты или используется шаблон учётных данных: такие запросы отправляют сохранённый пароль на хост, указанный в запросе.

Сеть на NetBird (#69)

Новый модуль NetBird управляет официальным клиентом и работает так же, как модуль Tailscale:

• Gately может сам запускать netbird service run (состояние хранится в каталоге конфигурации) или взять под управление службу NetBird, уже установленную в системе;
• вход по ключу настройки или по ссылке для входа / коду устройства, настройка адреса собственного сервера управления, имени хоста, маршрутов, DNS, «Блокировать входящие», «Сеть в пространстве пользователя» с «Доступ к локальным службам» и прокси SOCKS5;
• в управляемом режиме подключением занимается Gately: после перезапуска демона он переподключается автоматически, а неудачи повторяет с нарастающей паузой от 10 секунд до 5 минут;
• «Онлайн-установка» на странице скачивает, обновляет, откатывает и удаляет NetBird, а «Сбросить настройки» выполняет выход и очищает состояние входа.

Подробнее — в разделе Сети и туннели · NetBird.

Автоматическая проверка обновлений и оповещения безопасности (#68)

• По умолчанию Gately каждые 12 часов анонимно запрашивает на GitHub список релизов и бюллетени безопасности (через «Прокси для обновлений»; только читает и ничего не отправляет); это можно выключить на странице «О программе» или в настройках;
• при выходе новой версии консоль показывает уведомление вверху, где можно посмотреть изменения или пропустить эту версию; если текущая версия затронута опубликованной проблемой безопасности, красное уведомление перечисляет номера бюллетеней, уровень серьёзности и версии с исправлением;
• новые версии и проблемы безопасности порождают события system.update / system.security, а в Центре уведомлений появился шаблон правила «Обновления»; на карточках онлайн-установки frp, cloudflared, Tailscale, NetBird и File Browser появилась кнопка «Проверить обновления», а плановая проверка Docker тоже отправляет уведомление, когда находит новый образ.

Подробнее — в разделе Установка · Автоматическая проверка обновлений и оповещения безопасности.

Копирование элементов (#65)

Во всех списках можно создать копию на основе существующего элемента: окно редактирования открывается с исходным элементом в качестве шаблона и пометкой «(копия)» в имени, а пароли и секреты сервер берёт из исходного элемента, так что открытый текст не проходит через браузер. Копия сертификата выпускается или считывается заново, а её цели развёртывания по умолчанию выключены, чтобы не перезаписать файлы исходного сертификата; копию веб-сайта можно разместить в другом слушателе, а копия слушателя может по выбору включать его сайты. API — общий POST <путь>/{key}/copy.

Перенос веб-сайтов (#63)

• Поле «Слушатель» в окне сайта теперь можно менять и при редактировании, а после сохранения сайт переносится в новый слушатель;
• в режиме «Сортировка и пакет» появилось «Перенести в слушатель»: можно отметить сайты из разных слушателей и перенести несколько за раз;
• перетаскивание сайта на сайт или группу другого слушателя тоже переносит его.

Перенос отклоняется, если в целевом слушателе уже есть такой же домен; правила оповещений мониторинга производительности и счётчики использования ссылок общего доступа переносятся вместе с сайтом, а сеансы входа привязаны к слушателю и сайту, поэтому после переноса посетителям нужно войти заново. При переносе сайта, требующего входа, с HTTPS на открытый HTTP показывается предупреждение о риске.

Уведомления и прокси (#67)

• В Центре уведомлений появились «Настройки уведомлений» с глобальным прокси для уведомлений (не использовать / глобальный прокси обновлений / пользовательский), и каждый канал может выбрать свой; поддерживаются http://, https://, socks5:// и socks5h://, а почта через прокси выполняет STARTTLS / SSL внутри туннеля;
• прокси можно задать и для Webhook DDNS / STUN, HTTP-запросов запланированных задач, подписных IP-списков и загрузки баз GeoIP;
• пароли прокси скрываются на карточках и в сообщениях об ошибках.

Другие улучшения

• Шапки страниц и панели инструментов списков остаются видимыми при прокрутке: шапка модуля закрепляется вверху, и когда заголовок уходит из вида, остаётся только панель действий; панели инструментов внутри карточек закрепляются под шапкой; в диалогах заголовок, панель вкладок и нижние кнопки зафиксированы, а форма прокручивается между ними (#64);
• фоновые задачи Docker — pull, push, сборку, проверку обновлений, Compose и массовое обновление — можно прервать, причём Compose сначала получает сигнал прерывания, чтобы корректно завершиться (#67);
• в топологии сети сайты, бэкенды и активные IP сразу открывают свои журналы доступа, а сайты, бэкенды и слушатели можно править на месте на странице топологии; в строках сайтов Веб-служб появилась кнопка «Журнал» (#67);
• образ также публикуется на Docker Hub как vanjayak/gately — тот же мультиархитектурный образ, что и в GHCR, с той же подписью cosign (#67);
• в окне создания API-токена появился пример вызова /api/openapi.json (#67);
• ручная блокировка в Веб-службах и «Разорвать и заблокировать» получили вариант «Навсегда»;
• «Скрыть заблокированные источники» также скрывает запросы, которые вызвали блокировку источника, пока он ещё заблокирован;
• учётные записи только для чтения больше не видят в боковой панели Журнал аудита, Историю конфигурации, API-токены и Настройки; при прямом открытии этих страниц происходит возврат на Обзор, и интерфейс больше не обращается к административным API.

Исправления и усиление защиты

• Пакетное создание элементов теперь проверяется под блокировкой, что устраняет гонку данных между новыми слушателями Веб-служб и IP-списками;
• последовательные переносы сайтов выполняются по очереди, поэтому правила оповещений мониторинга производительности не остаются на уже несуществующем сайте;
• ручная блокировка отклоняет loopback-адреса, неуказанные адреса и адреса доверенных прокси (ручная блокировка в Защите от вторжений отклоняет loopback и неуказанные адреса), а очень большое число секунд блокировки больше не переполняется в бессрочную блокировку;
• плановая проверка Docker сохраняет записи об уведомлениях, пока проверка завершается ошибкой или контейнер остановлен, поэтому об одном и том же новом образе не приходит повторное уведомление;
• NetBird и Tailscale при управлении демоном больше не меняют права существующего пользовательского каталога состояния; если SOCKS5 в пространстве пользователя у NetBird старше 0.75 всегда слушает 0.0.0.0, выводится предупреждение, а интерфейс предупреждает, когда SOCKS5 слушает адрес, доступный за пределами этой машины;
• при просмотре журналов доступа именованного сайта по умолчанию со страницы топологии применяется фильтр по этому сайту; у безымянных сайтов по умолчанию больше нет входа, который смешал бы журналы всех сайтов;
• кнопка очистки фильтра по источнику в журнале работы снова работает; учётные записи только для чтения больше не вызывают запросы с ответом 403 при обновлении административных страниц;
• пароли прокси, содержащие незакодированные @, / или :, тоже полностью скрываются.

Об обновлении

• Docker: скачайте новый образ и пересоздайте контейнер; если смонтирован сокет Docker, Gately может обновить и сам себя на странице Docker. OpenWrt: установите новый .apk / .ipk поверх старого. fnOS: вручную установите новый .fpk в Центре приложений. Остальные варианты развёртывания можно обновить онлайн в настройках.
• После обновления автоматическая проверка обновлений включена по умолчанию; если она не нужна, выключите её на странице «О программе».