Вышел Gately v0.6.5.2

8 ноября 2026 г.

Скачать v0.6.5.2 · GitHub Release

Synology DSM и другие ядра без nf_tables

В ядре Synology DSM нет nf_tables, поэтому защита от вторжений не могла записать правила брандмауэра и повторяла попытку каждую минуту, а автоматическое открытие брандмауэра не действовало. В этой версии:

• Если в ядре нет nf_tables или нет команды nft, защита от вторжений использует iptables (legacy) и ipset. Правила записываются в собственные цепочки Gately в таблице mangle, которая обрабатывается раньше правил брандмауэра Synology и Docker; ручные и постоянные блокировки, порты-ловушки и обнаружение сканирования работают в ядре, а блокировки, до окончания которых осталось больше примерно 24 дней, перезаписываются до истечения;
• «Автоматически открывать брандмауэр» для проброса портов, веб-службы и маршрутизации по протоколу использует собственную цепочку iptables Gately: переход стоит первым в INPUT и восстанавливается в течение 30 секунд после перезагрузки брандмауэра Synology; это работает и в Docker, и при прямой установке;
• Docker-образ включает iptables-legacy и ipset; на системах, где работает nftables, ничего не меняется;
• Если недоступно ни то, ни другое, защита от вторжений показывает «Недоступно» с причиной и больше не повторяет попытки.

Для Docker нужны сеть host и cap_add: NET_ADMIN. См. Защита от вторжений.

Подстановочный знак в первой метке сайтов

Домен сайта может содержать один * в первой метке: api-*.example.com совпадает с api-1.example.com и api-test.example.com, но не с более глубокими поддоменами. Сначала проверяются точные домены, затем подстановочные, затем *; подстановка в первой метке важнее *.example.com, а среди подстановок одинаковой длины выигрывает сайт, стоящий в списке выше. В перенаправлениях часть, совпавшую с *, можно получить через {1}; сертификаты по-прежнему запрашиваются для *.example.com. См. Веб-служба.

Внешняя аутентификация: переход по 401

Во внешней аутентификации появился переключатель «Переход по 401» для сервисов вроде Casdoor, которые указывают динамический адрес входа в Location ответа 401. Если он включён, а «Переход ко входу» пуст, Gately перенаправляет посетителя на этот адрес с кодом 302 и передаёт Set-Cookie и Cache-Control; относительные адреса, javascript: и подобные формы оставляют 401 как есть. По умолчанию переключатель выключен.

Исправления

• Gately завершался, если бэкенд отвечал до того, как прочитал всё тело запроса HTTP/2, например при входе через приложение Home Assistant для iOS в локальной сети;
• Домен с точкой в конце (например, example.com.) попадает на тот же сайт, что и без точки;
• Пакет диагностики заменяет имя хоста как целое слово без учёта регистра: короткое имя вроде gate больше не превращает gately в <hostname>ly, а составные имена вроде nas-backup по-прежнему скрываются;
• Маскирование в топологии сети охватывает домены с подстановкой в первой метке; при копировании ссылки для общего доступа сайта используется первый конкретный домен, а все подстановочные формы пропускаются.