Вышел Gately v0.6.5.3

10 ноября 2026 г.

Скачать v0.6.5.3 · GitHub Release

Исправление безопасности: кэш ответов

До сих пор сайт обратного прокси с включённым кэшем ответов в памяти и «Длительностью по умолчанию» больше 0 кэшировал ответы на запросы с заголовками учётных данных, такими как X-Emby-Token, X-Api-Key и X-Plex-Token, или с параметрами запроса, такими как api_key, token и access_token; другие посетители, запросившие тот же адрес, могли затем получить этот ответ. Кроме того, если на сайте одновременно были включены CORS и кэш, кэш сохранял вместе с ответом CORS-заголовки для одного конкретного источника, и кросс-доменные запросы из других источников завершались ошибкой. В этой версии:

• Запросы с распространёнными заголовками учётных данных или параметрами запроса с учётными данными не кэшируются ни в одном режиме, так же как Authorization и Cookie;
• Записи кэша не хранят CORS-заголовки, которые Gately пишет по источнику посетителя; при попадании в кэш они создаются заново для каждого запроса. Ответ не кэшируется, если Vary бэкенда содержит заголовки запроса помимо Accept-Encoding (и Origin, если на сайте включён CORS);
• Запросы, путь которых содержит ;, \, %2F или %5C, идут в обход кэша.

Сайтам, использующим кэш ответов, рекомендуется обновиться как можно скорее.

Панели навигации (#78)

«Веб → Панели навигации» в левом меню управляет библиотекой панелей: ссылки на используемые сервисы собираются по группам на одной странице. Затем добавьте в веб-службе сайт типа «Панель навигации» и выберите панель.

• У каждой ссылки есть название, группа, описание, внешний адрес и необязательный адрес в локальной сети, значок и цвет; посетители из локальной сети (адреса loopback, частные, link-local или дополнительные локальные диапазоны панели) автоматически получают локальный адрес, а на странице можно переключаться между адресами;
• К каждой ссылке можно добавить до 8 «Других способов доступа», например прямой IPv6, frp, проход через STUN или туннель Cloudflare;
• 110 встроенных значков (модули Gately, популярные приложения, системы и сетевые устройства, общие значки), а также emoji, адрес изображения или загруженное изображение;
• В адресах поддерживаются {host}, {port}, {1} и переменные STUN, ссылки можно создать через «Добавить из сайтов веб-сервиса»; на странице есть поиск, светлая и тёмная темы;
• Страница формируется сервером и выполняет только встроенные стили и скрипты со случайным nonce; аутентификация сайта, контроль доступа по IP, фильтр по странам и WAF действуют как обычно.

Локальный или внешний посетитель определяется по его прямому адресу: если внешние посетители приходят через локальный frpc, cloudflared или проброс портов Docker, включите протокол PROXY на прослушивателе или настройте доверенные прокси. См. Веб-служба · Панели навигации.

Аудит посетителей

«Веб → Аудит посетителей» сводит обращения ко всем сайтам по адресам посетителей: первый и последний визит, запросы и блокировки по дням, распределение кодов состояния, причины блокировок, а также посещённые сайты, пути, учётные записи и User-Agent. Статистику можно смотреть за сегодня, 7 дней, 30 дней или весь срок хранения, с фильтрами «заблокировано», «аутентифицированы», «администраторы», «заблокированы сейчас», «похожие на сканеры» и поиском; из подробностей адрес можно сразу заблокировать или открыть его журнал доступа.

Хранятся только сводные счётчики по посетителям, а из URL — только путь; строки запроса, тела запросов, cookie и учётные данные не записываются никогда. Данные хранятся в сжатом виде в каталоге конфигурации (в резервные копии конфигурации не попадают); срок хранения (по умолчанию 30 дней) и лимит посетителей (по умолчанию 10000) настраиваются, функцию можно отключить. См. Веб-служба · Аудит посетителей.

Повтор сетевой топологии

В сетевой топологии появился «Повтор»: при включённой записи каждые 5 секунд сохраняется снимок всей топологии, только в памяти, с сохранением самых свежих данных в пределах объёма (по умолчанию 8 МБ), поэтому при небольшом трафике охватывается более длинный период. Шкала времени показывает трафик диаграммой с областями и отмечает красным периоды, когда прослушиватель не запустился или у бэкенда были ошибки; можно перетаскивать к нужному моменту, двигаться по шагам, воспроизводить со скоростью от 1× до 60× и пропускать периоды простоя, а семь раскладок, фильтры, маскирование и фокус на активности работают и во время повтора. Запись по умолчанию выключена, при её выключении данные удаляются.

Правила кэширования по путям (#77)

Для кэша ответов сайта обратного прокси можно задать правила по путям: «Не кэшировать», отдельная длительность или «Принудительно» (игнорирует no-store, no-cache и max-age бэкенда, но по-прежнему учитывает private). Более конкретные правила имеют приоритет; вкладка «Трафик» показывает число записей в кэше и занимаемый объём и позволяет очистить весь кэш или кэш по пути одного правила. Принудительно закэшированные ответы общие для всех посетителей, поэтому используйте этот режим только для содержимого, не зависящего от того, кто посетитель.

Веб-терминал: отпечатки хоста сверяются по типу ключа

У серверов обычно одновременно есть несколько ключей хоста: ECDSA, RSA и Ed25519. Теперь веб-терминал записывает тип ключа вместе с отпечатком (отображается как ECDSA SHA256:...) и согласует только этот тип ключа; если тип не указан или не совпадает, он по очереди пробует другие типы и принимает только ключ, совпадающий с записанным отпечатком. Отпечаток любого типа, полученный, например, через ssh-keyscan, можно использовать напрямую, без ложного предупреждения «Ключ хоста изменился». Ключ хоста по-прежнему проверяется до аутентификации, и если ни один отпечаток не совпал, пароль не отправляется.

Панель журнала

Полоса перетаскивания под областью журнала меняет её высоту (работают и клавиши со стрелками), двойной щелчок возвращает высоту по умолчанию, браузер запоминает высоту; на панели инструментов появилась кнопка «Во весь экран», выход по Esc; пока вы просматриваете старые записи, новые больше не прокручивают вид вниз, а кнопка «К последним» показывает, сколько записей добавилось за это время.

Исправления

• При доступе по адресу IPv6 {host} в правилах перенаправления и перезаписи пути сохраняет квадратные скобки; правила перезаписи пути проверяют символы {host} так же, как переменные перенаправления, а на Host с недопустимыми символами возвращается 400.