Вышел Gately v0.6.6.4

14 ноября 2026 г.

Скачать v0.6.6.4 · GitHub Release

Безопасность входа в консоль управления

• Правила паролей: новый пароль занимает от 10 до 72 байт. Отклоняются распространённые слабые пароли (включая их типичные вариации), пароли, содержащие gately или имя пользователя, последовательные или повторяющиеся символы и пароли со слишком малым числом типов символов (от 16 символов требования мягче). Надёжность показывается прямо во время ввода.
• Принудительная смена: после входа с паролем по умолчанию или слабым паролем появляется окно смены пароля, которое нельзя закрыть, а сервер отклоняет остальные операции записи, пока пароль не будет изменён. Уже существующий слабый пароль распознаётся при следующем входе по паролю.
• Нарастающая блокировка: если один и тот же источник блокируется повторно, срок блокировки каждый раз удваивается, максимум до 24 часов.
• Бюджет неудач для незнакомых адресов: когда общее число неудачных входов по паролю с адресов, которые ни разу не входили успешно, за 10 минут достигает предела (по умолчанию 20, настраивается или отключается в системных настройках), вход по паролю с незнакомых адресов временно возвращает 429 и отправляется уведомление. Привычные адреса и вход по Passkey не затрагиваются.
• Отключение входа по паролю: после регистрации Passkey вход по паролю можно отключить и пользоваться только Passkey или сторонним входом; gately reset-password включает его снова.
• Оценка безопасности: вверху раздела «Системные настройки → Аккаунт и безопасность» показана оценка безопасности консоли управления; для каждой из семи проверок указаны баллы и ссылка на нужную настройку.

Подробнее: Модель безопасности и обязательства по приватности.

Приоритетный список запрета (#95)

В контроле доступа по IP появился «Приоритетный список запрета»: адреса и подсети можно ввести вручную или сослаться на подписанные списки IP (например, данные об угрозах с вредоносными IP). Совпавшие источники всегда отклоняются. Список проверяется раньше белого и чёрного списков, действует при любом режиме контроля доступа и не может быть переопределён правилами путей, то есть запрет всегда идёт первым. Его могут использовать веб-сайты, проброс портов, маршрутизация по протоколу, встроенная переадресация STUN и экземпляры frps (проверка входа frpc). Обновлённый подписанный список применяется сразу, а список, на который есть ссылки, удалить нельзя. Подробнее: Веб-службы.

Веб-службы

• Допуск по стуку и разрешение после входа: сайт может требовать, чтобы у источника было действующее разрешение по правилу Port Knocking, прежде чем пускать его. Сайт также может служить точкой выдачи разрешений: после того как посетитель проходит аутентификацию сайта, для его IP-адреса (IPv6 по умолчанию по /64) регистрируется разрешение, и сайты, проброс портов и системный брандмауэр, ссылающиеся на это правило, сразу его пропускают. Страница входа /__gately_knock показывает и отзывает разрешения, а с помощью проверки двойного стека открывает доступ и для IPv4, и для IPv6. Выход, удаление пользователя или смена пароля отзывают разрешение автоматически. Если правило стука не включает блокировку брандмауэром, порты можно оставить пустыми, и правило будет использоваться только для разрешений по входу на сайт.
• Пропуск аутентификации при входе в консоль: администраторам, вошедшим в консоль управления Gately, больше не нужна базовая или веб-аутентификация сайта на сайтах с этой опцией. В пределах одного родительского домена это работает через домен единого входа; если сайт и консоль находятся в разных родительских доменах, укажите «Адрес входа в консоль», и согласование пройдёт через перенаправление с одноразовым билетом. Учётные данные привязаны к сеансу консоли, перестают действовать сразу после выхода, выхода на всех устройствах или смены пароля и никогда не передаются бэкенду.
• Вход по Passkey для общих пользователей: если опция включена, общие пользователи могут зарегистрировать Passkey на странице сайта /__gately_auth/passkey, а затем входить одним нажатием на странице входа, без ввода пароля и одноразового кода. Вход доступен только на точном домене сайта и на домене издателя OIDC. Когда администратор меняет пароль или секрет TOTP пользователя, его Passkey тоже удаляются.
• Бэкенды HTTP/2 без шифрования: опция сайта «HTTP/2 без шифрования (h2c) для http:// бэкендов» предназначена для gRPC-сервисов, которые слушают только незашифрованный порт (например, NetBird management/signal). Потоковая передача gRPC и трейлеры передаются без изменений; запросы WebSocket на тот же порт автоматически переходят на HTTP/1.1.

Защита от вторжений

Когда приманочные порты и обнаружение сканирования портов на уровне ядра блокируют источник, причина блокировки, журналы и уведомления указывают сработавший порт. Если ядро или nftables не умеют записывать порт, этот шаг автоматически пропускается, а остальные правила работают как обычно. Подробнее: Защита от вторжений.

Другие улучшения

• Прокрутка внутри открытого диалога, окна подтверждения или выдвижной панели больше не прокручивает страницу под ними; терминалы и редакторы во всплывающих слоях прокручиваются как обычно.
• Отступы между карточками и сгруппированными списками, панелями сортировки и вкладками стали одинаковыми.

Заметки об обновлении

• Docker: загрузите новый образ и пересоздайте контейнер; OpenWrt: установите новый .apk / .ipk поверх прежнего; fnOS: установите новый .fpk в Центре приложений; остальные установки можно обновить онлайн в системных настройках.
• Если пароль администратора слишком слабый, при первом входе по паролю после обновления потребуется его сменить; после этого оценка безопасности видна в разделе «Системные настройки → Аккаунт и безопасность».
• Бюджет неудач для незнакомых адресов включён по умолчанию (20 неудач за 10 минут) и действует только на адреса, которые ни разу не входили успешно.