Gately v0.6.6.4 發佈

2026 年 11 月 14 日

下載 v0.6.6.4 · GitHub Release

管理後台登入安全

• 密碼規則：新密碼 10～72 位元組，拒絕常見弱密碼（含常見變形）、包含 gately 或使用者名稱、連續或重複字元、字元種類過少的密碼（16 位以上放寬），輸入時即時顯示強度。
• 強制修改：使用預設密碼或弱密碼登入後彈出無法關閉的改密對話框，改好之前伺服器端拒絕其他寫入操作。既有的弱密碼在下一次密碼登入時識別。
• 遞增鎖定：同一來源反覆被鎖定時，鎖定時長每次加倍，最長 24 小時。
• 陌生位址失敗額度：從未登入成功過的位址 10 分鐘內的密碼登入失敗總數達到上限（預設 20，可在「系統設定」調整或關閉）後，陌生位址的密碼登入暫時回傳 429 並發出通知；常用位址與 Passkey 登入不受影響。
• 關閉密碼登入：已註冊 Passkey 後可以關閉密碼登入，只用 Passkey 或第三方登入；gately reset-password 會重新開啟。
• 安全評分：「系統設定 → 帳號與安全」頂部顯示管理端安全評分，七項檢查各自給出得分與修改入口。

詳見 安全模型與隱私承諾。

優先拒絕名單（#95）

IP 存取控制新增「優先拒絕名單」：可以手動填寫位址與網段，也可以引用訂閱的 IP 列表（例如惡意 IP 情報）。命中的來源一律拒絕，先於白名單、黑名單判斷，與存取控制模式無關，路徑規則也不能覆蓋，也就是「先黑後白」。Web 站點、連接埠轉發、協定分流、STUN 內建轉發與 frps 實例（frpc 登入檢查）都可使用；訂閱列表更新後立即生效，被引用的列表不能刪除。詳見 Web 服務。

Web 服務

• 敲門准入與登入後放行：站點可以要求來源持有某條連接埠敲門規則的有效授權才能存取；也可以作為放行入口，訪客通過站點認證後為其來源 IP（IPv6 預設依 /64）登記授權，引用該規則的站點、連接埠轉發與系統防火牆隨即放行。入口頁 /__gately_knock 可檢視與撤銷放行，並透過雙堆疊探測把 IPv4 與 IPv6 都放行；登出、使用者被刪除或修改密碼時自動撤銷。敲門規則不開啟防火牆攔截時連接埠可以留空，只用於網頁登入放行。
• 後台登入免認證：已登入 Gately 管理後台的管理員存取開啟該選項的站點時，不再需要站點的基本認證或網頁認證。同一父網域下經單一登入網域生效；站點與後台不在同一父網域時，填寫「後台入口位址」後經一次性票據跳轉握手。憑據綁定後台工作階段，登出、登出所有裝置或修改密碼後立即失效，不會轉發給後端。
• 共用使用者 Passkey 登入：開啟後，共用使用者可在站點的 /__gately_auth/passkey 頁面註冊 Passkey，之後在登入頁一鍵登入，免輸入密碼和動態驗證碼。只在站點的精確網域與 OIDC 簽發者網域上提供；管理員修改使用者的密碼或 TOTP 金鑰後，該使用者的 Passkey 一併刪除。
• 明文 HTTP/2 後端：站點選項「http:// 後端使用明文 HTTP/2（h2c）」用於只監聽明文連接埠的 gRPC 服務（如 NetBird 管理/信令），gRPC 串流傳輸與尾部中繼資料原樣透傳；同一連接埠上的 WebSocket 請求自動改用 HTTP/1.1。

入侵防護

核心層的誘餌連接埠與連接埠掃描偵測封鎖時，封鎖原因、日誌與通知會帶上命中的連接埠。核心或 nftables 不支援記錄連接埠時自動略過，其餘規則照常生效。詳見 入侵防護。

其他改進

• 開啟對話框、確認框或抽屜時，捲動不再帶動下方頁面；終端機、編輯器在彈出層中仍可正常捲動。
• 卡片與分組列表、排序列、分頁標籤之間的間距統一。

升級提示

• Docker 拉取新映像後重建容器；OpenWrt 覆蓋安裝新的 .apk / .ipk；飛牛在應用中心手動安裝新版 .fpk；其他部署方式可在「系統設定」中線上升級。
• 管理員密碼過弱時，升級後下一次用密碼登入會要求修改密碼；之後可在「系統設定 → 帳號與安全」檢視安全評分。
• 陌生位址失敗額度預設開啟（20 次 / 10 分鐘），只影響從未登入成功過的位址。