@riceawa/dsh-lan-gateway 0.3.0 → 0.5.0

package/README.md

@@ -6,7 +6,7 @@
 
 <p align="center">
   <img src="https://img.shields.io/badge/DeepSeek%20Harness-4d6bfe?logo=deepseek&logoColor=fff&style=flat-square" alt="DeepSeek Harness" />
-  <img src="https://img.shields.io/badge/version-0.3.0-2b7fff?style=flat-square" alt="version 0.3.0" />
+  <img src="https://img.shields.io/badge/version-0.5.0-2b7fff?style=flat-square" alt="version 0.5.0" />
   <img src="https://img.shields.io/badge/TLS-8b5cf6?logo=lock&logoColor=fff&style=flat-square" alt="TLS" />
   <img src="https://img.shields.io/github/license/rice-awa/dsh-lan-gateway?style=flat-square" alt="MIT license" />
 </p>
@@ -20,26 +20,38 @@
 
 `dsh` 的 web CLI 会硬拒绝 `--host 0.0.0.0`（避免把远程代码执行暴露到网络），所以本插件
 让 dsh 继续只绑 `127.0.0.1`，自己另起一个 `0.0.0.0` 反向代理网关转发到 loopback 端口，
-改写 `Host`/`Origin` 以通过 `/api` 信任围栏。**LAN 与 loopback 来源免密代理；非 LAN 来源
-必须先完成登录页并出示 HMAC cookie。**
+改写 `Host`/`Origin`。**默认拒绝（fail-closed）：所有来源——loopback、LAN、公网——都必须
+先通过网关的登录页并出示 HMAC 会话 cookie**；“LAN 免密”改为显式 `lanPasswordless` opt-in
+且默认关闭。对 dsh ≥ 0.1.2-rc.1（修复了 QVD-2026-57410 的浏览器会话认证底座），网关在进程内
+中继**一条共享的上游会话**，上游自身的授权仍然把关每个请求——网关只决定谁能骑上这条
+共享会话。
 
 ## 特性
 
-- **双端一体**：host 端是反向代理网关（登录 / HMAC cookie / 信任围栏 / TLS）；client 端是
-  不安全源 UUID shim + **官方设置页卡片**（DSH Settings → Plugins → 可配置插件，网关的
-  端口 / 网段 / 认证 / TLS 全部可视化调整，保存即热生效）。
+- **双端一体**：host 端是反向代理网关（登录 / HMAC cookie / 会话撤销 / Origin 围栏 /
+  TLS / 上游会话中继）；client 端是不安全源 UUID shim + **官方设置页卡片**（DSH Settings
+  → Plugins → 可配置插件，网关的端口 / 网段 / 认证 / TLS 全部可视化调整，保存即热生效）。
+- **默认全来源登录（QVD-2026-57410 加固）**：不再“只对公网来源认证”；loopback/LAN 同样
+  要求会话。唯一豁免是显式 `lanPasswordless: true`（仅豁免网关登录，上游会话中继仍生效）。
+- **共享上游会话中继**：dsh 0.1.2 起不再信任 loopback Host，要求出示绑定权威来源的
+  `dsh-auth-*` cookie；插件在进程内用启动令牌走一遍浏览器等价换取，把这一条会话中继到
+  每个转发请求上（“单密码 = 单操作者”语义不变）。底座不支持时自动降级为无中继转发。
+- **fail-closed 启动守卫**：未设密码拒启；`authRequired:false`（v0.4 及更早）拒启并给迁移
+  文案；明文监听需显式 `allowInsecurePlaintext:true`（或 TLS / 声明 `trustedTerminator`）。
 - **TLS 双模式**：`self-signed` 自动生成自签名证书（首次启动生成并持久化到
   `~/.dsh/lan-gateway/tls/`，重启复用；`lan_gateway tls-regenerate` 可换新证书），或
   `custom` 直接挂载你自己的 PEM 证书与私钥（如 Let's Encrypt / 自建 CA 签发）。
+- **会话撤销**：cookie 携带撤销 epoch；改密 / 清密 / `rotate-secret` 都会递增 epoch，使
+  所有已签发 cookie **与已建立的 WebSocket** 立即失效。清空密码会直接停止监听。
 - **默认关闭（安全）**：bundle patch 里 `enabled: false`，只有运行 `lan_gateway enable`
   后才监听网络端口。
 - **密钥不进配置**：密码哈希、cookie secret 存 `~/.dsh/lan-gateway/state.json`。
 
 ## 快速安装（推荐）
 
-请把下面这段话发送给你的 agent：
+已发布到 npm（预构建，安装无需 `allowBuilds` 授权）。请把下面这段话发送给你的 agent：
 
-> 帮我从 `https://github.com/rice-awa/dsh-lan-gateway` 安装这个 dsh 插件，遵循
+> 帮我安装 dsh 插件 `@riceawa/dsh-lan-gateway`，遵循
 > `https://github.com/rice-awa/dsh-lan-gateway/blob/main/INSTALL.md`
 
 ## 配套 skill
@@ -62,18 +74,19 @@ dsh plugin --profile web add github:mexiaosqwq/dsh-web-mobile
 
 ## 手动安装
 
-### 方式 A：使用官方 CLI 安装
+### 方式 A：npm 包（推荐，免 allowBuilds）
+
+已发布预构建产物到 npm，安装时**不需要**批准构建脚本：
 
 ```bash
 # 官方装配（重启后由 bundles 列表接管，生产态）
-dsh plugin --profile web add github:rice-awa/dsh-lan-gateway
+dsh plugin --profile web add @riceawa/dsh-lan-gateway
 ```
 
-> **注意**：`dsh plugin ... add` 把剩余参数转发给 profile 目录里的 pnpm。安装本插件时
-> pnpm 会要求先在其构建脚本白名单（`allowBuilds`）中批准本包，否则报
-> `ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED`。把报错提示中的条目（或 `pnpm approve-builds`
-> 的选项）写进 `~/.dsh/profiles/web/pnpm-workspace.yaml` 再重试即可。完整步骤见
-> [INSTALL.md](INSTALL.md#for-agents完整安装流程)。
+> `dsh plugin ... add` 把剩余参数转发给 profile 目录里的 pnpm，npm 包自带预构建
+> 的 `lib/`，不会触发 `ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED`。若仍提示，把报错
+> 条目写进 `~/.dsh/profiles/web/pnpm-workspace.yaml` 的 `allowBuilds` 再重试，
+> 完整步骤见 [INSTALL.md](INSTALL.md#for-agents完整安装流程)。
 
 ### 方式 B：从源码构建
 
@@ -83,21 +96,24 @@ cd dsh-lan-gateway
 pnpm install
 pnpm build          # host（lib/index.js）
 pnpm build:client   # client（lib/client.js，window.__ModuleLoader__ 格式）
-pnpm test           # 38 项（网关 23 + UUID shim 3 + x509 4 + TLS 6）
+pnpm test           # 72 项（网关单元 27 + start-guard 12 + 集成 17 + UUID shim 3 + x509 6 + TLS 7）
 ```
 
 ## 使用
 
 ```bash
-# 开启网关（监听 0.0.0.0:3081，LAN 免密 / 非 LAN 需登录）
+# 开启网关。先满足启动条件（已设密码 + 加密入口），否则 enable 会给出迁移文案
 lan_gateway enable
 
-# 查看状态
+# 查看状态（端口 / 目标 / 密码 / 会话 epoch / 中继状态 / 入口加密方式 / 上次错误）
 lan_gateway status
 
-# 设置非 LAN 访问密码（≥8 位）
+# 设置登录密码（≥8 位；改动会让所有已签发会话立即失效）
 lan_gateway set-password
 
+# 轮换会话密钥（作废全部登录 cookie 与已建立的 WebSocket）
+lan_gateway rotate-secret
+
 # 换发自签名 TLS 证书（tlsMode=self-signed 时；换新密钥并热重启监听器）
 lan_gateway tls-regenerate
 
@@ -121,8 +137,8 @@ lan_gateway disable
 | `enabled` | `false` | 是否在启动时监听网络端口 |
 | `gatewayPort` | `3081` | 网关监听端口（`0.0.0.0`） |
 | `dshTargetPort` | 跟随 `ctx.webServer.port` | 转发到的 dsh loopback 端口 |
-| `lanCidrs` | RFC1918 + link-local（见下） | 免密的受信 LAN 网段（逗号分隔） |
-| `authRequired` | `true` | 非 LAN 来源是否需要登录 |
+| `lanCidrs` | RFC1918 + link-local（见下） | 视为 LAN 的网段；仅在 `lanPasswordless` 开启时用作豁免匹配集 |
+| `lanPasswordless` | `false` | 显式 opt-in：LAN/loopback 来源跳过网关登录页（上游会话中继仍把关） |
 | `cookieMaxAgeDays` | `7` | 会话 cookie 有效期（天） |
 | `cookieName` | `dsh_gw_auth` | 会话 cookie 名（不进卡片） |
 | `tlsEnabled` | `false` | 是否以 HTTPS（TLS）提供服务 |
@@ -131,21 +147,37 @@ lan_gateway disable
 | `tlsCertPath` | — | `custom` 模式：PEM 证书（或证书链）绝对路径 |
 | `tlsKeyPath` | — | `custom` 模式：PEM 私钥绝对路径 |
 | `tlsCertMaxAgeDays` | `825` | 自签名证书有效期（天） |
+| `allowInsecurePlaintext` | `false` | 显式 opt-in：允许明文 HTTP 监听（见下「入口加密」） |
+| `trustedTerminator` | — | 声明一个受信 TLS 终止代理标识，视为加密入口（如 `nginx`） |
+
+> v0.5.0 起 `authRequired` 被移除：认证恒为必需。若配置里残留 `authRequired: false`
+> （v0.4 及更早的写法），启停守卫会拒绝并提示迁移——不会静默降级回“免密”。
+
+### 入口加密（防明文）
+
+网关默认**拒绝纯明文监听**，三种方式任选其一即可启动：
+
+1. 启用 TLS：`tlsEnabled: true`（推荐，自签名或 custom 证书均可）；
+2. 声明由可信反向代理（nginx 等）终止 TLS：
+   ```yaml
+   - id: dsh-lan-gateway
+     config:
+       enabled: true
+       gatewayPort: 8080
+       trustedTerminator: nginx   # 由 nginx 以 HTTPS 对外，再转发回本端口
+   ```
+3. 显式接受明文（风险自担，密码与会话将明文在网内传输）：
+   ```yaml
+   - id: dsh-lan-gateway
+     config:
+       enabled: true
+       gatewayPort: 3081
+       allowInsecurePlaintext: true
+   ```
 
 自签名证书在**首次启用 TLS 时生成一次**，持久化于 `~/.dsh/lan-gateway/tls/`
 （`selfsigned.crt` / `selfsigned.key`，0600），之后重启复用同一张证书；
 `lan_gateway tls-regenerate` 可随时换发新证书（新密钥）并热重启监听器。
-配置示例（`--patch`）：
-
-```yaml
-- id: dsh-lan-gateway
-  config:
-    enabled: true
-    gatewayPort: 8443
-    tlsEnabled: true
-    tlsMode: self-signed
-    tlsSelfSignedHosts: localhost, 192.168.1.5
-```
 
 或用自己的证书（例如 `/etc/letsencrypt/live/example.com/` 下签发的 PEM）：
 
@@ -158,35 +190,79 @@ lan_gateway disable
     tlsKeyPath: /etc/letsencrypt/live/example.com/privkey.pem
 ```
 
-启用 TLS 后访问 `https://<主机>:<端口>/`；登录 cookie 自动带 `Secure`，网关自身响应
-（登录页 / 重定向 / 拒绝）带 HSTS。自签名证书首次访问会看到浏览器警告，属预期行为。
+启用 TLS（或声明受信终止代理）后，登录 cookie 自动带 `Secure`；监听器自身是 HTTPS 时，
+网关响应（登录页 / 重定向 / 拒绝）带 HSTS。自签名证书首次访问会看到浏览器警告，属预期行为。
 
-默认 `lanCidrs`：`10.0.0.0/8`、`172.16.0.0/12`、`192.168.0.0/16`、`169.254.0.0/16`，
-IPv6 的 `fe80::/10`（link-local）与回环地址始终免密。
+默认 `lanCidrs`：`10.0.0.0/8`、`172.16.0.0/12`、`192.168.0.0/16`、`169.254.0.0/16`；
+IPv6 的 `fe80::/10`（link-local）与 `127.0.0.0/8` / `::1` 归类为 LAN/loopback。
 
 ## 安全模型
 
 - **来源分级**：仅依据 `socket.remoteAddress`（IPv4-mapped IPv6 会先解包）把请求分为
-  loopback / lan / internet 三档，绝不信任 `X-Forwarded-For`。
-- **免密**：LAN 与 loopback 来源直接代理；`internet` 来源（`authRequired: true` 时）
-  必须携带有效 HMAC 会话 cookie，否则 302 到 `/__login` 登录页。
+  loopback / lan / internet 三档，绝不信任 `X-Forwarded-For`。**分级本身不授予任何访问**
+  ——默认每一档都必须出示有效网关会话，否则 302 到 `/__login`。
+- **LAN 免密是显式 opt-in**：`lanPasswordless: true` 只让命中 `lanCidrs`（或 loopback）的
+  来源跳过**网关自己的登录页**；上游 dsh 若 ≥ 0.1.2-rc.1，插件在进程内中继一条共享上游
+  会话（见下），上游授权仍把关每个请求。底座没有浏览器会话认证时该开关**拒绝启用**——
+  否则就是把 QVD-2026-57410 原样装回去。
+- **共享上游会话中继（dsh ≥ 0.1.2-rc.1）**：dsh 已不再信任“回环 Host”，要求请求出示
+  HMAC 签名的 `dsh-auth-*` cookie。插件经 `connection` 服务拿到启动令牌，在回环传输上
+  做浏览器等价的令牌换取，取得 cookie 后中继到每个转发请求；上游一旦以 401 拒绝就丢弃
+  这条会话并重新换取。**这仍是“单密码 = 单操作者”**：通过网关登录的人都骑同一条上游
+  会话，上游持钥，才是真正的授权主体。
 - **登录页**：`/__login` 由网关独占、不转发；密码以 scrypt（每写一次重新加盐）校验，
   登录尝试按来源限流（5 次 / 分钟）。
-- **会话 cookie**：`payload.signature` 结构（HMAC-SHA256），`HttpOnly; SameSite=Lax`，
-  过期后（`cookieMaxAgeDays`）即失效；`lan_gateway rotate-secret` 可作废全部会话。
-  启用 TLS 后自动附加 `Secure`。
-- **TLS**：监听器为 HTTPS 时，登录成功签发 `Secure` cookie，网关自身响应带 HSTS
-  （`max-age=15552000`）；转发到 dsh 的 loopback 连接仍为明文 HTTP（不出本机）。
-- **CSRF 围栏**：因为网关把 Origin 改写回 loopback、会蒙蔽 dsh 自身的 CSRF 防线，网关在
-  转发前会对 `/api*` 请求自检 `sec-fetch-site` 与 Origin 是否匹配网关的权威来源，
-  跨站请求直接 403。
-- **密码未设置时拒启**：`authRequired: true` 且未设密码时，`enable` 会拒绝监听——避免
-  把远程代码执行的门户开放给非 LAN 来源。
-- **WebSocket**：`/api` 升级请求同样过登录校验，再原样拼接转发给 dsh。
+- **会话 cookie**：`payload.signature` 结构（HMAC-SHA256），携带**撤销 epoch**；
+  `HttpOnly; SameSite=Strict`，过期即失效。改密 / 清密 / `rotate-secret` 递增 epoch，
+  作废全部已签发 cookie **并断开已建立的 WebSocket**，客户端重新登录。清空密码会停止
+  监听（网关必须有密码才能运行）。
+- **管理面不外泄**：`/lan-gateway/*`（含配置路由）由网关独占、一律 403 不转发——远程
+  访问者无法借网关改写 Host 触及本机 loopback 的配置接口；原生 `/lan-gateway/config`
+  仅对回环 Host 且同源的请求应答（本地用户 / 本机能读 `~/.dsh` 的进程）。远程管理走
+  `lan_gateway` 工具。
+- **CSRF / 跨站围栏（HTTP 与 WebSocket）**：因为网关把 Origin 改写回 loopback、会蒙蔽
+  dsh 自身的 CSRF 防线，网关在改写前对每个转发请求自检：`sec-fetch-site: cross-site`
+  直接拒绝；Origin 必须匹配访问者实际使用的网关权威来源；状态变更方法与 WebSocket
+  升级请求**必须携带同源 Origin**，否则 403。
+- **密码未设置时拒启**：无论来源如何，未设密码一律拒绝监听——杜绝把远程代码执行门户
+  开放给任何非本机来源。
+- **WebSocket**：`/api` 升级请求同样过登录校验、同源 Origin 校验，再拼接转发给 dsh，
+  并纳入会话撤销（epoch 变化即断开）。
+
+## 从 v0.4（及更早）升级
+
+1. **把底座升级到 dsh ≥ 0.1.2-rc.1**（含 QVD-2026-57410 上游修复）。低于该版本时本插件
+   仍可运行，但 `lanPasswordless` 会拒绝启用（fail-closed）。
+2. 若配置里写过 `authRequired: false`：删除它。现在认证恒为必需；LAN 想免密改为显式
+   `lanPasswordless: true`。
+3. 若以明文（无 TLS）运行且从未设置过密码：升级后 `enable` 会拒绝。请启用 TLS /
+   声明 `trustedTerminator` / 显式 `allowInsecurePlaintext: true` 之一，并先
+   `lan_gateway set-password`。
+4. 曾以“免密 + 伪造 Host”形态暴露过受影响的 dsh 实例：按“可能已失陷”处置——轮换模型 /
+   系统凭据，并检查是否有未知登录会话。
+
+一步到位迁移示例（HTTPS 自签名 + LAN 免密，本机已跑通）：
+
+```yaml
+- id: dsh-lan-gateway
+  config:
+    enabled: true
+    tlsEnabled: true
+    tlsMode: self-signed
+    # 证书 SAN 覆盖所有接入方式：回环 / 主机名 / LAN IP / Tailscale IP。
+    # Tailscale 走 100.64.0.0/10（CGNAT），按默认 lanCidrs 归为 internet，
+    # 仍需密码登录，不会因 lanPasswordless 而豁免。
+    tlsSelfSignedHosts: localhost,my-host,192.168.1.20,100.99.1.2
+    lanPasswordless: true   # LAN/loopback 免登录；需 dsh ≥ 0.1.2-rc.1 上游会话底座
+```
+
+首次以 `https://<主机名|LAN-IP|Tailscale-IP>:3081` 访问会看到自签名证书警告（预期）。
+证书在首次启用 TLS 时生成一次并持久化到 `~/.dsh/lan-gateway/tls/`；若已有一张旧证书，
+**必须用 `lan_gateway tls-regenerate` 重新签发**，新的 `tlsSelfSignedHosts` 才会进入 SAN。
 
 ## 登录页截图（预期）
 
-非 LAN 来源打开 `http://<主机>:3081/` 时，先看到网关自带的登录表单（`/__login`），
+远程来源打开 `http://<主机>:3081/` 时，先看到网关自带的登录表单（`/__login`），
 输入正确密码后签发会话 cookie 并跳回 `/`。
 
 <p align="center">
@@ -210,12 +286,26 @@ IPv6 的 `fe80::/10`（link-local）与回环地址始终免密。
 
 ```bash
 pnpm test
-# ✓ tests/gateway.test.ts   (23) 网关代理 / 登录 / HMAC / 信任围栏
-# ✓ tests/uuid-shim.test.ts ( 3) 不安全源补丁 / 安全源 no-op / v4 正确性
-# ✓ tests/x509.test.ts      ( 4) 自签名证书 DER/SAN/签名/TLS 握手
-# ✓ tests/tls.test.ts       ( 6) 证书持久化 / 重生成 / 自定义证书加载
+# ✓ tests/gateway.test.ts               (27) 分类 / HMAC cookie / epoch / 密码状态 / 限流
+# ✓ tests/start-guard.test.ts           (12) fail-closed 启动守卫 / 配置路由回环围栏
+# ✓ tests/integration/gateway.test.ts   (17) 真实网关端到端：全来源登录 / LAN 豁免 /
+#                                            跨站 403 / 升级拒绝 / cookie 属性 / epoch 撤销 / 会话中继
+# ✓ tests/uuid-shim.test.ts             ( 3) 不安全源补丁 / 安全源 no-op / v4 正确性
+# ✓ tests/x509.test.ts                  ( 6) 自签名证书 DER/SAN/签名/TLS 握手
+# ✓ tests/tls.test.ts                   ( 7) 证书持久化 / 重生成 / 自定义证书加载
 ```
 
+## 安全评估与修复记录
+
+0.5.0 的默认拒绝模型源自针对 QVD-2026-57410（DSH Web API 的 Host 信任缺陷）的加固，
+相关文档收在 [docs/security/](docs/security/)：
+
+- [LAN 网关安全评估](docs/security/SECURITY-AUDIT.md)——0.4.0 时代 F1–F5 审计快照与 13 个
+  隔离观察（顶部标注 0.5.0 的修复状态）。
+- [QVD-2026-57410 修复方案](docs/security/qvd-2026-57410-fix-plan.md)——方案全文 + §15
+  实施状态（0.5.0 落地差异）。
+- [上游研究](docs/security/qvd-2026-57410-research.md)——公开通告 / 上游提交与版本核对。
+
 ## 许可
 
 [MIT](./LICENSE)

package/cordis.patch.yml

@@ -1,7 +1,10 @@
 # dsh-lan-gateway bundle patch: inserts the gateway plugin into a profile's layer stack.
 # Disabled by default (safe): the gateway only opens a network port once `lan_gateway
-# enable` is run through the tool. Composition-level settings live here; secrets
-# (password hash, cookie secret) live in ~/.dsh/lan-gateway/state.json, never in config.
+# enable` is run through the tool (or `enabled: true` is set here). Composition-level
+# settings live here; secrets (password hash, cookie secret) live in ~/.dsh/lan-gateway/
+# state.json, never in config. Secure defaults inherited from the plugin schema:
+# auth is required for every source (lanPasswordless: false), the listener refuses
+# plaintext (allowInsecurePlaintext: false) unless TLS or trustedTerminator is set.
 - insert:
     - id: dsh-lan-gateway
       name: '@riceawa/dsh-lan-gateway'

package/lib/client.js

@@ -44,8 +44,12 @@ window.__ModuleLoader__.load({
 				"hint.dshTargetPort": "留空则自动跟随 dsh web 端口（默认 3080）",
 				"field.lanCidrs": "免密 LAN 网段",
 				"hint.lanCidrs": "逗号分隔的 CIDR，如 10.0.0.0/8, 192.168.0.0/16",
-				"field.authRequired": "非 LAN 访问需要密码",
-				"hint.authRequired": "公网来源必须登录后才能访问",
+				"field.lanPasswordless": "LAN 免登录",
+				"hint.lanPasswordless": "LAN/回环来源跳过网关登录页，但仍共用同一上游会话（需 dsh ≥ 0.1.2）",
+				"field.allowInsecurePlaintext": "允许明文 HTTP",
+				"hint.allowInsecurePlaintext": "危险：关闭 TLS 或受信终止代理时仍启动监听，密码与会话将以明文传输",
+				"field.trustedTerminator": "受信 TLS 终止代理",
+				"hint.trustedTerminator": "可选：声明前置代理标识，视为加密入口（如 nginx）。留空 = 未声明",
 				"field.cookieMaxAgeDays": "会话有效期（天）",
 				"hint.cookieMaxAgeDays": "登录 cookie 的存活天数（默认 7）",
 				"field.tlsEnabled": "启用 TLS（HTTPS）",
@@ -86,8 +90,12 @@ window.__ModuleLoader__.load({
 				"hint.dshTargetPort": "Leave empty to follow the dsh web port (default 3080)",
 				"field.lanCidrs": "Password-free LAN CIDRs",
 				"hint.lanCidrs": "Comma separated CIDRs, e.g. 10.0.0.0/8, 192.168.0.0/16",
-				"field.authRequired": "Password required for non-LAN",
-				"hint.authRequired": "Internet sources must sign in before reaching the GUI",
+				"field.lanPasswordless": "LAN skip login",
+				"hint.lanPasswordless": "LAN/loopback sources skip the gateway login page but still ride one shared upstream session (needs dsh >= 0.1.2)",
+				"field.allowInsecurePlaintext": "Allow plaintext HTTP",
+				"hint.allowInsecurePlaintext": "Dangerous: start the listener even without TLS or a trusted terminator; passwords and sessions travel in clear",
+				"field.trustedTerminator": "Trusted TLS terminator",
+				"hint.trustedTerminator": "Optional identifier for a front proxy (e.g. nginx) treated as the encrypted ingress. Empty = none declared",
 				"field.cookieMaxAgeDays": "Session lifetime (days)",
 				"hint.cookieMaxAgeDays": "Login cookie lifetime (default 7)",
 				"field.tlsEnabled": "Enable TLS (HTTPS)",
@@ -126,7 +134,7 @@ window.__ModuleLoader__.load({
 				kind: "cidrs"
 			},
 			{
-				field: "authRequired",
+				field: "lanPasswordless",
 				kind: "boolean"
 			},
 			{
@@ -159,6 +167,15 @@ window.__ModuleLoader__.load({
 			{
 				field: "tlsCertMaxAgeDays",
 				kind: "number"
+			},
+			{
+				field: "allowInsecurePlaintext",
+				kind: "boolean"
+			},
+			{
+				field: "trustedTerminator",
+				kind: "text",
+				optional: true
 			}
 		];
 		function formatValue(def, value) {
@@ -401,33 +418,34 @@ window.__ModuleLoader__.load({
 					onClick: () => {
 						setOpen(!open);
 					},
-					children: [
-						/* @__PURE__ */ (0, react_jsx_runtime.jsxs)("span", {
-							style: styles.headText,
-							children: [/* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
+					children: [/* @__PURE__ */ (0, react_jsx_runtime.jsxs)("span", {
+						style: styles.headerTop,
+						children: [
+							/* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
 								style: styles.name,
 								children: t.title
-							}), /* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
-								style: styles.description,
-								children: t.description
-							})]
-						}),
-						/* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
-							style: styles.status,
-							children: statusLine
-						}),
-						dirty ? /* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
-							style: styles.pending,
-							children: t.unsaved
-						}) : null,
-						/* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
-							style: open ? {
-								...styles.chevron,
-								...styles.chevronOpen
-							} : styles.chevron,
-							children: open ? "▾" : "▸"
-						})
-					]
+							}),
+							/* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
+								style: styles.status,
+								title: statusLine,
+								children: statusLine
+							}),
+							dirty ? /* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
+								style: styles.pending,
+								children: t.unsaved
+							}) : null,
+							/* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
+								style: open ? {
+									...styles.chevron,
+									...styles.chevronOpen
+								} : styles.chevron,
+								children: open ? "▾" : "▸"
+							})
+						]
+					}), /* @__PURE__ */ (0, react_jsx_runtime.jsx)("span", {
+						style: styles.description,
+						children: t.description
+					})]
 				}), open ? /* @__PURE__ */ (0, react_jsx_runtime.jsxs)("div", {
 					style: styles.body,
 					children: [
@@ -502,8 +520,9 @@ window.__ModuleLoader__.load({
 			},
 			header: {
 				display: "flex",
-				alignItems: "center",
-				gap: "12px",
+				flexDirection: "column",
+				alignItems: "stretch",
+				gap: "6px",
 				width: "100%",
 				padding: "14px 16px",
 				border: 0,
@@ -513,28 +532,39 @@ window.__ModuleLoader__.load({
 				textAlign: "left",
 				cursor: "pointer"
 			},
-			headText: {
+			headerTop: {
 				display: "flex",
-				flexDirection: "column",
-				gap: "4px",
-				flex: 1,
-				minWidth: 0
+				alignItems: "center",
+				gap: "12px",
+				width: "100%"
 			},
 			name: {
+				flex: "1 1 auto",
+				minWidth: 0,
 				fontSize: "15px",
 				fontWeight: 600,
 				lineHeight: 1.4,
 				color: L.labelPrimary
 			},
+			status: {
+				flex: "0 1 auto",
+				minWidth: 0,
+				maxWidth: "60%",
+				fontSize: "11px",
+				lineHeight: 1.4,
+				color: L.labelTertiary,
+				whiteSpace: "nowrap",
+				overflow: "hidden",
+				textOverflow: "ellipsis"
+			},
 			description: {
+				display: "block",
 				fontSize: "13px",
 				lineHeight: 1.5,
-				color: L.labelTertiary
-			},
-			status: {
-				fontSize: "11px",
 				color: L.labelTertiary,
-				whiteSpace: "nowrap"
+				whiteSpace: "nowrap",
+				overflow: "hidden",
+				textOverflow: "ellipsis"
 			},
 			pending: {
 				flex: "none",
@@ -713,11 +743,15 @@ window.__ModuleLoader__.load({
 		*/
 		function apply(ctx) {
 			installRandomUuidShim();
+			const legacyListOptions = {
+				id: "lan-gateway",
+				order: 30
+			};
 			ctx.slots.inject("settings.plugin.item", function* () {
 				yield ctx.slots.register({
 					name: "settings.plugin.item",
-					id: "lan-gateway",
-					order: 30
+					key: "lan-gateway",
+					...legacyListOptions
 				}, LanGatewayCard);
 			});
 		}