Announcing qeli 0.7.6 — panel fixes, Blocked-IPs editor, update check, jemalloc + opt-in obfuscation

[litvinovtd]

qeli 0.7.6 (beta) is out 🎉 — a big consolidation release: web-panel fixes, a Blocked-IPs policy editor, an opt-in update check, jemalloc on the server, and new opt-in AmneziaWG-style obfuscation.

🇬🇧 English

Web panel

• Fixes for “changes don’t apply”: inline-defined users are honored, [web] settings (admin password / allowlist / CSRF) reload live (no restart), and kicking a half-dead client authoritatively drops its session.
• Blocked IPs tab: a lockout-policy editor right on the tab + an auth log (profile + username per attempt) + full localization.
• Notifications: a new VPN auth IP lockout event, alongside the panel-login lockout (Telegram / webhook, off by default).

Clients

• New opt-in update check (all clients + panel + CLI) — notification-only, over the tunnel, off by default.
• Windows/macOS profile-selection fix (two accounts on one server no longer mixed up); UDP client reconnect fix on lossy paths.
• Android (APK 0.7.62): fixed a reconnect loop (the tunnel’s own tun was being watched as a network change) + obfs/WebSocket data-plane framing.

Performance

• In-place AEAD packet codec (fewer allocations per packet) + pipelined reality-tls double-decrypt.
• Server allocator → jemalloc (Linux binary / .deb): worker RSS caps at ~60 MB under handshake churn (vs glibc’s ~180 MB), throughput at parity.

Obfuscation (wire-breaking, default OFF — enable on BOTH ends)

• AmneziaWG-style junk masking, WebSocket binary framing for obfs, and a fake-tls session ticket.

Security: two audit passes folded in — SSRF guard in notify, DHCP bounds, usage-sweep TOCTOU, fail-closed TOFU, web.trusted_proxies (XFF), and more.

Wire- and config-compatible with 0.7.5 by default. Rollout: the obfuscation tweaks need both ends; everything else is drop-in.

Get it:

• 📦 Release + all downloads (Android / Windows / macOS / Linux / .deb / routers): https://github.com/litvinovtd/qeli/releases/tag/v0.7.6
• 🐳 Docker: docker pull ghcr.io/litvinovtd/qeli:latest
• ⚡ One-command server: curl -fsSL https://raw.githubusercontent.com/litvinovtd/qeli/main/install-reality-server.sh | bash

---

🇷🇺 Русский

Веб-панель

• Фиксы «изменения не применяются»: инлайн-юзеры теперь учитываются, настройки [web] (пароль админа / allowlist / CSRF) обновляются на лету (без рестарта), kick полу-мёртвого клиента авторитетно сбрасывает сессию.
• Вкладка Blocked IPs: редактор политики блокировки прямо на вкладке + лог авторизаций (профиль + юзер на попытку) + полная локализация.
• Уведомления: новое событие лочка VPN-авторизации по IP, рядом с локаутом логина панели (Telegram / webhook, по умолчанию выкл).

Клиенты

• Новая opt-in проверка новых версий (все клиенты + панель + CLI) — только уведомление, через туннель, по умолчанию выкл.
• Фикс выбора профиля на Windows/macOS (два аккаунта на одном сервере больше не путаются); фикс реконнекта UDP-клиента на потерях.
• Android (APK 0.7.62): устранена петля реконнекта (свой tun туннеля отслеживался как «смена сети») + фрейминг obfs/WebSocket на дата-плоскости.

Производительность

• In-place AEAD пакетного кодека (меньше аллокаций на пакет) + конвейеризация двойного дешифрования reality-tls.
• Аллокатор сервера → jemalloc (Linux-бинарь / .deb): RSS воркера под churn'ом рукопожатий ограничен ~60 МБ (против ~180 МБ у glibc), throughput — паритет.

Обфускация (wire-breaking, по умолчанию ВЫКЛ — включать на ОБЕИХ сторонах)

• AmneziaWG-подобная junk-маскировка, WebSocket binary framing для obfs, и fake-tls session ticket.

Безопасность: влиты два прохода аудита — SSRF-гард в notify, границы DHCP, TOCTOU usage-sweep, fail-closed TOFU, web.trusted_proxies (XFF) и др.

По проводу и конфигу совместимо с 0.7.5 по умолчанию. Выкат: обфускация-фичи требуют обе стороны, всё остальное — drop-in.

Скачать:

• 📦 Релиз + все загрузки (Android / Windows / macOS / Linux / .deb / роутеры): https://github.com/litvinovtd/qeli/releases/tag/v0.7.6
• 🐳 Docker: docker pull ghcr.io/litvinovtd/qeli:latest
• ⚡ Сервер одной командой: curl -fsSL https://raw.githubusercontent.com/litvinovtd/qeli/main/install-reality-server.sh | bash