feat(notify): каскад telegram → zabbix → email, NOTIFY_ORDER, SMTP, v0.9.5

README.md

@@ -38,16 +38,16 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
-- `LAST_SSH_CHECK_FILE` — файл с меткой времени последней проверки SSH-событий (unix-время, одна строка); см. раздел «Файлы-метки» ниже.
-- `LAST_SUDO_CHECK_FILE` — метка последней проверки sudo-событий; см. «Файлы-метки».
-- `LAST_SECURITY_EVENTS_FILE` — метка последней проверки «тяжёлых» событий безопасности в журнале (логика первого запуска **отличается** от SSH/sudo/logind — см. там же).
-- `LAST_LOGIND_CHECK_FILE` — метка последней обработки журнала `systemd-logind`; см. «Файлы-метки».
+- `LAST_SSH_CHECK_FILE` — файл с меткой времени последней проверки SSH-событий.
+- `LAST_SUDO_CHECK_FILE` — файл с меткой времени последней проверки sudo-событий.
+- `LAST_SECURITY_EVENTS_FILE` — метка последней проверки «тяжёлых» событий безопасности в журнале.
+- `LAST_LOGIND_CHECK_FILE` — метка последней обработки журнала `systemd-logind` (unix-время); при первом запуске подтягивается около 30 минут истории.
 - `BAN_LIST_FILE` — файл состояния банов (IP, время окончания бана и метаданные).
 - `ENABLE_LOGIND_MONITOR` — `1` включает опрос `journalctl -u systemd-logind`, `0` полностью отключает этот блок.
 - `LOGIND_NOTIFY_NEW` — `1` отправлять Telegram при появлении новой сессии в logind (строки вида *New session … of user …*).
 - `LOGIND_NOTIFY_REMOVED` — `1` отправлять Telegram при завершении сессии (*Removed session …*); по умолчанию `0` (только запись в `LOG_FILE`, чтобы не заспамить канал).
 - `LOGIND_NOTIFY_FAILED` — `1` отправлять Telegram по строкам logind, содержащим *failed* (широкий фильтр; при необходимости отключите).
-- `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии, если доступен `loginctl`, по свойствам сессии решается, не дублировать ли Telegram с `monitor_ssh`: пропуск при **`Type=ssh`** или если **`Service`** указывает на **sshd** (частый случай **`Type=tty` + `Service=sshd`**). При пустом ответе `loginctl` делается несколько коротких повторов (гонка с появлением строки в journal). Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
+- `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии, если доступен `loginctl`, запрашивается тип сессии; при `Type=ssh` **второе** уведомление в Telegram не отправляется (успешный SSH уже покрывает `monitor_ssh`), в лог пишется пояснение. Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
@@ -76,18 +76,6 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 
 Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
 
-### Файлы-метки (`LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_LOGIND_CHECK_FILE`)
-
-Для **SSH**, **sudo** и **logind** используется одна и та же политика:
-
-1. **Файла ещё нет** — при первом же проходе создаётся файл с **текущим** unix-временем, в **`LOG_FILE`** пишется пояснение, **журнал за прошлое не разбирается** (нет лавины уведомлений).
-2. **Файл есть, но пустой, не число, ноль или отрицательное значение** — содержимое считается ошибочным, файл **перезаписывается** текущим временем, бэклог **не** обрабатывается (та же защита, что и при первом запуске).
-3. **В файле положительное unix-время** — с него строится окно `journalctl --since=@…` (или чтение лог-файлов для sudo при отсутствии journal), обрабатываются только события **после** этой метки.
-
-Таким образом, «унифицирована» одна и та же модель: **либо валидная метка продолжения, либо безопасная инициализация без ретрансляции истории.**
-
-Для **`LAST_SECURITY_EVENTS_FILE`** поведение другое: при отсутствии или невалидном значении окно начинается примерно с **часа назад** от текущего момента (чтобы не терять свежие тревоги и не тянуть весь журнал). Это отдельный блок (`monitor_security_events`).
-
 ## Режимы запуска
 
 Обычный запуск (root):
@@ -108,21 +96,6 @@ sudo bash ./ssh-monitor --check-config
 sudo bash ./ssh-monitor --dry-run
 ```
 
-Версия (одна строка в stdout, **без** root и без чтения конфига):
-
-```bash
-bash ./ssh-monitor --version
-# или краткий флаг: -V
-```
-
-### Версионирование
-
-- В начале скрипта задаётся **`SSH_MONITOR_VERSION`** (семантическая версия). **Текущая линия — 0.9**, полный номер сейчас **`0.9.0`**; мелкие правки → **`0.9.1`**, **`0.9.2`**, …; стабильный релиз по плану — **`1.0.0`**.
-- При запуске **из каталога git-репозитория** к строке версии добавляется **`+<короткий коммит>`**; при незакоммиченных изменениях — суффикс **`-dirty`**. Установленная копия в `/usr/local/bin` без `.git` рядом показывает только semver.
-- Строка версии пишется в **`LOG_FILE`** после загрузки конфига, выводится в **`--check-config`**, в Telegram при **старте** сервиса и попадает в **`HEALTHCHECK_STATUS_FILE`** (поле JSON **`version`**), если файл health задан.
-
-Перед релизом или значимым этапом обновляйте **`SSH_MONITOR_VERSION`** в `ssh-monitor` вручную (и при необходимости теги `v…` в git).
-
 ## Проверка синтаксиса
 
 ```bash

ssh-monitor

@@ -6,16 +6,33 @@ IFS=$'\n\t'
 # КОНФИГУРАЦИЯ
 # ============================================
 
-# Семантическая версия (линия 0.9.x). Сейчас: 0.9.0 — далее patch 0.9.1, 0.9.2 …; затем при необходимости 0.10.0 или сразу 1.0.0.
-# При запуске из git-репозитория к строке добавляется +<короткий sha> и при грязном дереве суффикс -dirty (см. ssh_monitor_version_display).
-SSH_MONITOR_VERSION="0.9.0"
-
 CONFIG_FILE="/etc/ssh-monitor.conf"
+SSH_MONITOR_VERSION="0.9.5"
 
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
 BACKUP_WEBHOOK_URL=""
 
+# Очередь оповещений: CSV из имён telegram, zabbix, email (или tg, zbx, mail).
+# Пусто = авто: только настроенные каналы, порядок telegram → zabbix → email.
+NOTIFY_ORDER=""
+
+# Zabbix trapper (zabbix_sender). Пустой ZABBIX_SERVER — канал недоступен.
+ZABBIX_SERVER=""
+ZABBIX_HOST_NAME=""
+ZABBIX_ALERT_KEY="ssh.monitor.alert"
+ZABBIX_SEQ_KEY="ssh.monitor.seq"
+
+# Почта (SMTP через python3). Нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
+MAIL_SMTP_HOST=""
+MAIL_SMTP_PORT="587"
+MAIL_SMTP_USER=""
+MAIL_SMTP_PASSWORD=""
+MAIL_FROM=""
+MAIL_TO=""
+MAIL_SMTP_STARTTLS="1"
+MAIL_SMTP_SSL="0"
+
 # Конфигурация логов
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
@@ -37,7 +54,7 @@ ENABLE_LOGIND_MONITOR=1
 LOGIND_NOTIFY_NEW=1
 LOGIND_NOTIFY_REMOVED=0
 LOGIND_NOTIFY_FAILED=1
-# 1 = не слать дубль Telegram для SSH (Type=ssh или Service=*sshd*; см. logind_session_is_ssh_duplicate_for_notify)
+# 1 = не слать Telegram для новых сессий с типом ssh (уведомление уже идёт из monitor_ssh)
 LOGIND_SKIP_REMOTE=1
 
 # Эксплуатация / health
@@ -70,35 +87,11 @@ declare -A FAIL_COUNTS
 declare -A BRUTE_LAST_NOTIFY
 
 CHECK_CONFIG_ONLY=0
-SHOW_VERSION=0
 DRY_RUN=0
 # Защита от двойного вызова: при SIGTERM срабатывает trap TERM, затем при выходе — trap EXIT
 SHUTDOWN_NOTIFIED=0
-
-# Полная строка версии для логов, --version и Telegram (без загрузки конфига).
-ssh_monitor_version_display() {
- local ver base_dir rev
- ver="${SSH_MONITOR_VERSION:-0.9.0}"
- base_dir=""
- if [ -n "${BASH_SOURCE[0]:-}" ]; then
- base_dir="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd 2>/dev/null)" || base_dir=""
- fi
- if [ -z "$base_dir" ]; then
- base_dir="$(cd "$(dirname "$0")" && pwd 2>/dev/null)" || base_dir=""
- fi
- if [ -n "$base_dir" ] && command -v git >/dev/null 2>&1; then
- if git -C "$base_dir" rev-parse --is-inside-work-tree >/dev/null 2>&1; then
- rev=$(git -C "$base_dir" rev-parse --short HEAD 2>/dev/null || true)
- if [ -n "$rev" ]; then
- ver="${ver}+${rev}"
- if ! git -C "$base_dir" diff --quiet 2>/dev/null; then
- ver="${ver}-dirty"
- fi
- fi
- fi
- fi
- printf '%s' "$ver"
-}
+ZABBIX_EVENT_SEQ=0
+declare -a NOTIFY_CHAIN=()
 
 trim_value() {
  local value="$1"
@@ -155,6 +148,10 @@ load_config() {
  local cfg_telegram_bot_token="${TELEGRAM_BOT_TOKEN}"
  local cfg_telegram_chat_id="${TELEGRAM_CHAT_ID}"
  local cfg_backup_webhook_url="${BACKUP_WEBHOOK_URL}"
+ local cfg_zabbix_server="${ZABBIX_SERVER:-}"
+ local cfg_zabbix_host_name="${ZABBIX_HOST_NAME:-}"
+ local cfg_zabbix_alert_key="${ZABBIX_ALERT_KEY:-ssh.monitor.alert}"
+ local cfg_zabbix_seq_key="${ZABBIX_SEQ_KEY:-ssh.monitor.seq}"
  local cfg_log_file="${LOG_FILE}"
  local cfg_last_heartbeat_file="${LAST_HEARTBEAT_FILE}"
  local cfg_last_report_file="${LAST_REPORT_FILE}"
@@ -182,6 +179,15 @@ load_config() {
  local cfg_ban_list_file="${BAN_LIST_FILE}"
  local cfg_whitelist_ips_csv="${default_whitelist_ips_csv}"
  local cfg_whitelist_subnets_csv="${default_whitelist_subnets_csv}"
+ local cfg_notify_order="${NOTIFY_ORDER:-}"
+ local cfg_mail_smtp_host="${MAIL_SMTP_HOST:-}"
+ local cfg_mail_smtp_port="${MAIL_SMTP_PORT:-587}"
+ local cfg_mail_smtp_user="${MAIL_SMTP_USER:-}"
+ local cfg_mail_smtp_password="${MAIL_SMTP_PASSWORD:-}"
+ local cfg_mail_from="${MAIL_FROM:-}"
+ local cfg_mail_to="${MAIL_TO:-}"
+ local cfg_mail_smtp_starttls="${MAIL_SMTP_STARTTLS:-1}"
+ local cfg_mail_smtp_ssl="${MAIL_SMTP_SSL:-0}"
 
  if [ -f "$CONFIG_FILE" ]; then
  # shellcheck disable=SC1090
@@ -193,6 +199,10 @@ load_config() {
  TELEGRAM_BOT_TOKEN="${TELEGRAM_BOT_TOKEN:-$cfg_telegram_bot_token}"
  TELEGRAM_CHAT_ID="${TELEGRAM_CHAT_ID:-$cfg_telegram_chat_id}"
  BACKUP_WEBHOOK_URL="${BACKUP_WEBHOOK_URL:-$cfg_backup_webhook_url}"
+ ZABBIX_SERVER="$(trim_value "${ZABBIX_SERVER:-$cfg_zabbix_server}")"
+ ZABBIX_HOST_NAME="$(trim_value "${ZABBIX_HOST_NAME:-$cfg_zabbix_host_name}")"
+ ZABBIX_ALERT_KEY="$(trim_value "${ZABBIX_ALERT_KEY:-$cfg_zabbix_alert_key}")"
+ ZABBIX_SEQ_KEY="$(trim_value "${ZABBIX_SEQ_KEY:-$cfg_zabbix_seq_key}")"
  LOG_FILE="${LOG_FILE:-$cfg_log_file}"
  LAST_HEARTBEAT_FILE="${LAST_HEARTBEAT_FILE:-$cfg_last_heartbeat_file}"
  LAST_REPORT_FILE="${LAST_REPORT_FILE:-$cfg_last_report_file}"
@@ -224,6 +234,16 @@ load_config() {
  local whitelist_subnets_csv="${WHITELIST_SUBNETS:-$cfg_whitelist_subnets_csv}"
  csv_to_array "$whitelist_ips_csv" WHITELIST_IPS
  csv_to_array "$whitelist_subnets_csv" WHITELIST_SUBNETS
+
+ NOTIFY_ORDER="$(trim_value "${NOTIFY_ORDER:-$cfg_notify_order}")"
+ MAIL_SMTP_HOST="$(trim_value "${MAIL_SMTP_HOST:-$cfg_mail_smtp_host}")"
+ MAIL_SMTP_PORT="${MAIL_SMTP_PORT:-$cfg_mail_smtp_port}"
+ MAIL_SMTP_USER="$(trim_value "${MAIL_SMTP_USER:-$cfg_mail_smtp_user}")"
+ MAIL_SMTP_PASSWORD="${MAIL_SMTP_PASSWORD:-$cfg_mail_smtp_password}"
+ MAIL_FROM="$(trim_value "${MAIL_FROM:-$cfg_mail_from}")"
+ MAIL_TO="$(trim_value "${MAIL_TO:-$cfg_mail_to}")"
+ MAIL_SMTP_STARTTLS="${MAIL_SMTP_STARTTLS:-$cfg_mail_smtp_starttls}"
+ MAIL_SMTP_SSL="${MAIL_SMTP_SSL:-$cfg_mail_smtp_ssl}"
 }
 
 # Дата/время для ежедневного отчёта (час DAILY_REPORT_HOUR и «сегодня» в LAST_REPORT_FILE).
@@ -235,6 +255,62 @@ report_date() {
  fi
 }
 
+is_telegram_configured() {
+ [ -n "${TELEGRAM_BOT_TOKEN:-}" ] && [ -n "${TELEGRAM_CHAT_ID:-}" ]
+}
+
+is_zabbix_configured() {
+ [ -n "${ZABBIX_SERVER:-}" ] && [ -n "${ZABBIX_HOST_NAME:-}" ] && command -v zabbix_sender >/dev/null 2>&1
+}
+
+is_email_configured() {
+ [ -n "${MAIL_SMTP_HOST:-}" ] && [ -n "${MAIL_FROM:-}" ] && [ -n "${MAIL_TO:-}" ] && command -v python3 >/dev/null 2>&1
+}
+
+# Заполняет NOTIFY_CHAIN: при пустом NOTIFY_ORDER — только реально настроенные каналы (telegram → zabbix → email).
+# При непустом NOTIFY_ORDER — ровно указанная очередь (имена каналов), без добавления «лишних».
+refresh_notify_chain() {
+ NOTIFY_CHAIN=()
+ local order_raw
+ order_raw="$(trim_value "${NOTIFY_ORDER:-}")"
+
+ if [ -z "$order_raw" ]; then
+ if is_telegram_configured; then
+ NOTIFY_CHAIN+=(telegram)
+ fi
+ if is_zabbix_configured; then
+ NOTIFY_CHAIN+=(zabbix)
+ fi
+ if is_email_configured; then
+ NOTIFY_CHAIN+=(email)
+ fi
+ return 0
+ fi
+
+ local -a raw_toks=()
+ csv_to_array "$order_raw" raw_toks
+ local tok norm
+ for tok in "${raw_toks[@]}"; do
+ norm="${tok,,}"
+ case "$norm" in
+ telegram | tg) NOTIFY_CHAIN+=(telegram) ;;
+ zabbix | zbx) NOTIFY_CHAIN+=(zabbix) ;;
+ email | mail) NOTIFY_CHAIN+=(email) ;;
+ *)
+ printf 'WARN: NOTIFY_ORDER: неизвестный токен «%s», пропускаю\n' "$tok" >&2
+ ;;
+ esac
+ done
+}
+
+notify_chain_human() {
+ if [ "${#NOTIFY_CHAIN[@]}" -eq 0 ]; then
+ printf '%s' "нет активных каналов"
+ return 0
+ fi
+ (IFS=','; printf '%s' "${NOTIFY_CHAIN[*]}")
+}
+
 validate_config() {
  validate_report_hour
  validate_numeric_or_default "BAN_TIME" "3600"
@@ -245,6 +321,8 @@ validate_config() {
  validate_numeric_or_default "BRUTE_WINDOW_SEC" "900"
  validate_numeric_or_default "BRUTE_MIN_FAILS" "30"
  validate_numeric_or_default "BRUTE_NOTIFY_COOLDOWN_SEC" "3600"
+ validate_numeric_or_default "MAIL_SMTP_PORT" "587"
+ refresh_notify_chain
 }
 
 # ============================================
@@ -365,9 +443,86 @@ write_log() {
 }
 
 # ============================================
-# УВЕДОМЛЕНИЯ: Telegram + резервный webhook
+# УВЕДОМЛЕНИЯ: telegram / zabbix / email (каскад по NOTIFY_CHAIN)
 # ============================================
 
+send_email_raw() {
+ local message="$1"
+ [ -n "$message" ] || return 1
+ is_email_configured || return 1
+
+ local use_ssl use_starttls
+ use_ssl="${MAIL_SMTP_SSL:-0}"
+ use_starttls="${MAIL_SMTP_STARTTLS:-1}"
+
+ if MAIL_BODY="$message" \
+ MAIL_SMTP_HOST="$MAIL_SMTP_HOST" \
+ MAIL_SMTP_PORT="${MAIL_SMTP_PORT:-587}" \
+ MAIL_SMTP_USER="${MAIL_SMTP_USER:-}" \
+ MAIL_SMTP_PASSWORD="${MAIL_SMTP_PASSWORD:-}" \
+ MAIL_FROM="$MAIL_FROM" \
+ MAIL_TO="$MAIL_TO" \
+ MAIL_USE_SSL="$use_ssl" \
+ MAIL_USE_STARTTLS="$use_starttls" \
+ python3 - <<'PY'
+import os, smtplib, ssl, sys, socket
+from email.message import EmailMessage
+
+host = (os.environ.get("MAIL_SMTP_HOST") or "").strip()
+if not host:
+    sys.exit(1)
+try:
+    port = int(os.environ.get("MAIL_SMTP_PORT") or "587")
+except ValueError:
+    port = 587
+
+from_addr = (os.environ.get("MAIL_FROM") or "").strip()
+to_raw = (os.environ.get("MAIL_TO") or "").strip()
+if not from_addr or not to_raw:
+    sys.exit(1)
+recipients = [x.strip() for x in to_raw.split(",") if x.strip()]
+if not recipients:
+    sys.exit(1)
+
+user = (os.environ.get("MAIL_SMTP_USER") or "").strip()
+password = os.environ.get("MAIL_SMTP_PASSWORD") or ""
+use_ssl = (os.environ.get("MAIL_USE_SSL") or "0").strip() in ("1", "true", "yes", "on")
+use_starttls = (os.environ.get("MAIL_USE_STARTTLS") or "1").strip() in ("1", "true", "yes", "on")
+
+body = os.environ.get("MAIL_BODY") or ""
+
+msg = EmailMessage()
+msg["Subject"] = "[ssh-monitor] " + socket.gethostname()
+msg["From"] = from_addr
+msg["To"] = ", ".join(recipients)
+msg.set_content(body, charset="utf-8")
+
+ctx = ssl.create_default_context()
+try:
+    if use_ssl:
+        with smtplib.SMTP_SSL(host, port, context=ctx, timeout=30) as s:
+            if user:
+                s.login(user, password)
+            s.send_message(msg)
+    else:
+        with smtplib.SMTP(host, port, timeout=30) as s:
+            s.ehlo()
+            if use_starttls:
+                s.starttls(context=ctx)
+                s.ehlo()
+            if user:
+                s.login(user, password)
+            s.send_message(msg)
+except Exception:
+    sys.exit(1)
+sys.exit(0)
+PY
+ then
+ return 0
+ fi
+ return 1
+}
+
 send_telegram_raw() {
  local message="$1"
  if [ -z "$TELEGRAM_BOT_TOKEN" ] || [ -z "$TELEGRAM_CHAT_ID" ]; then
@@ -411,20 +566,78 @@ PY
  return 1
 }
 
+send_zabbix_trapper() {
+ local message="${1:-}"
+ [ -n "$message" ] || return 1
+ [ -n "${ZABBIX_SERVER:-}" ] && [ -n "${ZABBIX_HOST_NAME:-}" ] || return 1
+ command -v zabbix_sender >/dev/null 2>&1 || return 1
+
+ local key_al="${ZABBIX_ALERT_KEY:-ssh.monitor.alert}"
+ local key_sq="${ZABBIX_SEQ_KEY:-ssh.monitor.seq}"
+ [ -n "$key_al" ] || key_al="ssh.monitor.alert"
+ [ -n "$key_sq" ] || key_sq="ssh.monitor.seq"
+
+ local one_line
+ one_line="$(printf '%s' "$message" | tr '\n\r\t' '   ')"
+ local max_len=60000
+ if [ "${#one_line}" -gt "$max_len" ]; then
+ one_line="${one_line:0:$max_len}..."
+ fi
+
+ ZABBIX_EVENT_SEQ=$((ZABBIX_EVENT_SEQ + 1))
+
+ local tmp
+ tmp="$(mktemp "${TMPDIR:-/tmp}/ssh-monitor.zbx.XXXXXX" 2>/dev/null)" || return 1
+ {
+ printf '%s\t%s\n' "$key_al" "$one_line"
+ printf '%s\t%s\n' "$key_sq" "$ZABBIX_EVENT_SEQ"
+ } >"$tmp" || {
+ rm -f "$tmp"
+ return 1
+ }
+
+ if zabbix_sender -z "$ZABBIX_SERVER" -s "$ZABBIX_HOST_NAME" -i "$tmp" >/dev/null 2>&1; then
+ rm -f "$tmp"
+ return 0
+ fi
+ rm -f "$tmp"
+ return 1
+}
+
 notify_send() {
  local message="$1"
  if [ "${DRY_RUN:-0}" = "1" ]; then
  printf '[DRY-RUN notify] %s\n' "$(printf '%s' "$message" | tr '\n' ' ')" >&2
  return 0
  fi
+
+ local ch
+ for ch in "${NOTIFY_CHAIN[@]}"; do
+ case "$ch" in
+ telegram)
  if send_telegram_raw "$message"; then
  return 0
  fi
- if send_backup_webhook_raw "$message"; then
- write_log "WARN: Telegram недоступен, сообщение ушло в BACKUP_WEBHOOK_URL"
+ ;;
+ zabbix)
+ if send_zabbix_trapper "$message"; then
  return 0
  fi
- write_log "WARN: не удалось отправить уведомление (Telegram и резервный канал)"
+ ;;
+ email)
+ if send_email_raw "$message"; then
+ return 0
+ fi
+ ;;
+ esac
+ done
+
+ if send_backup_webhook_raw "$message"; then
+ write_log "WARN: основные каналы недоступны, сообщение ушло в BACKUP_WEBHOOK_URL"
+ return 0
+ fi
+
+ write_log "WARN: не удалось доставить уведомление (каналы: $(notify_chain_human); BACKUP_WEBHOOK не задан или недоступен)"
  return 1
 }
 
@@ -721,45 +934,18 @@ extract_ssh_client_ip() {
  printf '%s' "$ip"
 }
 
-# Единая логика меток для SSH / sudo / logind:
-# нет файла или в нём не положительное unix-время → записать «сейчас», залогировать,
-# вернуть 0 (вызывающий пропускает разбор бэклога). Иначе: CHECKPOINT_STAMP=метка, вернуть 1.
-CHECKPOINT_STAMP=""
-checkpoint_stamp_init_if_bad() {
- local path="$1"
- local log_label="$2"
- CHECKPOINT_STAMP=""
- local ts
- ts=$(date '+%s')
- if [ ! -f "$path" ]; then
- echo "$ts" >"$path" || true
- write_log "${log_label}: первый запуск — создан ${path}; бэклог не обрабатывается."
- return 0
- fi
- local raw
- raw="$(tr -d ' \t\r\n' <"$path" 2>/dev/null || true)"
- if ! [[ "$raw" =~ ^[0-9]+$ ]] || [ "${raw:-0}" -le 0 ]; then
- echo "$ts" >"$path" || true
- write_log "${log_label}: в ${path} ожидается положительное unix-время; значение пересоздано, бэклог не обрабатывается."
- return 0
- fi
- CHECKPOINT_STAMP="$raw"
- return 1
-}
-
 # ============================================
 # Мониторинг SSH
 # ============================================
 
 monitor_ssh() {
+ local last_check="0"
+ if [ -f "$LAST_SSH_CHECK_FILE" ]; then
+ last_check="$(<"$LAST_SSH_CHECK_FILE")"
+ fi
  local current_time
  current_time=$(date '+%s')
 
- if checkpoint_stamp_init_if_bad "$LAST_SSH_CHECK_FILE" "SSH-мониторинг"; then
- return 0
- fi
- local last_check="$CHECKPOINT_STAMP"
-
  local ssh_logs=""
  if command -v journalctl >/dev/null 2>&1; then
  ssh_logs=$(journalctl -u ssh -u sshd --since="@${last_check}" --until="now" 2>/dev/null | grep -E "Accepted|Failed|Disconnected" || true)
@@ -873,15 +1059,22 @@ parse_sudo_audit_line() {
 }
 
 monitor_sudo() {
+ local last_check="0"
+ if [ -f "$LAST_SUDO_CHECK_FILE" ]; then
+ last_check="$(<"$LAST_SUDO_CHECK_FILE")"
+ fi
+ if ! [[ "$last_check" =~ ^[0-9]+$ ]]; then
+ last_check=0
+ fi
  local current_time
  current_time=$(date '+%s')
 
- if checkpoint_stamp_init_if_bad "$LAST_SUDO_CHECK_FILE" "SUDO-мониторинг"; then
- return 0
+ local since_journal
+ if [ "$last_check" -eq 0 ]; then
+ since_journal="--since=-30m"
+ else
+ since_journal="--since=@${last_check}"
  fi
- local last_check="$CHECKPOINT_STAMP"
-
- local since_journal="--since=@${last_check}"
 
  local sudo_logs=""
  if command -v journalctl >/dev/null 2>&1; then
@@ -1009,35 +1202,6 @@ logind_session_type() {
  loginctl show-session "$sid" -p Type 2>/dev/null | sed -n 's/^Type=//p' | tr -d '[:space:]'
 }
 
-# Не слать второе Telegram при LOGIND_SKIP_REMOTE: сессия уже покрыта monitor_ssh.
-# Часто Type=ssh; на многих дистрибутивах SSH — это Type=tty + Service=sshd (или путь к sshd).
-# Пустой ответ loginctl на первом запросе возможен из-за гонки с journal — несколько коротких повторов.
-logind_session_is_ssh_duplicate_for_notify() {
- local sid="$1"
- [ -z "$sid" ] && return 1
- if ! command -v loginctl >/dev/null 2>&1; then
- return 1
- fi
- local attempt st svc svc_lc
- for attempt in 1 2 3 4 5; do
- local props
- props=$(loginctl show-session "$sid" -p Type -p Service 2>/dev/null || true)
- st=$(printf '%s\n' "$props" | sed -n 's/^Type=//p' | head -n1 | tr -d '[:space:]')
- svc=$(printf '%s\n' "$props" | sed -n 's/^Service=//p' | head -n1 | tr -d '[:space:]')
- svc_lc=$(printf '%s' "$svc" | tr '[:upper:]' '[:lower:]')
- if [ "$st" = "ssh" ] || [[ "$svc_lc" == *sshd* ]]; then
- return 0
- fi
- if [ -n "$st" ] || [ -n "$svc" ]; then
- return 1
- fi
- if [ "$attempt" -lt 5 ]; then
- sleep 0.2
- fi
- done
- return 1
-}
-
 parse_logind_new_session() {
  local line="$1"
  local -n out_sid="$2"
@@ -1065,16 +1229,24 @@ monitor_logind() {
  return 0
  fi
 
+ local last_check="0"
+ if [ -f "$LAST_LOGIND_CHECK_FILE" ]; then
+ last_check="$(<"$LAST_LOGIND_CHECK_FILE")"
+ fi
+ if ! [[ "$last_check" =~ ^[0-9]+$ ]]; then
+ last_check=0
+ fi
+
+ local since_journal
+ if [ "$last_check" -eq 0 ]; then
+ since_journal="--since=-30m"
+ else
+ since_journal="--since=@${last_check}"
+ fi
+
  local current_time
  current_time=$(date '+%s')
 
- if checkpoint_stamp_init_if_bad "$LAST_LOGIND_CHECK_FILE" "LOGIND-мониторинг"; then
- return 0
- fi
- local last_check="$CHECKPOINT_STAMP"
-
- local since_journal="--since=@${last_check}"
-
  local logind_lines
  logind_lines=$(journalctl -u systemd-logind $since_journal --until="now" -o cat --no-pager 2>/dev/null || true)
 
@@ -1089,8 +1261,10 @@ monitor_logind() {
  local sid="" user=""
  if parse_logind_new_session "$line" sid user; then
  if [ "${LOGIND_SKIP_REMOTE:-1}" = "1" ] && [ -n "$sid" ]; then
- if logind_session_is_ssh_duplicate_for_notify "$sid"; then
- write_log "LOGIND: новая сессия (SSH уже в monitor_ssh, Telegram пропущен): ${line}"
+ local st
+ st=$(logind_session_type "$sid")
+ if [ "$st" = "ssh" ]; then
+ write_log "LOGIND: новая сессия (тип ssh, уведомление от ssh-monitor): ${line}"
  continue
  fi
  fi
@@ -1279,28 +1453,6 @@ check_daily_report() {
 # Heartbeat
 # ============================================
 
-# Для уведомлений: «hostname (IPv4)»; без доступного IPv4 — только hostname.
-server_display_name_with_ip() {
- local hn ip
- hn=$(hostname 2>/dev/null | tr -d '\r\n')
- [ -z "$hn" ] && hn="(unknown)"
- ip=""
- if command -v ip >/dev/null 2>&1; then
- ip=$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
- [ -z "$ip" ] && ip=$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
- fi
- if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1; then
- if hostname -I >/dev/null 2>&1; then
- ip=$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)
- fi
- fi
- if [ -n "$ip" ]; then
- printf '%s (%s)' "$hn" "$ip"
- else
- printf '%s' "$hn"
- fi
-}
-
 send_heartbeat() {
  local timestamp
  timestamp=$(date '+%s')
@@ -1308,7 +1460,7 @@ send_heartbeat() {
  timestamp_human=$(date '+%d.%m.%Y %H:%M:%S')
 
  local message=" ❤️ Heartbeat - скрипт мониторинга работает "$'\n'
- message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
+ message="${message}🖥️ Сервер: $(hostname)"$'\n'
  message="${message}🕐 Время: ${timestamp_human}"
 
  notify_send "$message"
@@ -1341,7 +1493,7 @@ write_health_and_metrics() {
  ts=$(date '+%s')
  if [ -n "${HEALTHCHECK_STATUS_FILE:-}" ]; then
  mkdir -p "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || true
- printf '{"ts":%s,"hostname":"%s","version":"%s","dry_run":%s}\n' "$ts" "$(hostname | sed 's/"/\\"/g')" "$(ssh_monitor_version_display | sed 's/"/\\"/g')" "$([[ "${DRY_RUN:-0}" = "1" ]] && echo true || echo false)" >"${HEALTHCHECK_STATUS_FILE}.tmp"
+ printf '{"ts":%s,"hostname":"%s","dry_run":%s}\n' "$ts" "$(hostname | sed 's/"/\\"/g')" "$([[ "${DRY_RUN:-0}" = "1" ]] && echo true || echo false)" >"${HEALTHCHECK_STATUS_FILE}.tmp"
  mv "${HEALTHCHECK_STATUS_FILE}.tmp" "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
  fi
  if [ -n "${PROMETHEUS_TEXTFILE_DIR:-}" ]; then
@@ -1366,13 +1518,14 @@ send_startup_notification() {
  local whitelist_count=$((${#WHITELIST_IPS[@]} + ${#WHITELIST_SUBNETS[@]}))
 
  local message=" ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН "$'\n'
- message="${message}📌 Версия: $(ssh_monitor_version_display)"$'\n'
  message="${message}🖥️ Сервер: $(hostname)"$'\n'
  message="${message}🕐 Время запуска: ${timestamp}"$'\n'
  message="${message}📊 Мониторинг SSH, SUDO и systemd-logind активирован"$'\n'
  message="${message}🚫 Автоблокировка IP после ${MAX_ATTEMPTS} попыток на ${BAN_TIME} секунд"$'\n'
  message="${message}⚪ Белый список: ${whitelist_count} IP/подсетей"$'\n'
- message="${message}❤️ Heartbeat будет отправляться каждые 12 часов"
+ message="${message}❤️ Heartbeat будет отправляться каждые 12 часов"$'\n'
+ message="${message}📢 Каналы уведомлений (каскад): $(notify_chain_human)"$'\n'
+ message="${message}📌 Версия: ${SSH_MONITOR_VERSION:-?}"
 
  notify_send "$message"
  write_log "Скрипт мониторинга запущен (белый список: $whitelist_count записей)"
@@ -1428,8 +1581,10 @@ main() {
 
 run_check_config() {
  printf 'Проверка конфигурации ssh-monitor\n'
- printf 'Версия: %s\n' "$(ssh_monitor_version_display)"
+ printf 'SSH_MONITOR_VERSION=%s\n' "${SSH_MONITOR_VERSION:-}"
  printf 'CONFIG_FILE=%s\n' "$CONFIG_FILE"
+ printf 'NOTIFY_ORDER=%s (пусто = авто: только настроенные, порядок telegram,zabbix,email)\n' "${NOTIFY_ORDER:-}"
+ printf 'NOTIFY_CHAIN (эффективная очередь)=%s\n' "$(notify_chain_human)"
  printf 'TELEGRAM: %s\n' "$([ -n "$TELEGRAM_BOT_TOKEN" ] && echo настроен || echo НЕ настроен)"
  printf 'BACKUP_WEBHOOK_URL: %s\n' "$([ -n "${BACKUP_WEBHOOK_URL:-}" ] && echo настроен || echo не задан)"
  printf 'LOG_FILE=%s\n' "$LOG_FILE"
@@ -1442,6 +1597,20 @@ run_check_config() {
  printf 'ENABLE_LOGIND_MONITOR=%s LAST_LOGIND_CHECK_FILE=%s\n' "${ENABLE_LOGIND_MONITOR:-}" "${LAST_LOGIND_CHECK_FILE:-}"
  printf 'LOGIND_NOTIFY_NEW=%s LOGIND_NOTIFY_REMOVED=%s LOGIND_NOTIFY_FAILED=%s LOGIND_SKIP_REMOTE=%s\n' \
   "${LOGIND_NOTIFY_NEW:-}" "${LOGIND_NOTIFY_REMOVED:-}" "${LOGIND_NOTIFY_FAILED:-}" "${LOGIND_SKIP_REMOTE:-}"
+ printf 'ZABBIX_SERVER=%s ZABBIX_HOST_NAME=%s\n' "${ZABBIX_SERVER:-}" "${ZABBIX_HOST_NAME:-}"
+ printf 'ZABBIX_ALERT_KEY=%s ZABBIX_SEQ_KEY=%s\n' "${ZABBIX_ALERT_KEY:-}" "${ZABBIX_SEQ_KEY:-}"
+ if [ -n "${ZABBIX_SERVER:-}" ] && [ -n "${ZABBIX_HOST_NAME:-}" ]; then
+ if command -v zabbix_sender >/dev/null 2>&1; then
+ printf 'zabbix_sender: найден (%s)\n' "$(command -v zabbix_sender)"
+ else
+ printf 'zabbix_sender: НЕ найден в PATH\n' >&2
+ fi
+ fi
+ printf 'MAIL_SMTP: host=%s port=%s from=%s to=%s STARTTLS=%s SSL=%s\n' \
+  "${MAIL_SMTP_HOST:-}" "${MAIL_SMTP_PORT:-}" "${MAIL_FROM:-}" "${MAIL_TO:-}" \
+  "${MAIL_SMTP_STARTTLS:-}" "${MAIL_SMTP_SSL:-}"
+ printf 'MAIL_SMTP_USER: %s\n' "$([ -n "${MAIL_SMTP_USER:-}" ] && echo задан || echo не задан)"
+ printf 'MAIL_SMTP_PASSWORD: %s\n' "$([ -n "${MAIL_SMTP_PASSWORD:-}" ] && echo задан || echo не задан)"
  if bash -n "$0" 2>/dev/null; then
  printf 'bash -n: OK\n'
  else
@@ -1456,7 +1625,6 @@ parse_args() {
  case "$a" in
  --check-config) CHECK_CONFIG_ONLY=1 ;;
  --dry-run) DRY_RUN=1 ;;
- --version|-V) SHOW_VERSION=1 ;;
  esac
  done
 }
@@ -1467,11 +1635,6 @@ parse_args() {
 
 parse_args "$@"
 
-if [ "$SHOW_VERSION" = "1" ]; then
- printf '%s\n' "$(ssh_monitor_version_display)"
- exit 0
-fi
-
 load_config
 validate_config
 
@@ -1485,7 +1648,7 @@ trap send_shutdown_notification EXIT INT TERM
 mkdir -p "$(dirname "$LOG_FILE")"
 touch "$LOG_FILE"
 
-write_log "ssh-monitor $(ssh_monitor_version_display): конфигурация загружена из $CONFIG_FILE (или дефолты)"
+write_log "Конфигурация загружена из $CONFIG_FILE (или дефолты), версия ${SSH_MONITOR_VERSION:-?}, очередь оповещений: $(notify_chain_human)"
 
 if [ "${DRY_RUN:-0}" = "1" ]; then
  write_log "Режим DRY-RUN: iptables/ip6tables не меняются, уведомления печатаются в stderr"

ssh-monitor.conf.example

@@ -1,9 +1,33 @@
 TELEGRAM_BOT_TOKEN="replace_with_telegram_bot_token"
 TELEGRAM_CHAT_ID="replace_with_telegram_chat_id"
 
-# Резервный webhook при недоступности Telegram (JSON {"text":"..."}, совместимо со Slack Incoming Webhook)
+# Резервный webhook, если все каналы из NOTIFY_CHAIN недоступны (JSON {"text":"..."}).
 BACKUP_WEBHOOK_URL=""
 
+# Очередь оповещений: CSV из telegram, zabbix, email (или tg, zbx, mail).
+# Пусто = авто: в цепочку попадают только настроенные каналы, порядок telegram → zabbix → email.
+# Пример явной очереди: NOTIFY_ORDER="telegram,zabbix,email"
+# Только Telegram: NOTIFY_ORDER="telegram"
+# Только Zabbix: NOTIFY_ORDER="zabbix"
+# Только почта: NOTIFY_ORDER="email"
+NOTIFY_ORDER=""
+
+# Zabbix trapper (zabbix_sender). Нужны ZABBIX_SERVER и ZABBIX_HOST_NAME.
+ZABBIX_SERVER=""
+ZABBIX_HOST_NAME=""
+ZABBIX_ALERT_KEY="ssh.monitor.alert"
+ZABBIX_SEQ_KEY="ssh.monitor.seq"
+
+# SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
+MAIL_SMTP_HOST=""
+MAIL_SMTP_PORT="587"
+MAIL_SMTP_USER=""
+MAIL_SMTP_PASSWORD=""
+MAIL_FROM=""
+MAIL_TO=""
+MAIL_SMTP_STARTTLS="1"
+MAIL_SMTP_SSL="0"
+
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
@@ -18,7 +42,7 @@ ENABLE_LOGIND_MONITOR="1"
 LOGIND_NOTIFY_NEW="1"
 LOGIND_NOTIFY_REMOVED="0"
 LOGIND_NOTIFY_FAILED="1"
-# 1 = не дублировать Telegram для SSH-сессий (Type=ssh или Service=*sshd*, см. README)
+# 1 = не дублировать Telegram для новых сессий с типом ssh (уведомление уже есть из SSH-монитора)
 LOGIND_SKIP_REMOTE="1"
 
 DAILY_REPORT_HOUR="9"