Добавить update_ssh_monitor.sh

Introduce ENABLE_IP_BAN in config and script.
When set to 0, ssh-monitor works in monitor-only mode (alerts without ipset/iptables bans).

Made-with: Cursor

.gitignore

@@ -1,2 +1,4 @@
 .DS_Store
 CalculatorApp/
+# Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
+ssh-monitor-*.tar.gz

IPSET-NOTES.txt

@@ -0,0 +1,24 @@
+ssh-monitor (ветка ipset) — что сделать на сервере
+==================================================
+
+1) apt install ipset
+
+2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
+
+3) Каталог /etc/iptables должен существовать, если нужен save правил:
+   mkdir -p /etc/iptables
+   Скрипт пишет:
+   - /etc/iptables/ipset.rules
+   - /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
+
+4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
+   apt install ipset-persistent
+   либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
+
+5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
+   правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
+
+6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
+   и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
+
+Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.

Makefile

@@ -0,0 +1,12 @@
+# Версия берётся из ssh-monitor (SSH_MONITOR_VERSION).
+.PHONY: dist clean-dist
+VERSION := $(shell sed -n 's/^SSH_MONITOR_VERSION="\(.*\)".*/\1/p' ssh-monitor | head -n1)
+DIST := ssh-monitor-$(VERSION).tar.gz
+
+dist: $(DIST)
+
+$(DIST): ssh-monitor
+	git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD
+
+clean-dist:
+	rm -f ssh-monitor-*.tar.gz

README.md

@@ -1,6 +1,10 @@
 # ssh-monitor
 
-Bash-скрипт мониторинга SSH/SUDO с уведомлениями в Telegram, опциональным резервным webhook, авто-блокировкой IP (IPv4 через `iptables`, IPv6 через `ip6tables` при наличии) и ежедневным отчётом.
+> **Эта папка (`Projects/ssh-monitor`):** основной файл **`ssh-monitor`** — сборка с **ipset** (автобан через набор `hash:ip timeout` и одно правило `-m set`, не отдельное правило на каждый IP). Нюансы установки и восстановления наборов: **`IPSET-NOTES.txt`**.
+
+Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**) и ежедневным отчётом.
+
+**Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 
 ## Конфигурация
 
@@ -10,19 +14,25 @@ Bash-скрипт мониторинга SSH/SUDO с уведомлениями
  - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
 2. Ограничьте доступ:
  - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Заполните минимум:
+3. Заполните минимум — **хотя бы один канал доставки оповещений** (иначе скрипт сразу завершится с ошибкой; см. абзац **«Обязательное условие»** ниже и раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**):
-   - `TELEGRAM_BOT_TOKEN`
+ - для **Telegram**: `TELEGRAM_BOT_TOKEN` и `TELEGRAM_CHAT_ID`;
-   - `TELEGRAM_CHAT_ID`
+ - или настройте **почту (SMTP)** по переменным ниже при `NOTIFY_ORDER=""` (автовыбор каналов).
+
+**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**. Резервный **`BACKUP_WEBHOOK_URL`** в эту проверку **не входит** — он используется только если **ни один** канал из **`NOTIFY_CHAIN`** не смог доставить сообщение.
 
 Поддерживаемые параметры:
 
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
-- `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если Telegram недоступен или вернул ошибку
+- `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
-- `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `BAN_LIST_FILE`
+- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
-- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `DAILY_REPORT_TOP_IPS`
+- `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
+- `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
+- `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
+- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
+- `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
@@ -33,23 +43,34 @@ Bash-скрипт мониторинга SSH/SUDO с уведомлениями
 
 - `TELEGRAM_BOT_TOKEN` — токен Telegram-бота для отправки уведомлений.
 - `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
-- `BACKUP_WEBHOOK_URL` — URL для резервной отправки (тело JSON `{"text":"..."}`).
+- `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
+- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
+- `BACKUP_WEBHOOK_URL` — URL для резервной отправки (тело JSON `{"text":"..."}`); только fallback при сбое основных каналов, **не засчитывается** как «настроенный канал» (см. шаг 3).
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
 - `LAST_SSH_CHECK_FILE` — файл с меткой времени последней проверки SSH-событий.
 - `LAST_SUDO_CHECK_FILE` — файл с меткой времени последней проверки sudo-событий.
 - `LAST_SECURITY_EVENTS_FILE` — метка последней проверки «тяжёлых» событий безопасности в журнале.
+- `LAST_LOGIND_CHECK_FILE` — метка последней обработки журнала `systemd-logind` (unix-время); при первом запуске подтягивается около 30 минут истории.
 - `BAN_LIST_FILE` — файл состояния банов (IP, время окончания бана и метаданные).
+- `ENABLE_LOGIND_MONITOR` — `1` включает опрос `journalctl -u systemd-logind`, `0` полностью отключает этот блок.
+- `LOGIND_NOTIFY_NEW` — `1` отправлять Telegram при появлении новой сессии в logind (строки вида *New session … of user …*).
+- `LOGIND_NOTIFY_REMOVED` — `1` отправлять Telegram при завершении сессии (*Removed session …*); по умолчанию `0` (только запись в `LOG_FILE`, чтобы не заспамить канал).
+- `LOGIND_NOTIFY_FAILED` — `1` отправлять Telegram по строкам logind, содержащим *failed* (широкий фильтр; при необходимости отключите).
+- `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии logind, если доступен `loginctl`, не отправляется второе Telegram, если сессия уже учтена в **`monitor_ssh`**: при **`Type=ssh`** или если **`Service`** указывает на **sshd** (часто **`Type=tty` + `Service=sshd`**); при пустом ответе `loginctl` делаются короткие повторы. Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
+- `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
+- `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
 - `BRUTE_MIN_FAILS` — минимум неудачных попыток за окно для тревоги.
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
 - `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
 - `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
-- `BAN_TIME` — длительность бана IP в секундах.
+- `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
+- `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
 - `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
 - `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
@@ -60,6 +81,29 @@ Bash-скрипт мониторинга SSH/SUDO с уведомлениями
 - `WATCHDOG_SERVICE_NAME` — имя systemd-сервиса, который контролирует watchdog (по умолчанию `ssh-monitor.service`).
 - `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` включает служебные сообщения watchdog при штатном состоянии, `0` отключает.
 
+### Каналы оповещений и пустой NOTIFY_CHAIN
+
+Кратко, что считается **настроенным** каналом (только такие попадают в автоматическую цепочку при **`NOTIFY_ORDER=""`**):
+
+| Канал | Условие «настроен» |
+|--------|-------------------|
+| `telegram` | заданы **`TELEGRAM_BOT_TOKEN`** и **`TELEGRAM_CHAT_ID`** |
+| `email` | непустые **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, в PATH есть **`python3`** |
+
+Если итоговый **`NOTIFY_CHAIN` пуст**, скрипт завершается с сообщением **`Не настроен ни один канал отправки оповещений`** (см. шаг 3 в разделе «Конфигурация» выше).
+
+### Мониторинг systemd-logind
+
+- Собираются сообщения юнита **`systemd-logind`** через **`journalctl`** (`-o cat`): новые и завершённые сессии, а также строки с подстрокой *failed* (если включено).
+- Без **`journalctl`** на хосте этот блок **не работает** (как и часть других функций, завязанных на journal).
+- Для разбора «новой сессии» используются типичные англоязычные форматы (`New session … of user …`). При несовпадении формата строка всё равно попадёт в лог с пометкой о неудачном разборе.
+- **`loginctl`** нужен для **`LOGIND_SKIP_REMOTE`**: по `Type` и **`Service`** решается, не дублировать ли Telegram с **`monitor_ssh`** (см. описание `LOGIND_SKIP_REMOTE` выше).
+- **`monitor_ssh`**: события **sshd** читаются из journal преимущественно как **`journalctl _COMM=sshd`** (запасные варианты — юниты `sshd` / `ssh`), строки **`sort -u`**, для **`Accepted`** в одном проходе — дедуп по **пользователь|IP|порт**; между проходами цикла — пауза **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** для той же пары **пользователь|IP** (см. переменную в конфиге).
+
+Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
+
+Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
+
 ## Режимы запуска
 
 Обычный запуск (root):
@@ -86,12 +130,22 @@ sudo bash ./ssh-monitor --dry-run
 bash -n ./ssh-monitor
 ```
 
-## Автозапуск через systemd
+## Релизный архив
+
+Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (текущая стабильная — **1.0.0**). Сборка tarball из текущего git-дерева:
+
+```bash
+make dist
+```
+
+Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
+
+## Установка скрипта, конфигурации и systemd
 
 1. Скопируйте скрипт в постоянное место:
    - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
-2. Убедитесь, что конфиг есть:
+2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
-   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf` (если еще не создан)
+   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
    - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
 
@@ -129,40 +183,12 @@ sudo journalctl -u ssh-monitor -f
 
 ## Ротация логов
 
-Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE`.
+Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
-
-## Статистика без systemd (`journalctl`)
-
-Для корректного подсчёта событий за последние 24 часа по файлам `/var/log/auth.log*` рекомендуется наличие **Python 3** на сервере. При его отсутствии счётчики в ежедневном отчёте для «классического» syslog могут быть занижены (используется безопасный fallback).
 
 ## Watchdog (автоматическое восстановление)
 
-Watchdog проверяет:
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
 
-- активен ли `ssh-monitor.service`;
+Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
-- не устарел ли heartbeat (`LAST_HEARTBEAT_FILE`).
 
-Если сервис неактивен или heartbeat старше `WATCHDOG_MAX_HEARTBEAT_AGE`, watchdog выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+**Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
-
-### Установка watchdog
-
-1. Установите watchdog-скрипт:
-   - `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
-2. Создайте unit и timer из примеров:
-   - `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
-   - `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
-3. Примените и запустите timer:
-
-```bash
-sudo systemctl daemon-reload
-sudo systemctl enable ssh-monitor-watchdog.timer
-sudo systemctl start ssh-monitor-watchdog.timer
-```
-
-4. Проверка:
-
-```bash
-sudo systemctl status ssh-monitor-watchdog.timer
-sudo systemctl list-timers | grep ssh-monitor-watchdog
-sudo journalctl -u ssh-monitor-watchdog.service -f
-```

docs/install-prerequisites.ru.md

@@ -0,0 +1,147 @@
+# Системные зависимости и установка окружения
+
+Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
+
+## 1. Что должно быть на хосте
+
+### Обязательно
+
+| Назначение | Что используется | Примечание |
+|------------|------------------|------------|
+| Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
+| Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
+| Telegram | **curl** | Запросы к `api.telegram.org`. |
+| Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
+| Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
+
+Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
+
+### Настоятельно рекомендуется (полный функционал)
+
+| Назначение | Что используется |
+|------------|------------------|
+| Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
+| Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
+| Удобный просмотр логов сервиса | **`journalctl`** |
+
+На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
+
+### Утилиты из «базовой» системы
+
+Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
+
+---
+
+## 2. Пошаговая установка пакетов (Debian / Ubuntu)
+
+Выполняйте от пользователя с `sudo`.
+
+**Шаг 1.** Обновить индексы пакетов:
+
+```bash
+sudo apt update
+```
+
+**Шаг 2.** Минимум для Telegram и бана по firewall:
+
+```bash
+sudo apt install -y iptables curl
+```
+
+При необходимости IPv6 (если на сервере используется `ip6tables`):
+
+```bash
+sudo apt install -y ip6tables
+```
+
+(На многих образах **ip6tables** уже входит в метапакет с iptables.)
+
+**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
+
+```bash
+sudo apt install -y python3
+```
+
+**Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
+
+**Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
+
+```bash
+sudo apt install -y iptables-persistent netfilter-persistent
+```
+
+Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
+
+---
+
+## 3. Другие дистрибутивы
+
+Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
+
+Примеры:
+
+- **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
+- **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
+
+---
+
+## 4. Системы без `journalctl` (классический syslog)
+
+- События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
+- **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
+- Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
+
+---
+
+## 5. Конфликты с UFW / другими обёртками firewall
+
+Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
+
+```bash
+sudo iptables -L INPUT -n -v --line-numbers
+```
+
+При необходимости согласуйте порядок с вашей схемой управления firewall.
+
+---
+
+## 6. Опционально: watchdog
+
+Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
+
+**Установка:**
+
+1. Скопируйте скрипт:  
+   `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
+2. Установите unit и timer:  
+   `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`  
+   `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
+3. Включите timer:
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl enable ssh-monitor-watchdog.timer
+sudo systemctl start ssh-monitor-watchdog.timer
+```
+
+4. Проверка:
+
+```bash
+sudo systemctl status ssh-monitor-watchdog.timer
+sudo systemctl list-timers | grep ssh-monitor-watchdog
+sudo journalctl -u ssh-monitor-watchdog.service -f
+```
+
+Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
+
+---
+
+## 7. Краткий чек-лист перед первым запуском
+
+- [ ] Установлены **iptables** (и при необходимости **ip6tables**).
+- [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
+- [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
+- [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
+- [ ] (По желанию) настроено сохранение правил после перезагрузки.
+
+Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).

ssh-monitor.conf.example

@@ -1,27 +1,79 @@
 TELEGRAM_BOT_TOKEN="replace_with_telegram_bot_token"
 TELEGRAM_CHAT_ID="replace_with_telegram_chat_id"
 
-# Резервный webhook при недоступности Telegram (JSON {"text":"..."}, совместимо со Slack Incoming Webhook)
+# Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
+# ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
+# скрипт сразу завершится с ошибкой в stderr: «Не настроен ни один канал отправки оповещений» (код 1),
+# в том числе при --check-config и --dry-run. Сначала настройте Telegram или SMTP ниже.
 BACKUP_WEBHOOK_URL=""
 
+# --- Очередь оповещений (NOTIFY_ORDER) ---
+# CSV: telegram, email (или сокращения tg, mail).
+# При каждом событии скрипт ПЫТАЕТСЯ ОТПРАВИТЬ ВО ВСЕ перечисленные каналы по порядку (не только в первый успешный).
+# Неудача одного канала не отменяет отправку в остальные; подробности — в LOG_FILE (WARN по каналам).
+#
+# Пустая строка NOTIFY_ORDER="" = авто: в цепочку NOTIFY_CHAIN попадают ТОЛЬКО реально настроенные каналы,
+# порядок по умолчанию: telegram → email (см. критерии «настроен» в README, раздел про каналы).
+#
+# Если после сборки цепочки каналов список ПУСТ (ни один канал не настроен, либо в NOTIFY_ORDER только
+# неизвестные токены), скрипт НЕ запускает мониторинг и выходит с ошибкой:
+#   Не настроен ни один канал отправки оповещений
+#
+# Примеры явной очереди:
+# NOTIFY_ORDER="telegram,email"
+# NOTIFY_ORDER="telegram"
+# NOTIFY_ORDER="email"
+NOTIFY_ORDER=""
+
+# SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
+MAIL_SMTP_HOST=""
+MAIL_SMTP_PORT="587"
+MAIL_SMTP_USER=""
+MAIL_SMTP_PASSWORD=""
+MAIL_FROM=""
+MAIL_TO=""
+MAIL_SMTP_STARTTLS="1"
+MAIL_SMTP_SSL="0"
+
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
 LAST_SSH_CHECK_FILE="/var/log/last_ssh_check"
 LAST_SUDO_CHECK_FILE="/var/log/last_sudo_check"
 LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
+LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 
+# 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
+ENABLE_IP_BAN="1"
+
+# systemd-logind: 1 = включено, 0 = выключено
+ENABLE_LOGIND_MONITOR="1"
+LOGIND_NOTIFY_NEW="1"
+LOGIND_NOTIFY_REMOVED="0"
+LOGIND_NOTIFY_FAILED="1"
+# 1 = не дублировать Telegram для SSH-сессий logind (Type=ssh или Service=*sshd*; см. README)
+LOGIND_SKIP_REMOTE="1"
+
 DAILY_REPORT_HOUR="9"
 # IANA-зона для «9:00» и календарной даты отчёта; пусто = как у команды date (обычно локаль сервера, см. timedatectl)
 DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
+# IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
+NOTIFY_TZ=""
+# Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
+SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
 
 BAN_TIME="3600"
 MAX_ATTEMPTS="3"
 BAN_CHECK_INTERVAL="60"
 MONITOR_INTERVAL="10"
 
+# --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
+# IPSET_NAME_V4="ssh_monitor_ban"
+# IPSET_NAME_V6="ssh_monitor_ban_v6"
+# IPSET_MAXELEM="1048576"
+
 # Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
 BRUTE_WINDOW_SEC="900"
 BRUTE_MIN_FAILS="30"

update_ssh_monitor.sh

@@ -0,0 +1,365 @@
+#!/bin/bash
+
+# === Конфигурация скрипта ===
+UPDATE_DIR="/opt/scripts/update"
+SCRIPT_NAME="ssh-monitor"
+REPO_URL="https://git.kalinamall.ru/PapaTramp/ssh-monitor.git"
+LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
+LOG_FILE="/var/log/update_script.log"
+
+# Режим отладки: 1 = включён, 0 = выключен
+DEBUG=0
+
+# === Список переменных, объявленных в скрипте (для логирования при DEBUG=1) ===
+SCRIPT_VARS=("UPDATE_DIR" "SCRIPT_NAME" "REPO_URL" "LOCAL_SCRIPT_PATH" "LOG_FILE" "DEBUG" "REMOTE_SCRIPT_PATH" "LOCAL_CHECKSUM" "REMOTE_CHECKSUM")
+
+# === Функции ===
+
+# Основная функция логирования
+log_message() {
+    local level="$1"
+    local message="$2"
+    local timestamp
+    timestamp="$(date '+%Y-%m-%d %H:%M:%S')"
+    
+    # Создаём лог-файл и директорию при необходимости
+    if [ ! -f "$LOG_FILE" ]; then
+        mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null
+        touch "$LOG_FILE" 2>/dev/null
+    fi
+    
+    if [ "$level" = "INFO" ]; then
+        echo "$timestamp INFO: $message" >> "$LOG_FILE"
+    elif [ "$level" = "DEBUG" ] && [ "$DEBUG" -eq 1 ]; then
+        echo "$timestamp DEBUG: $message" >> "$LOG_FILE"
+    elif [ "$level" = "ERROR" ]; then
+        echo "$timestamp ERROR: $message" >> "$LOG_FILE"
+    fi
+}
+
+# Функция для логирования шагов с комментариями (работает только при DEBUG=1)
+debug_step() {
+    if [ "$DEBUG" -eq 1 ]; then
+        log_message "DEBUG" "# $1"
+    fi
+}
+
+# Функция для логирования только объявленных в скрипте переменных
+log_script_vars() {
+    if [ "$DEBUG" -eq 1 ]; then
+        log_message "DEBUG" "=== Значения переменных скрипта ==="
+        for var_name in "${SCRIPT_VARS[@]}"; do
+            local var_value="${!var_name}"
+            log_message "DEBUG" "$var_name='$var_value'"
+        done
+        log_message "DEBUG" "=== Конец списка переменных ==="
+    fi
+}
+
+# === КРИТИЧЕСКАЯ ФУНКЦИЯ: Проверка и установка ipset ===
+ensure_ipset_installed() {
+    debug_step "Проверяем наличие ipset в системе"
+    
+    # Проверяем, установлен ли ipset
+    if ! command -v ipset &>/dev/null; then
+        log_message "INFO" "ipset not found. Attempting silent installation..."
+        debug_step "ipset не обнаружен, начинаем установку в silent режиме"
+        
+        # Определяем пакетный менеджер и устанавливаем ipset
+        if command -v apt-get &>/dev/null || command -v apt &>/dev/null; then
+            debug_step "Обнаружен Debian/Ubuntu, используем apt"
+            log_message "INFO" "Detected apt package manager, installing ipset..."
+            
+            # Тихая установка через apt
+            if apt-get update -qq >/dev/null 2>&1 && apt-get install -y -qq ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via apt"
+                debug_step "ipset успешно установлен через apt"
+            else
+                log_message "ERROR" "Failed to install ipset via apt"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через apt"
+                return 1
+            fi
+            
+        elif command -v yum &>/dev/null; then
+            debug_step "Обнаружен RHEL/CentOS, используем yum"
+            log_message "INFO" "Detected yum package manager, installing ipset..."
+            
+            if yum install -y -q ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via yum"
+                debug_step "ipset успешно установлен через yum"
+            else
+                log_message "ERROR" "Failed to install ipset via yum"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через yum"
+                return 1
+            fi
+            
+        elif command -v dnf &>/dev/null; then
+            debug_step "Обнаружен Fedora/RHEL 8+, используем dnf"
+            log_message "INFO" "Detected dnf package manager, installing ipset..."
+            
+            if dnf install -y -q ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via dnf"
+                debug_step "ipset успешно установлен через dnf"
+            else
+                log_message "ERROR" "Failed to install ipset via dnf"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через dnf"
+                return 1
+            fi
+            
+        elif command -v pacman &>/dev/null; then
+            debug_step "Обнаружен Arch Linux, используем pacman"
+            log_message "INFO" "Detected pacman package manager, installing ipset..."
+            
+            if pacman -S --noconfirm --quiet ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via pacman"
+                debug_step "ipset успешно установлен через pacman"
+            else
+                log_message "ERROR" "Failed to install ipset via pacman"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через pacman"
+                return 1
+            fi
+            
+        elif command -v zypper &>/dev/null; then
+            debug_step "Обнаружен openSUSE, используем zypper"
+            log_message "INFO" "Detected zypper package manager, installing ipset..."
+            
+            if zypper --quiet --non-interactive install ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via zypper"
+                debug_step "ipset успешно установлен через zypper"
+            else
+                log_message "ERROR" "Failed to install ipset via zypper"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через zypper"
+                return 1
+            fi
+            
+        else
+            log_message "ERROR" "Unsupported package manager. Cannot install ipset"
+            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+            debug_step "КРИТИЧЕСКАЯ ОШИБКА: Пакетный менеджер не распознан"
+            return 1
+        fi
+        
+        # Проверяем, что ipset действительно установился
+        if ! command -v ipset &>/dev/null; then
+            log_message "ERROR" "ipset installation verification failed"
+            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+            debug_step "КРИТИЧЕСКАЯ ОШИБКА: ipset не обнаружен после установки"
+            return 1
+        fi
+        
+    else
+        debug_step "ipset уже установлен в системе"
+        log_message "INFO" "ipset is already installed"
+        
+        # Проверяем версию ipset (информационно)
+        if [ "$DEBUG" -eq 1 ]; then
+            local ipset_version=$(ipset --version 2>&1)
+            log_message "DEBUG" "ipset version: $ipset_version"
+        fi
+    fi
+    
+    log_message "INFO" "ipset check/installation completed successfully"
+    return 0
+}
+
+# === Гарантированное создание директорий ===
+ensure_directories() {
+    debug_step "Проверяем и создаём необходимые директории"
+    
+    # Создаём UPDATE_DIR если не существует
+    if [ ! -d "$UPDATE_DIR" ]; then
+        log_message "INFO" "Creating directory: $UPDATE_DIR"
+        debug_step "Директория $UPDATE_DIR не существует, создаём"
+        if mkdir -p "$UPDATE_DIR" 2>/dev/null; then
+            log_message "INFO" "Directory created successfully"
+        else
+            log_message "INFO" "ERROR: Cannot create directory $UPDATE_DIR"
+            return 1
+        fi
+    else
+        debug_step "Директория $UPDATE_DIR уже существует"
+    fi
+    
+    # Проверяем права на запись
+    if [ ! -w "$UPDATE_DIR" ]; then
+        log_message "INFO" "WARNING: Directory $UPDATE_DIR is not writable"
+        debug_step "ПРЕДУПРЕЖДЕНИЕ: Нет прав на запись в $UPDATE_DIR"
+        return 1
+    fi
+    
+    return 0
+}
+
+# Функция для обновления скрипта
+update_script() {
+    log_message "INFO" "Starting script update..."
+    debug_step "Запуск функции обновления скрипта"
+
+    # Гарантируем наличие директории
+    debug_step "Гарантируем наличие директории для работы"
+    if ! ensure_directories; then
+        return 1
+    fi
+
+    # Переходим в директорию для клона репозитория
+    debug_step "Переходим в директорию для клона репозитория: $UPDATE_DIR"
+    if ! cd "$UPDATE_DIR" 2>/dev/null; then
+        log_message "INFO" "ERROR: Cannot cd to $UPDATE_DIR"
+        return 1
+    fi
+
+    # Клонируем или обновляем репозиторий
+    debug_step "Проверяем наличие репозитория и обновляем/клонируем"
+    if [ -d "$SCRIPT_NAME" ]; then
+        log_message "INFO" "Repository exists, pulling updates..."
+        debug_step "Выполняем git pull origin main"
+        if ! git -C "$SCRIPT_NAME" pull origin main >> "$LOG_FILE" 2>&1; then
+            log_message "INFO" "WARNING: git pull failed, continuing with existing local copy..."
+        fi
+    else
+        log_message "INFO" "Cloning repository from $REPO_URL"
+        debug_step "Выполняем git clone $REPO_URL $SCRIPT_NAME"
+        if ! git clone "$REPO_URL" "$SCRIPT_NAME" >> "$LOG_FILE" 2>&1; then
+            log_message "INFO" "ERROR: git clone failed"
+            return 1
+        fi
+    fi
+
+    # Формируем путь к скрипту в репозитории (основной и альтернативный)
+    REMOTE_SCRIPT_PATH="$UPDATE_DIR/$SCRIPT_NAME/src/branch/main/$SCRIPT_NAME"
+    ALT_REMOTE_PATH="$UPDATE_DIR/$SCRIPT_NAME/$SCRIPT_NAME"
+    
+    debug_step "Основной путь к скрипту: $REMOTE_SCRIPT_PATH"
+    debug_step "Альтернативный путь к скрипту: $ALT_REMOTE_PATH"
+
+    # Определяем реальный путь к скрипту
+    local actual_script_path=""
+    if [ -f "$REMOTE_SCRIPT_PATH" ]; then
+        actual_script_path="$REMOTE_SCRIPT_PATH"
+        debug_step "Скрипт найден по основному пути"
+    elif [ -f "$ALT_REMOTE_PATH" ]; then
+        actual_script_path="$ALT_REMOTE_PATH"
+        log_message "INFO" "Script found at alternative path"
+        debug_step "Скрипт найден по альтернативному пути"
+    fi
+
+    # Проверяем наличие файла скрипта в репозитории
+    if [ -n "$actual_script_path" ] && [ -f "$actual_script_path" ]; then
+        log_message "INFO" "Remote script found. Comparing checksums..."
+        debug_step "Проверяем наличие файла скрипта в репозитории"
+
+        # Проверяем существование локального скрипта
+        if [ ! -f "$LOCAL_SCRIPT_PATH" ]; then
+            log_message "INFO" "Local script not found. Will install new one."
+            LOCAL_CHECKSUM=""
+            debug_step "Локальный скрипт отсутствует, будет установлен новый"
+        else
+            debug_step "Вычисляем контрольную сумму локального скрипта"
+            LOCAL_CHECKSUM=$(sha256sum "$LOCAL_SCRIPT_PATH" 2>/dev/null | awk '{print $1}')
+        fi
+        
+        debug_step "Вычисляем контрольную сумму удалённого скрипта"
+        REMOTE_CHECKSUM=$(sha256sum "$actual_script_path" 2>/dev/null | awk '{print $1}')
+
+        # Сравниваем контрольные суммы
+        debug_step "Сравниваем контрольные суммы"
+        if [ "$LOCAL_CHECKSUM" != "$REMOTE_CHECKSUM" ]; then
+            log_message "INFO" "Checksums differ. Updating $LOCAL_SCRIPT_PATH..."
+            debug_step "Контрольные суммы различаются, начинаем обновление"
+
+            # Создаем бекап текущего скрипта если он существует
+            if [ -f "$LOCAL_SCRIPT_PATH" ]; then
+                debug_step "Создаем резервную копию текущего скрипта"
+                cp "$LOCAL_SCRIPT_PATH" "${LOCAL_SCRIPT_PATH}.backup.$(date +%Y%m%d_%H%M%S)" 2>/dev/null
+            fi
+
+            debug_step "Копируем новый скрипт в $LOCAL_SCRIPT_PATH"
+            if ! cp "$actual_script_path" "$LOCAL_SCRIPT_PATH"; then
+                log_message "INFO" "ERROR: Failed to copy script"
+                return 1
+            fi
+
+            debug_step "Делаем скрипт исполняемым"
+            chmod +x "$LOCAL_SCRIPT_PATH"
+
+            log_message "INFO" "Script updated successfully."
+            debug_step "Скрипт успешно обновлен"
+
+            # Перезапускаем сервис
+            debug_step "Перезапускаем сервис ssh-monitor.service"
+            if command -v systemctl &>/dev/null; then
+                if systemctl restart ssh-monitor.service 2>/dev/null; then
+                    log_message "INFO" "Service restarted successfully."
+                    debug_step "Сервис успешно перезапущен"
+                else
+                    log_message "INFO" "WARNING: Failed to restart service (may not be running)"
+                    debug_step "ПРЕДУПРЕЖДЕНИЕ: Не удалось перезапустить сервис"
+                fi
+            else
+                log_message "INFO" "systemctl not found, service not restarted"
+                debug_step "systemctl не найден, сервис не перезапущен"
+            fi
+        else
+            log_message "INFO" "Checksums match. No update needed."
+            debug_step "Контрольные суммы совпадают, обновление не требуется"
+        fi
+    else
+        log_message "INFO" "No remote script found. No update needed."
+        debug_step "Удаленный скрипт не найден ни по одному из путей"
+        
+        # Информация для отладки
+        if [ "$DEBUG" -eq 1 ]; then
+            debug_step "Содержимое директории репозитория:"
+            if [ -d "$UPDATE_DIR/$SCRIPT_NAME" ]; then
+                find "$UPDATE_DIR/$SCRIPT_NAME" -type f -name "$SCRIPT_NAME" 2>/dev/null | while read -r found_file; do
+                    log_message "DEBUG" "Найден файл: $found_file"
+                done
+            fi
+        fi
+    fi
+
+    # Логируем значения переменных скрипта при DEBUG=1
+    log_script_vars
+    
+    return 0
+}
+
+# === Основной блок выполнения ===
+
+log_message "INFO" "=== Script update started ==="
+debug_step "Инициализация скрипта обновления"
+
+# 1. Гарантируем создание необходимых директорий
+if ! ensure_directories; then
+    log_message "INFO" "ERROR: Failed to ensure directories. Exiting."
+    exit 1
+fi
+
+# 2. КРИТИЧЕСКИ ВАЖНО: Проверяем и устанавливаем ipset
+debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
+if ! ensure_ipset_installed; then
+    log_message "ERROR" "CRITICAL: ipset installation or verification failed"
+    log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+    echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
+    exit 1
+fi
+
+# 3. Выполняем функцию обновления
+update_script
+exit_code=$?
+
+if [ $exit_code -eq 0 ]; then
+    log_message "INFO" "=== Script update completed successfully ==="
+    debug_step "Скрипт успешно завершил работу"
+else
+    log_message "INFO" "=== Script update completed with errors (exit code: $exit_code) ==="
+    debug_step "Скрипт завершил работу с ошибками"
+fi
+
+# Выход с кодом завершения
+exit $exit_code