sync: align internal repo with 1.1.3-server-label

- REPO_URL points to git.kalinamall.ru

- ssh-monitor.conf may be committed here (secrets); .env still ignored

- Docs note for closed vs public GitHub

Co-authored-by: Cursor <cursoragent@cursor.com>

.gitignore

@@ -1,4 +1,12 @@
-.DS_Store
+.DS_Store
 CalculatorApp/
+
+# .env — не коммитить; ssh-monitor.conf с секретами допустим только на git.kalinamall.ru
+.env
+.env.*
 # Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
 ssh-monitor-*.tar.gz
+
+# Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
+rutube-download.py
+.ytdl-archive.txt

LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 PTah
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

README.md

@@ -1,13 +1,21 @@
-# ssh-monitor
+# ssh-monitor
 
-> **Эта папка (`Projects/ssh-monitor`):** основной файл **`ssh-monitor`** — сборка с **ipset** (автобан через набор `hash:ip timeout` и одно правило `-m set`, не отдельное правило на каждый IP). Нюансы установки и восстановления наборов: **`IPSET-NOTES.txt`**.
+Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**: наборы `hash:ip` с таймаутом, одно правило `-m set`; нюансы — **`IPSET-NOTES.txt`**) и ежедневным отчётом.
 
-Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**) и ежедневным отчётом.
+## Состав репозитория
+
+| Файл | Назначение |
+|------|------------|
+| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
+| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
+| **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 
 ## Конфигурация
 
+> **git.kalinamall.ru:** в этом закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами и паролями (файл не в `.gitignore`). В публичном [GitHub](https://github.com/PTah/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
+
 Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
 
 1. Скопируйте пример:
@@ -28,7 +36,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
-- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
+- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
@@ -62,6 +70,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
+- `SERVER_DISPLAY_NAME` — подпись в строке **«🖥️ Сервер»** во всех уведомлениях. **Пусто** — `hostname` и при возможности основной IPv4 (`hostname (10.x.x.x)`). Задайте явное имя, если несколько хостов с одинаковым hostname шлют в один чат. Подробнее: [docs/notifications.ru.md](docs/notifications.ru.md).
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
@@ -104,6 +113,20 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 
 Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 
+### Идентификация сервера в уведомлениях
+
+Во **всех** оповещениях (SSH, sudo, бан IP, logind, heartbeat, ежедневный отчёт и т.д.) после заголовка автоматически добавляется строка **«🖥️ Сервер: …»** — формат `hostname (IPv4)` или только `hostname`, если IPv4 определить не удалось. Логика в `notify_send()`; дублирование в тексте сообщения не требуется.
+
+- Утилиты **`hostname`** и **`ip`** (см. [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md)).
+- Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
+- Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
+
+### Автообновление скрипта
+
+Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor` и при отличии копирует новую версию и перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
+
+Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
+
 ## Режимы запуска
 
 Обычный запуск (root):
@@ -132,7 +155,7 @@ bash -n ./ssh-monitor
 
 ## Релизный архив
 
-Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (текущая стабильная — **1.0.0**). Сборка tarball из текущего git-дерева:
+Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (на момент последнего обновления документации — **1.1.3-server-label**; актуальное значение смотрите в файле **`ssh-monitor`**). Сборка tarball из текущего git-дерева:
 
 ```bash
 make dist
@@ -192,3 +215,7 @@ Watchdog проверяет активность `ssh-monitor.service` и акт
 Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 
 **Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
+
+## Лицензия
+
+Проект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).

docs/auto-update.ru.md

@@ -0,0 +1,126 @@
+# Автообновление ssh-monitor
+
+Скрипт **`update_ssh_monitor.sh`** в корне репозитория обновляет установленный **`/usr/local/bin/ssh-monitor`** из git-репозитория и перезапускает systemd-сервис. Конфиг **`/etc/ssh-monitor.conf`**, watchdog и таймеры **не изменяются**.
+
+Установка самого монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
+
+## Что делает скрипт
+
+1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
+2. Проверяет наличие **`ipset`**; при отсутствии пытается установить через пакетный менеджер (apt, yum, dnf, pacman, zypper). Без ipset скрипт завершается с ошибкой — новая версия монитора с **`ENABLE_IP_BAN=1`** требует ipset.
+3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git pull origin main`** репозитория.
+4. Ищет файл **`ssh-monitor`** в клоне:
+   - `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
+   - `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
+5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
+6. При отличии:
+   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS`;
+   - `cp` + `chmod +x`;
+   - **`systemctl restart ssh-monitor.service`** (если есть systemctl).
+7. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
+
+```mermaid
+flowchart LR
+  A[cron/timer] --> B[update_ssh_monitor.sh]
+  B --> C[git pull/clone]
+  C --> D{SHA256 различается?}
+  D -->|да| E[backup + cp]
+  E --> F[restart ssh-monitor.service]
+  D -->|нет| G[без изменений]
+```
+
+## Настройка перед первым запуском
+
+Отредактируйте переменные в начале **`update_ssh_monitor.sh`**:
+
+| Переменная | По умолчанию | Назначение |
+|------------|--------------|------------|
+| `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
+| `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL закрытого репозитория (на GitHub в репо — placeholder) |
+| `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
+| `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
+| `DEBUG` | `0` | `1` — подробный DEBUG в лог |
+
+Требования на сервере:
+
+- **root** (или sudo) для `cp`, `systemctl`, установки ipset;
+- **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
+- ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
+
+## Установка
+
+```bash
+sudo mkdir -p /opt/scripts
+sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
+sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
+```
+
+Проверка вручную:
+
+```bash
+sudo /opt/scripts/update_ssh_monitor.sh
+sudo tail -20 /var/log/update_script.log
+sudo systemctl status ssh-monitor
+```
+
+## Запуск по расписанию
+
+### Cron (пример: каждый день в 04:00)
+
+```bash
+sudo crontab -e
+```
+
+Добавьте:
+
+```
+0 4 * * * /opt/scripts/update_ssh_monitor.sh
+```
+
+### systemd timer (альтернатива)
+
+Создайте `/etc/systemd/system/ssh-monitor-update.service`:
+
+```ini
+[Unit]
+Description=Update ssh-monitor from git
+
+[Service]
+Type=oneshot
+ExecStart=/opt/scripts/update_ssh_monitor.sh
+```
+
+И `/etc/systemd/system/ssh-monitor-update.timer`:
+
+```ini
+[Unit]
+Description=Daily ssh-monitor update
+
+[Timer]
+OnCalendar=*-*-* 04:00:00
+Persistent=true
+
+[Install]
+WantedBy=timers.target
+```
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl enable --now ssh-monitor-update.timer
+```
+
+## Откат после неудачного обновления
+
+Резервные копии лежат рядом с установленным скриптом:
+
+```bash
+ls -la /usr/local/bin/ssh-monitor.backup.*
+sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-monitor
+sudo systemctl restart ssh-monitor.service
+```
+
+## Ограничения
+
+- Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
+- При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
+- На **git.kalinamall.ru** в `update_ssh_monitor.sh` уже задан внутренний **`REPO_URL`**; на GitHub остаётся placeholder для форка.

docs/install-prerequisites.ru.md

@@ -145,3 +145,8 @@ sudo journalctl -u ssh-monitor-watchdog.service -f
 - [ ] (По желанию) настроено сохранение правил после перезагрузки.
 
 Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).
+
+Дополнительно:
+
+- [notifications.ru.md](notifications.ru.md) — подпись **«🖥️ Сервер»** в уведомлениях, типы алертов, часовые пояса.
+- [auto-update.ru.md](auto-update.ru.md) — автообновление скрипта через **`update_ssh_monitor.sh`**.

docs/notifications.ru.md

@@ -0,0 +1,98 @@
+# Уведомления ssh-monitor
+
+Документ описывает, **какие сообщения** отправляет монитор, **какие поля** в них есть и как настроить **подпись сервера** и **часовой пояс**.
+
+См. также: [README.md](../README.md), пример конфига [ssh-monitor.conf.example](../ssh-monitor.conf.example).
+
+## Подпись сервера (🖥️ Сервер)
+
+Начиная с версии **1.1.3-server-label**, каждое уведомление, проходящее через **`notify_send()`**, получает строку **«🖥️ Сервер: …»** сразу **после первой строки** (заголовка алерта).
+
+Формат значения:
+
+| Условие | Пример |
+|---------|--------|
+| `SERVER_DISPLAY_NAME` пусто, IPv4 найден | `web01 (10.1.20.5)` |
+| `SERVER_DISPLAY_NAME` пусто, IPv4 нет | `web01` |
+| Задан `SERVER_DISPLAY_NAME="prod-db-01"` | `prod-db-01 (10.1.20.5)` |
+
+IPv4 определяется через `ip -4 route get` (исходящий адрес) или `hostname -I`. Нужны утилиты **`hostname`** и **`ip`** — см. [install-prerequisites.ru.md](install-prerequisites.ru.md).
+
+Если в тексте сообщения уже есть подстрока **`🖥️ Сервер:`**, вторая строка **не добавляется** (защита от дубля при ручной вставке).
+
+### Пример: успешный SSH
+
+```
+✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ
+🖥️ Сервер: myhost (10.1.20.5)
+👤 Пользователь: alice
+🌐 IP адрес: 10.1.20.1
+🕐 Время: 25.05.2026 09:08:22
+```
+
+### Пример: sudo
+
+```
+⚠️ ИСПОЛЬЗОВАНИЕ SUDO
+🖥️ Сервер: myhost (10.1.20.5)
+👤 Пользователь: alice
+🔑 От имени USER: root
+💻 Команда: /bin/bash
+📁 Директория: /home/alice
+🕐 Время: 24.05.2026 16:54:49
+```
+
+## Настройка в `/etc/ssh-monitor.conf`
+
+```bash
+# Пусто = hostname (+ IPv4 при возможности)
+SERVER_DISPLAY_NAME=""
+
+# Или фиксированное имя для этого хоста в общем чате:
+# SERVER_DISPLAY_NAME="dc1-app-03"
+```
+
+Проверка эффективной подписи:
+
+```bash
+sudo ssh-monitor --check-config
+```
+
+В выводе будет строка `SERVER_DISPLAY_NAME=... (эффективно: ...)`.
+
+## Типы уведомлений
+
+| Событие | Заголовок (первая строка) | Доп. поля |
+|---------|----------------------------|-----------|
+| Успешный SSH | ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ | пользователь, IP клиента, время |
+| SSH под root | 🔑 SSH ВХОД ПОД ROOT | IP, время |
+| Неудачная попытка SSH | ❌ НЕУДАЧНАЯ ПОПЫТКА SSH | пользователь, IP, счётчик попыток, время |
+| Sudo | ⚠️ ИСПОЛЬЗОВАНИЕ SUDO | пользователь, USER=, команда, PWD, время |
+| Бан IP | 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ | IP, попытки, длительность, время |
+| Порог без бана | ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён…) | IP, попытки, время |
+| Брутфорс | 🧨 ВОЗМОЖНЫЙ МАССОВЫЙ БРУТФОРС SSH | IP, счётчик за окно, время |
+| Host key / MITM | 🔐 ВНИМАНИЕ: изменение SSH host key… | фрагмент журнала, время |
+| logind: новая сессия | 🖥️ НОВАЯ СЕССИЯ (systemd-logind) | пользователь, ID сессии, время |
+| logind: сбой | ❌ СБОЙ (systemd-logind) | строка журнала, время |
+| Ежедневный отчёт | 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА | статистика 24 ч, баны, топ IP, сессии |
+| Heartbeat | ❤️ Heartbeat - скрипт мониторинга работает | время |
+| Старт / стоп | ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН / ⚠️ ОСТАНОВЛЕН | версия, каналы, время |
+
+Во всех перечисленных случаях **🖥️ Сервер** добавляется автоматически (кроме сообщений, где вы сами вставили эту строку).
+
+## Время в сообщениях (🕐)
+
+Строки **«🕐 Время»** формируются функцией **`notification_date()`**:
+
+1. Если задан **`NOTIFY_TZ`** (IANA, например `Europe/Moscow`) — используется он.
+2. Иначе, если задан **`DAILY_REPORT_TZ`** — он.
+3. Иначе — зона процесса (`date` у systemd-сервиса; часто UTC, если в unit указано `Environment=TZ=UTC`).
+
+Ежедневный отчёт по календарю и часу **`DAILY_REPORT_HOUR`** использует **`DAILY_REPORT_TZ`** (или зону процесса) — см. README.
+
+## Каналы доставки
+
+- **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
+- **`BACKUP_WEBHOOK_URL`**: только если **все** каналы цепочки не доставили сообщение.
+
+Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.

readme_eng.md

@@ -0,0 +1,219 @@
+# ssh-monitor
+
+Bash script that monitors **SSH**, **SUDO**, and **`systemd-logind`** events (local/graphical sessions, etc.), sends alerts via **Telegram** and **SMTP email**, optional backup webhook, automatic IP blocking (**ipset** + **iptables** / **ip6tables**: `hash:ip` sets with timeout, single `-m set` rule; details in **`IPSET-NOTES.txt`**), and a daily report.
+
+## Repository contents
+
+| File | Purpose |
+|------|---------|
+| **`ssh-monitor`** | Main loop: parses logs (**journalctl**: sshd, sudo, security events, **systemd-logind**), notification chain (Telegram, SMTP via **python3**, backup webhook); with **`ENABLE_IP_BAN=1`** tracks failed attempts, bans via **ipset**, reconciles with **iptables**/**ip6tables**, daily report, heartbeat, optional **Prometheus** textfile and JSON health. Modes: **`--check-config`**, **`--dry-run`**. |
+| **`ssh-monitor-watchdog`** | Standalone script (usually via **systemd timer**): checks that the monitor service is active and the heartbeat file is fresh; on failure runs **`systemctl restart`** and sends Telegram or **`BACKUP_WEBHOOK_URL`**. Reads the same `TELEGRAM_*` / webhook from `/etc/ssh-monitor.conf`. |
+| **`update_ssh_monitor.sh`** | Optional auto-update: `git pull` / `clone`, SHA256 compare with `/usr/local/bin/ssh-monitor`, restart `ssh-monitor.service`. See [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian). |
+
+**System packages and dependencies** (install on the server before running): step-by-step in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md) (Russian).
+
+## Configuration
+
+The script reads `/etc/ssh-monitor.conf` in `KEY="value"` format.
+
+1. Copy the example:
+   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
+2. Restrict permissions:
+   - `sudo chmod 600 /etc/ssh-monitor.conf`
+3. Fill in at least **one notification channel** (otherwise the script exits immediately; see **«Mandatory requirement»** below and **«Notification channels and empty NOTIFY_CHAIN»**):
+   - for **Telegram**: `TELEGRAM_BOT_TOKEN` and `TELEGRAM_CHAT_ID`;
+   - or configure **SMTP** using the variables below with `NOTIFY_ORDER=""` (auto-selected channels).
+
+**Mandatory requirement:** after loading the config, **`NOTIFY_CHAIN`** must contain **at least one** channel (`telegram` or `email`). If there are **none** (empty `NOTIFY_ORDER` and neither Telegram nor SMTP qualify as “configured”, or `NOTIFY_ORDER` contains only unknown names), the script **does not** enter the main loop and exits with code **1**, stderr: **`Не настроен ни один канал отправки оповещений`**. The same applies to **`--check-config`** and **`--dry-run`**. The backup **`BACKUP_WEBHOOK_URL`** is **not** part of this check — it is used only if **every** channel in **`NOTIFY_CHAIN`** fails to deliver.
+
+Supported parameters:
+
+- `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
+- `NOTIFY_ORDER` — channel list (`telegram`, `email`, or **tg**, **mail**); for each alert the script **tries all listed** channels in order (not “first success stops”). Empty = only configured channels are chained (default order in `ssh-monitor.conf.example`). If the resulting chain is empty — the script does not start (see **«Notification channels and empty NOTIFY_CHAIN»**).
+- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — mail via **python3** (see channel table below)
+- `BACKUP_WEBHOOK_URL` — fallback JSON `{"text":"..."}` (e.g. Slack Incoming Webhook) if **all** **`NOTIFY_CHAIN`** channels fail; **does not** replace the need for at least one primary channel (see step 3)
+- `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
+- `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — see **«systemd-logind monitoring»** below
+- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (optional), `NOTIFY_TZ` (optional), `SERVER_DISPLAY_NAME` (optional), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
+- `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
+- `PROMETHEUS_TEXTFILE_DIR` — directory for `ssh_monitor.prom` (node_exporter textfile collector)
+- `HEALTHCHECK_STATUS_FILE` — path to JSON with last loop iteration marker
+- `ENABLE_IP_BAN` — `1` (default): monitoring and auto-ban via ipset; `0`: monitoring and alerts only (no ipset/ban)
+- `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
+- `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, e.g. `ip1,ip2`)
+- `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
+
+If `/etc/ssh-monitor.conf` is missing or some values are empty, script defaults apply.
+
+### `/etc/ssh-monitor.conf` variables
+
+- `TELEGRAM_BOT_TOKEN` — Telegram bot token for alerts.
+- `TELEGRAM_CHAT_ID` — chat/user ID for notifications.
+- `NOTIFY_ORDER` — CSV of channel names (`telegram`, `email`, `tg`, `mail`). For **each** alert, delivery is attempted **to all** listed channels (if one fails, others still run; failures go to **`LOG_FILE`**). Empty string: build chain from configured channels only (default order telegram → email; “configured” criteria — **table** in **«Notification channels and empty NOTIFY_CHAIN»**). If no channels remain, the script exits: **«Не настроен ни один канал отправки оповещений»** (including `--check-config` and `--dry-run`).
+- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — SMTP for `email` channel (**python3**; see “configured” table).
+- `BACKUP_WEBHOOK_URL` — backup POST URL (JSON `{"text":"..."}`); fallback only, **not** counted as a configured channel (see step 3).
+- `LOG_FILE` — main script log path.
+- `LAST_HEARTBEAT_FILE` — file with last heartbeat timestamp.
+- `LAST_REPORT_FILE` — date of last daily report `YYYY-MM-DD` (legacy Unix time on first run is interpreted automatically).
+- `LAST_SSH_CHECK_FILE` — last SSH events check timestamp.
+- `LAST_SUDO_CHECK_FILE` — last sudo events check timestamp.
+- `LAST_SECURITY_EVENTS_FILE` — last “heavy” security journal check.
+- `LAST_LOGIND_CHECK_FILE` — last `systemd-logind` journal processing (Unix time); ~30 minutes of history on first run.
+- `BAN_LIST_FILE` — ban state file (IP, ban end time, metadata).
+- `ENABLE_LOGIND_MONITOR` — `1` enables `journalctl -u systemd-logind`, `0` disables this block.
+- `LOGIND_NOTIFY_NEW` — `1` send Telegram on new logind session (*New session … of user …*).
+- `LOGIND_NOTIFY_REMOVED` — `1` send Telegram on session end (*Removed session …*); default `0` (log only to avoid spam).
+- `LOGIND_NOTIFY_FAILED` — `1` send Telegram on logind lines containing *failed* (broad filter; disable if needed).
+- `LOGIND_SKIP_REMOTE` — `1` (default): for a new logind session, if `loginctl` is available, skip duplicate Telegram when already covered by **`monitor_ssh`**: **`Type=ssh`** or **`Service`** points to **sshd** (often **`Type=tty` + `Service=sshd`**); short retries if `loginctl` returns empty. Set `0` for separate logind alerts for SSH sessions too.
+- `DAILY_REPORT_HOUR` — hour (0..23) after which at most one daily report is sent in the **current calendar day** (in the zone below).
+- `DAILY_REPORT_TZ` — optional **IANA** zone (`Europe/Moscow`, …). If **empty**, report uses the monitor process zone (usually matches `timedatectl` / `/etc/localtime`). If the unit sets `TZ=UTC`, without `DAILY_REPORT_TZ` the report uses **UTC** — set an explicit zone in config.
+- `NOTIFY_TZ` — **IANA** zone for **«🕐 Время»** lines in Telegram/email. **Empty** — use **`DAILY_REPORT_TZ`** if set, else process zone. Common mismatch: **`ssh-monitor.service`** has **`Environment=TZ=UTC`** — set **`NOTIFY_TZ`** or **`DAILY_REPORT_TZ`** to your locale, e.g. `Asia/Vladivostok`.
+- `SERVER_DISPLAY_NAME` — label in **«🖥️ Server»** line on every alert. **Empty** — `hostname` plus primary IPv4 when available. Set a fixed name when many hosts share one Telegram chat. Details: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
+- `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — at most one Telegram per successful SSH (**Accepted**) per **user + IP** pair within **N** seconds (default **5**). Removes duplicates when journal has two lines with **different client ports** for one login. **`0`** disables this cross-iteration dedup (in-pass dedup by `user|ip|port` remains).
+- `DAILY_REPORT_TOP_IPS` — how many IPs in the failed-attempts top for 24 hours.
+- `BRUTE_WINDOW_SEC` — window (seconds) for “mass” brute-force evaluation via `journalctl`.
+- `BRUTE_MIN_FAILS` — minimum failures in the window to alert.
+- `BRUTE_NOTIFY_COOLDOWN_SEC` — cooldown between repeat alerts for the same IP.
+- `PROMETHEUS_TEXTFILE_DIR` — if set to an existing directory, writes `ssh_monitor.prom` with `ssh_monitor_last_loop_unixtime` each iteration.
+- `HEALTHCHECK_STATUS_FILE` — if set, updates JSON `{ "ts", "hostname", "dry_run" }` each iteration.
+- `ENABLE_IP_BAN` — enable auto-ban (`1`) or monitor-only with alerts (`0`; **ipset** not required).
+- `BAN_TIME` — ban duration in seconds (`ENABLE_IP_BAN=1`).
+- `MAX_ATTEMPTS` — failed SSH attempts before auto-ban.
+- `BAN_CHECK_INTERVAL` — interval to check expired bans and reconcile ban list with firewall (seconds).
+- `MONITOR_INTERVAL` — pause between main loop iterations (seconds).
+- `WHITELIST_IPS` — comma-separated whitelist (IPv4/IPv6 exact match).
+- `WHITELIST_SUBNETS` — **IPv4-only** CIDR whitelist, comma-separated (e.g. `10.0.0.0/24`).
+- `WATCHDOG_MAX_HEARTBEAT_AGE` — seconds after which heartbeat is stale.
+- `WATCHDOG_LOG_FILE` — watchdog log file.
+- `WATCHDOG_SERVICE_NAME` — systemd service watched by watchdog (default `ssh-monitor.service`).
+- `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` enables watchdog “OK” messages when healthy, `0` disables.
+
+### Notification channels and empty NOTIFY_CHAIN
+
+What counts as a **configured** channel (only these join the auto chain when **`NOTIFY_ORDER=""`**):
+
+| Channel | “Configured” condition |
+|---------|------------------------|
+| `telegram` | **`TELEGRAM_BOT_TOKEN`** and **`TELEGRAM_CHAT_ID`** set |
+| `email` | non-empty **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, **`python3`** in PATH |
+
+If **`NOTIFY_CHAIN` is empty**, the script exits with **`Не настроен ни один канал отправки оповещений`** (see step 3 in **Configuration**).
+
+### systemd-logind monitoring
+
+- Collects **`systemd-logind`** unit messages via **`journalctl`** (`-o cat`): new/ended sessions, and lines containing *failed* (if enabled).
+- Without **`journalctl`**, this block **does not run** (like other journal-based features).
+- “New session” parsing expects typical English formats (`New session … of user …`). On mismatch, the line is still logged with a parse warning.
+- **`loginctl`** is used for **`LOGIND_SKIP_REMOTE`**: **Type** and **Service** decide whether to avoid duplicate Telegram with **`monitor_ssh`** (see `LOGIND_SKIP_REMOTE` above).
+- **`monitor_ssh`**: **sshd** events mostly **`journalctl _COMM=sshd`** (fallback units `sshd` / `ssh`), lines **`sort -u`**, **`Accepted`** dedup per **user|IP|port** within one pass; between passes **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** for **user|IP** (see config).
+
+**`ssh-monitor --check-config`** prints current values, including logind settings.
+
+Hosts **without journald** and **`/var/log/auth.log`** caveats: section 4 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
+
+### Server identification in alerts
+
+**All** notifications sent via **`notify_send()`** get a **«🖥️ Сервер: …»** line (Russian label in messages) right after the title: `hostname (IPv4)` or hostname only. Implemented centrally in **`message_ensure_server_line()`**; no need to add the line in each alert builder.
+
+- Requires **`hostname`** and **`ip`** (see prerequisites doc).
+- Optional **`SERVER_DISPLAY_NAME`** in config for a fixed label.
+- Message types and examples: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
+
+### Auto-update
+
+**`update_ssh_monitor.sh`** can run on a schedule to `git pull`, compare SHA256 with `/usr/local/bin/ssh-monitor`, copy on change, and restart **`ssh-monitor.service`**. Does not modify `/etc/ssh-monitor.conf`.
+
+Setup guide: [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian).
+
+## Run modes
+
+Normal run (root):
+
+```bash
+sudo bash ./ssh-monitor
+```
+
+Check config and syntax **without** starting the loop, **without** changing `iptables`, no mandatory Telegram send:
+
+```bash
+sudo bash ./ssh-monitor --check-config
+```
+
+**Dry-run** (firewall rules unchanged; notifications go to stderr instead of sending):
+
+```bash
+sudo bash ./ssh-monitor --dry-run
+```
+
+## Syntax check
+
+```bash
+bash -n ./ssh-monitor
+```
+
+## Release tarball
+
+Version is set in the script as **`SSH_MONITOR_VERSION`** (as of last doc update — **1.1.3-server-label**; see the **`ssh-monitor`** file for the current value). Build from the git tree:
+
+```bash
+make dist
+```
+
+Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://github.com/PTah/ssh-monitor/releases).
+
+## Installing the script, config, and systemd
+
+1. Install the script:
+   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
+2. Ensure config exists (see **Configuration**):
+   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
+   - `sudo chmod 600 /etc/ssh-monitor.conf`
+3. Create `/etc/systemd/system/ssh-monitor.service`:
+
+```ini
+[Unit]
+Description=SSH Monitor with Telegram alerts
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+ExecStart=/usr/local/bin/ssh-monitor
+Restart=always
+RestartSec=5
+User=root
+
+[Install]
+WantedBy=multi-user.target
+```
+
+4. Enable and start:
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl enable ssh-monitor
+sudo systemctl start ssh-monitor
+```
+
+5. Status and logs:
+
+```bash
+sudo systemctl status ssh-monitor
+sudo journalctl -u ssh-monitor -f
+```
+
+## Log rotation
+
+Example `logrotate` config: `contrib/logrotate.d/ssh-monitor`. Copy to `/etc/logrotate.d/` and adjust paths for your `LOG_FILE` / `WATCHDOG_LOG_FILE` and state files under `/var/log/` (including `LAST_*` if you rotate them separately).
+
+## Watchdog (automatic recovery)
+
+The watchdog checks `ssh-monitor.service` activity and heartbeat freshness (`LAST_HEARTBEAT_FILE`). On failure it runs `systemctl restart` and sends a notification (Telegram, or `BACKUP_WEBHOOK_URL` if Telegram fails).
+
+Step-by-step **ssh-monitor-watchdog** and **timer** setup: section 6 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
+
+**Keywords (search):** SSH, **sshd**, **bash** on **Linux**, **Telegram**, **SMTP**, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, automatic **IP ban** and **whitelist**, **systemd** unit, **daily report**, **heartbeat**, **OpenSSH**, server security, **Prometheus** textfile, optional **watchdog**.
+
+## License
+
+This project is licensed under the **MIT License** — see [LICENSE](LICENSE).

ssh-monitor

@@ -7,7 +7,7 @@ IFS=$'\n\t'
 # ============================================
 
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="1.1.2-ipset"
+SSH_MONITOR_VERSION="1.1.3-server-label"
 
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
@@ -38,6 +38,8 @@ DAILY_REPORT_TOP_IPS=5
 DAILY_REPORT_TZ=""
 # IANA-зона для строк «🕐 Время» в Telegram/email. Пусто = тогда DAILY_REPORT_TZ, если она задана, иначе зона процесса (часто UTC у systemd — см. README).
 NOTIFY_TZ=""
+# Подпись сервера в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (удобно при одинаковых hostname).
+SERVER_DISPLAY_NAME=""
 # Не слать повтор «Accepted» для той же пары user+IP чаще, чем раз в N секунд (разные port в журнале — один вход).
 SSH_ACCEPT_NOTIFY_DEDUP_SEC=5
 
@@ -162,6 +164,7 @@ load_config() {
  local cfg_daily_report_top_ips="${DAILY_REPORT_TOP_IPS}"
  local cfg_daily_report_tz="${DAILY_REPORT_TZ}"
  local cfg_notify_tz="${NOTIFY_TZ:-}"
+ local cfg_server_display_name="${SERVER_DISPLAY_NAME:-}"
  local cfg_ssh_accept_notify_dedup_sec="${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}"
  local cfg_last_ssh_check_file="${LAST_SSH_CHECK_FILE}"
  local cfg_last_sudo_check_file="${LAST_SUDO_CHECK_FILE}"
@@ -231,6 +234,7 @@ load_config() {
  DAILY_REPORT_TOP_IPS="${DAILY_REPORT_TOP_IPS:-$cfg_daily_report_top_ips}"
  DAILY_REPORT_TZ="$(trim_value "${DAILY_REPORT_TZ:-$cfg_daily_report_tz}")"
  NOTIFY_TZ="$(trim_value "${NOTIFY_TZ:-$cfg_notify_tz}")"
+ SERVER_DISPLAY_NAME="$(trim_value "${SERVER_DISPLAY_NAME:-$cfg_server_display_name}")"
  SSH_ACCEPT_NOTIFY_DEDUP_SEC="$(trim_value "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-$cfg_ssh_accept_notify_dedup_sec}")"
  if ! [[ "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}" =~ ^[0-9]+$ ]]; then
  SSH_ACCEPT_NOTIFY_DEDUP_SEC=5
@@ -477,6 +481,53 @@ write_log() {
  echo "${timestamp} - ${message}"
 }
 
+# ============================================
+# Подпись сервера в текстах уведомлений
+# ============================================
+
+# Для Telegram и отчётов: «hostname (IPv4)» или SERVER_DISPLAY_NAME (+ IPv4); без IPv4 — только имя.
+server_display_name_with_ip() {
+ local hn ip
+ if [ -n "${SERVER_DISPLAY_NAME:-}" ]; then
+ hn="${SERVER_DISPLAY_NAME}"
+ else
+ hn=$(hostname 2>/dev/null | tr -d '\r\n')
+ [ -z "$hn" ] && hn="(unknown)"
+ fi
+ ip=""
+ if command -v ip >/dev/null 2>&1; then
+ ip=$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
+ [ -z "$ip" ] && ip=$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
+ fi
+ if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1; then
+ if hostname -I >/dev/null 2>&1; then
+ ip=$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)
+ fi
+ fi
+ if [ -n "$ip" ]; then
+ printf '%s (%s)' "$hn" "$ip"
+ else
+ printf '%s' "$hn"
+ fi
+}
+
+# Вставляет «🖥️ Сервер: …» сразу после первой строки (заголовка), если строки ещё нет.
+message_ensure_server_line() {
+ local msg="$1"
+ if [[ "$msg" == *'🖥️ Сервер:'* ]]; then
+ printf '%s' "$msg"
+ return 0
+ fi
+ local first rest
+ first="${msg%%$'\n'*}"
+ if [ "$first" = "$msg" ]; then
+ printf '%s\n🖥️ Сервер: %s' "$first" "$(server_display_name_with_ip)"
+ else
+ rest="${msg#*$'\n'}"
+ printf '%s\n🖥️ Сервер: %s\n%s' "$first" "$(server_display_name_with_ip)" "$rest"
+ fi
+}
+
 # ============================================
 # УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы; BACKUP_WEBHOOK только если все неуспешны.
 # ============================================
@@ -603,6 +654,7 @@ PY
 
 notify_send() {
  local message="$1"
+ message="$(message_ensure_server_line "$message")"
  if [ "${DRY_RUN:-0}" = "1" ]; then
  printf '[DRY-RUN notify] %s\n' "$(printf '%s' "$message" | tr '\n' ' ')" >&2
  return 0
@@ -1501,28 +1553,6 @@ monitor_logind() {
  echo "$current_time" >"$LAST_LOGIND_CHECK_FILE"
 }
 
-# Для Telegram и отчётов: «hostname (IPv4)»; без доступного IPv4 — только hostname.
-server_display_name_with_ip() {
- local hn ip
- hn=$(hostname 2>/dev/null | tr -d '\r\n')
- [ -z "$hn" ] && hn="(unknown)"
- ip=""
- if command -v ip >/dev/null 2>&1; then
- ip=$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
- [ -z "$ip" ] && ip=$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
- fi
- if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1; then
- if hostname -I >/dev/null 2>&1; then
- ip=$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)
- fi
- fi
- if [ -n "$ip" ]; then
- printf '%s (%s)' "$hn" "$ip"
- else
- printf '%s' "$hn"
- fi
-}
-
 # ============================================
 # Ежедневный отчёт
 # ============================================
@@ -1606,7 +1636,6 @@ send_daily_report() {
  fi
 
  local message=" 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА "$'\n'
- message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
  message="${message}🕐 Время отчета: ${current_time}"$'\n'
  message="${message}"$'\n'
  message="${message} 📈 СТАТИСТИКА ЗА ПОСЛЕДНИЕ 24 ЧАСА: "$'\n'
@@ -1686,7 +1715,6 @@ send_heartbeat() {
  timestamp_human=$(notification_date '+%d.%m.%Y %H:%M:%S')
 
  local message=" ❤️ Heartbeat - скрипт мониторинга работает "$'\n'
- message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
  message="${message}🕐 Время: ${timestamp_human}"
 
  notify_send "$message"
@@ -1745,7 +1773,6 @@ send_startup_notification() {
 
  local message=" ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН "$'\n'
  message="${message}📌 Версия: ${SSH_MONITOR_VERSION:-?}"$'\n'
- message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
  message="${message}🕐 Время запуска: ${timestamp}"$'\n'
  message="${message}📊 Мониторинг SSH, SUDO и systemd-logind активирован"$'\n'
  if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
@@ -1768,7 +1795,6 @@ send_shutdown_notification() {
  local timestamp
  timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
  local message=" ⚠️ СКРИПТ МОНИТОРИНГА ОСТАНОВЛЕН "$'\n'
- message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
  message="${message}🕐 Время остановки: ${timestamp}"
 
  notify_send "$message"
@@ -1826,6 +1852,7 @@ run_check_config() {
  printf 'DAILY_REPORT_HOUR=%s\n' "$DAILY_REPORT_HOUR"
  printf 'DAILY_REPORT_TZ=%s (пусто = зона процесса/date)\n' "${DAILY_REPORT_TZ:-}"
  printf 'NOTIFY_TZ=%s (пусто = DAILY_REPORT_TZ или зона процесса; см. README)\n' "${NOTIFY_TZ:-}"
+ printf 'SERVER_DISPLAY_NAME=%s (пусто = hostname; эффективно: %s)\n' "${SERVER_DISPLAY_NAME:-}" "$(server_display_name_with_ip)"
  printf 'SSH_ACCEPT_NOTIFY_DEDUP_SEC=%s\n' "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}"
  printf 'DAILY_REPORT_TOP_IPS=%s\n' "$DAILY_REPORT_TOP_IPS"
  printf 'BRUTE_WINDOW_SEC=%s BRUTE_MIN_FAILS=%s\n' "$BRUTE_WINDOW_SEC" "$BRUTE_MIN_FAILS"

ssh-monitor.conf.example

@@ -61,6 +61,8 @@ DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
 # IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
 NOTIFY_TZ=""
+# Подпись «🖥️ Сервер» в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (например prod-web-01).
+# SERVER_DISPLAY_NAME="prod-web-01"
 # Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
 

update_ssh_monitor.sh

@@ -0,0 +1,365 @@
+#!/bin/bash
+
+# === Конфигурация скрипта ===
+UPDATE_DIR="/opt/scripts/update"
+SCRIPT_NAME="ssh-monitor"
+REPO_URL="https://git.kalinamall.ru/PapaTramp/ssh-monitor.git"
+LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
+LOG_FILE="/var/log/update_script.log"
+
+# Режим отладки: 1 = включён, 0 = выключен
+DEBUG=0
+
+# === Список переменных, объявленных в скрипте (для логирования при DEBUG=1) ===
+SCRIPT_VARS=("UPDATE_DIR" "SCRIPT_NAME" "REPO_URL" "LOCAL_SCRIPT_PATH" "LOG_FILE" "DEBUG" "REMOTE_SCRIPT_PATH" "LOCAL_CHECKSUM" "REMOTE_CHECKSUM")
+
+# === Функции ===
+
+# Основная функция логирования
+log_message() {
+    local level="$1"
+    local message="$2"
+    local timestamp
+    timestamp="$(date '+%Y-%m-%d %H:%M:%S')"
+    
+    # Создаём лог-файл и директорию при необходимости
+    if [ ! -f "$LOG_FILE" ]; then
+        mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null
+        touch "$LOG_FILE" 2>/dev/null
+    fi
+    
+    if [ "$level" = "INFO" ]; then
+        echo "$timestamp INFO: $message" >> "$LOG_FILE"
+    elif [ "$level" = "DEBUG" ] && [ "$DEBUG" -eq 1 ]; then
+        echo "$timestamp DEBUG: $message" >> "$LOG_FILE"
+    elif [ "$level" = "ERROR" ]; then
+        echo "$timestamp ERROR: $message" >> "$LOG_FILE"
+    fi
+}
+
+# Функция для логирования шагов с комментариями (работает только при DEBUG=1)
+debug_step() {
+    if [ "$DEBUG" -eq 1 ]; then
+        log_message "DEBUG" "# $1"
+    fi
+}
+
+# Функция для логирования только объявленных в скрипте переменных
+log_script_vars() {
+    if [ "$DEBUG" -eq 1 ]; then
+        log_message "DEBUG" "=== Значения переменных скрипта ==="
+        for var_name in "${SCRIPT_VARS[@]}"; do
+            local var_value="${!var_name}"
+            log_message "DEBUG" "$var_name='$var_value'"
+        done
+        log_message "DEBUG" "=== Конец списка переменных ==="
+    fi
+}
+
+# === КРИТИЧЕСКАЯ ФУНКЦИЯ: Проверка и установка ipset ===
+ensure_ipset_installed() {
+    debug_step "Проверяем наличие ipset в системе"
+    
+    # Проверяем, установлен ли ipset
+    if ! command -v ipset &>/dev/null; then
+        log_message "INFO" "ipset not found. Attempting silent installation..."
+        debug_step "ipset не обнаружен, начинаем установку в silent режиме"
+        
+        # Определяем пакетный менеджер и устанавливаем ipset
+        if command -v apt-get &>/dev/null || command -v apt &>/dev/null; then
+            debug_step "Обнаружен Debian/Ubuntu, используем apt"
+            log_message "INFO" "Detected apt package manager, installing ipset..."
+            
+            # Тихая установка через apt
+            if apt-get update -qq >/dev/null 2>&1 && apt-get install -y -qq ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via apt"
+                debug_step "ipset успешно установлен через apt"
+            else
+                log_message "ERROR" "Failed to install ipset via apt"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через apt"
+                return 1
+            fi
+            
+        elif command -v yum &>/dev/null; then
+            debug_step "Обнаружен RHEL/CentOS, используем yum"
+            log_message "INFO" "Detected yum package manager, installing ipset..."
+            
+            if yum install -y -q ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via yum"
+                debug_step "ipset успешно установлен через yum"
+            else
+                log_message "ERROR" "Failed to install ipset via yum"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через yum"
+                return 1
+            fi
+            
+        elif command -v dnf &>/dev/null; then
+            debug_step "Обнаружен Fedora/RHEL 8+, используем dnf"
+            log_message "INFO" "Detected dnf package manager, installing ipset..."
+            
+            if dnf install -y -q ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via dnf"
+                debug_step "ipset успешно установлен через dnf"
+            else
+                log_message "ERROR" "Failed to install ipset via dnf"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через dnf"
+                return 1
+            fi
+            
+        elif command -v pacman &>/dev/null; then
+            debug_step "Обнаружен Arch Linux, используем pacman"
+            log_message "INFO" "Detected pacman package manager, installing ipset..."
+            
+            if pacman -S --noconfirm --quiet ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via pacman"
+                debug_step "ipset успешно установлен через pacman"
+            else
+                log_message "ERROR" "Failed to install ipset via pacman"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через pacman"
+                return 1
+            fi
+            
+        elif command -v zypper &>/dev/null; then
+            debug_step "Обнаружен openSUSE, используем zypper"
+            log_message "INFO" "Detected zypper package manager, installing ipset..."
+            
+            if zypper --quiet --non-interactive install ipset >/dev/null 2>&1; then
+                log_message "INFO" "ipset installed successfully via zypper"
+                debug_step "ipset успешно установлен через zypper"
+            else
+                log_message "ERROR" "Failed to install ipset via zypper"
+                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через zypper"
+                return 1
+            fi
+            
+        else
+            log_message "ERROR" "Unsupported package manager. Cannot install ipset"
+            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+            debug_step "КРИТИЧЕСКАЯ ОШИБКА: Пакетный менеджер не распознан"
+            return 1
+        fi
+        
+        # Проверяем, что ipset действительно установился
+        if ! command -v ipset &>/dev/null; then
+            log_message "ERROR" "ipset installation verification failed"
+            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+            debug_step "КРИТИЧЕСКАЯ ОШИБКА: ipset не обнаружен после установки"
+            return 1
+        fi
+        
+    else
+        debug_step "ipset уже установлен в системе"
+        log_message "INFO" "ipset is already installed"
+        
+        # Проверяем версию ipset (информационно)
+        if [ "$DEBUG" -eq 1 ]; then
+            local ipset_version=$(ipset --version 2>&1)
+            log_message "DEBUG" "ipset version: $ipset_version"
+        fi
+    fi
+    
+    log_message "INFO" "ipset check/installation completed successfully"
+    return 0
+}
+
+# === Гарантированное создание директорий ===
+ensure_directories() {
+    debug_step "Проверяем и создаём необходимые директории"
+    
+    # Создаём UPDATE_DIR если не существует
+    if [ ! -d "$UPDATE_DIR" ]; then
+        log_message "INFO" "Creating directory: $UPDATE_DIR"
+        debug_step "Директория $UPDATE_DIR не существует, создаём"
+        if mkdir -p "$UPDATE_DIR" 2>/dev/null; then
+            log_message "INFO" "Directory created successfully"
+        else
+            log_message "INFO" "ERROR: Cannot create directory $UPDATE_DIR"
+            return 1
+        fi
+    else
+        debug_step "Директория $UPDATE_DIR уже существует"
+    fi
+    
+    # Проверяем права на запись
+    if [ ! -w "$UPDATE_DIR" ]; then
+        log_message "INFO" "WARNING: Directory $UPDATE_DIR is not writable"
+        debug_step "ПРЕДУПРЕЖДЕНИЕ: Нет прав на запись в $UPDATE_DIR"
+        return 1
+    fi
+    
+    return 0
+}
+
+# Функция для обновления скрипта
+update_script() {
+    log_message "INFO" "Starting script update..."
+    debug_step "Запуск функции обновления скрипта"
+
+    # Гарантируем наличие директории
+    debug_step "Гарантируем наличие директории для работы"
+    if ! ensure_directories; then
+        return 1
+    fi
+
+    # Переходим в директорию для клона репозитория
+    debug_step "Переходим в директорию для клона репозитория: $UPDATE_DIR"
+    if ! cd "$UPDATE_DIR" 2>/dev/null; then
+        log_message "INFO" "ERROR: Cannot cd to $UPDATE_DIR"
+        return 1
+    fi
+
+    # Клонируем или обновляем репозиторий
+    debug_step "Проверяем наличие репозитория и обновляем/клонируем"
+    if [ -d "$SCRIPT_NAME" ]; then
+        log_message "INFO" "Repository exists, pulling updates..."
+        debug_step "Выполняем git pull origin main"
+        if ! git -C "$SCRIPT_NAME" pull origin main >> "$LOG_FILE" 2>&1; then
+            log_message "INFO" "WARNING: git pull failed, continuing with existing local copy..."
+        fi
+    else
+        log_message "INFO" "Cloning repository from $REPO_URL"
+        debug_step "Выполняем git clone $REPO_URL $SCRIPT_NAME"
+        if ! git clone "$REPO_URL" "$SCRIPT_NAME" >> "$LOG_FILE" 2>&1; then
+            log_message "INFO" "ERROR: git clone failed"
+            return 1
+        fi
+    fi
+
+    # Формируем путь к скрипту в репозитории (основной и альтернативный)
+    REMOTE_SCRIPT_PATH="$UPDATE_DIR/$SCRIPT_NAME/src/branch/main/$SCRIPT_NAME"
+    ALT_REMOTE_PATH="$UPDATE_DIR/$SCRIPT_NAME/$SCRIPT_NAME"
+    
+    debug_step "Основной путь к скрипту: $REMOTE_SCRIPT_PATH"
+    debug_step "Альтернативный путь к скрипту: $ALT_REMOTE_PATH"
+
+    # Определяем реальный путь к скрипту
+    local actual_script_path=""
+    if [ -f "$REMOTE_SCRIPT_PATH" ]; then
+        actual_script_path="$REMOTE_SCRIPT_PATH"
+        debug_step "Скрипт найден по основному пути"
+    elif [ -f "$ALT_REMOTE_PATH" ]; then
+        actual_script_path="$ALT_REMOTE_PATH"
+        log_message "INFO" "Script found at alternative path"
+        debug_step "Скрипт найден по альтернативному пути"
+    fi
+
+    # Проверяем наличие файла скрипта в репозитории
+    if [ -n "$actual_script_path" ] && [ -f "$actual_script_path" ]; then
+        log_message "INFO" "Remote script found. Comparing checksums..."
+        debug_step "Проверяем наличие файла скрипта в репозитории"
+
+        # Проверяем существование локального скрипта
+        if [ ! -f "$LOCAL_SCRIPT_PATH" ]; then
+            log_message "INFO" "Local script not found. Will install new one."
+            LOCAL_CHECKSUM=""
+            debug_step "Локальный скрипт отсутствует, будет установлен новый"
+        else
+            debug_step "Вычисляем контрольную сумму локального скрипта"
+            LOCAL_CHECKSUM=$(sha256sum "$LOCAL_SCRIPT_PATH" 2>/dev/null | awk '{print $1}')
+        fi
+        
+        debug_step "Вычисляем контрольную сумму удалённого скрипта"
+        REMOTE_CHECKSUM=$(sha256sum "$actual_script_path" 2>/dev/null | awk '{print $1}')
+
+        # Сравниваем контрольные суммы
+        debug_step "Сравниваем контрольные суммы"
+        if [ "$LOCAL_CHECKSUM" != "$REMOTE_CHECKSUM" ]; then
+            log_message "INFO" "Checksums differ. Updating $LOCAL_SCRIPT_PATH..."
+            debug_step "Контрольные суммы различаются, начинаем обновление"
+
+            # Создаем бекап текущего скрипта если он существует
+            if [ -f "$LOCAL_SCRIPT_PATH" ]; then
+                debug_step "Создаем резервную копию текущего скрипта"
+                cp "$LOCAL_SCRIPT_PATH" "${LOCAL_SCRIPT_PATH}.backup.$(date +%Y%m%d_%H%M%S)" 2>/dev/null
+            fi
+
+            debug_step "Копируем новый скрипт в $LOCAL_SCRIPT_PATH"
+            if ! cp "$actual_script_path" "$LOCAL_SCRIPT_PATH"; then
+                log_message "INFO" "ERROR: Failed to copy script"
+                return 1
+            fi
+
+            debug_step "Делаем скрипт исполняемым"
+            chmod +x "$LOCAL_SCRIPT_PATH"
+
+            log_message "INFO" "Script updated successfully."
+            debug_step "Скрипт успешно обновлен"
+
+            # Перезапускаем сервис
+            debug_step "Перезапускаем сервис ssh-monitor.service"
+            if command -v systemctl &>/dev/null; then
+                if systemctl restart ssh-monitor.service 2>/dev/null; then
+                    log_message "INFO" "Service restarted successfully."
+                    debug_step "Сервис успешно перезапущен"
+                else
+                    log_message "INFO" "WARNING: Failed to restart service (may not be running)"
+                    debug_step "ПРЕДУПРЕЖДЕНИЕ: Не удалось перезапустить сервис"
+                fi
+            else
+                log_message "INFO" "systemctl not found, service not restarted"
+                debug_step "systemctl не найден, сервис не перезапущен"
+            fi
+        else
+            log_message "INFO" "Checksums match. No update needed."
+            debug_step "Контрольные суммы совпадают, обновление не требуется"
+        fi
+    else
+        log_message "INFO" "No remote script found. No update needed."
+        debug_step "Удаленный скрипт не найден ни по одному из путей"
+        
+        # Информация для отладки
+        if [ "$DEBUG" -eq 1 ]; then
+            debug_step "Содержимое директории репозитория:"
+            if [ -d "$UPDATE_DIR/$SCRIPT_NAME" ]; then
+                find "$UPDATE_DIR/$SCRIPT_NAME" -type f -name "$SCRIPT_NAME" 2>/dev/null | while read -r found_file; do
+                    log_message "DEBUG" "Найден файл: $found_file"
+                done
+            fi
+        fi
+    fi
+
+    # Логируем значения переменных скрипта при DEBUG=1
+    log_script_vars
+    
+    return 0
+}
+
+# === Основной блок выполнения ===
+
+log_message "INFO" "=== Script update started ==="
+debug_step "Инициализация скрипта обновления"
+
+# 1. Гарантируем создание необходимых директорий
+if ! ensure_directories; then
+    log_message "INFO" "ERROR: Failed to ensure directories. Exiting."
+    exit 1
+fi
+
+# 2. КРИТИЧЕСКИ ВАЖНО: Проверяем и устанавливаем ipset
+debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
+if ! ensure_ipset_installed; then
+    log_message "ERROR" "CRITICAL: ipset installation or verification failed"
+    log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
+    echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
+    exit 1
+fi
+
+# 3. Выполняем функцию обновления
+update_script
+exit_code=$?
+
+if [ $exit_code -eq 0 ]; then
+    log_message "INFO" "=== Script update completed successfully ==="
+    debug_step "Скрипт успешно завершил работу"
+else
+    log_message "INFO" "=== Script update completed with errors (exit code: $exit_code) ==="
+    debug_step "Скрипт завершил работу с ошибками"
+fi
+
+# Выход с кодом завершения
+exit $exit_code