sync: align internal repo with 1.1.3-server-label

- REPO_URL points to git.kalinamall.ru - ssh-monitor.conf may be committed here (secrets); .env still ignored - Docs note for closed vs public GitHub Co-authored-by: Cursor <cursoragent@cursor.com>
chore: ignore production config files with secrets
2026-05-26 19:34:01 +10:00 · 2026-05-26 19:33:39 +10:00 · 2026-05-25 09:23:32 +10:00 · 2026-05-14 12:59:12 +10:00 · 2026-05-14 12:57:55 +10:00 · 2026-05-03 19:51:00 +10:00
11 changed files with 1430 additions and 167 deletions
@@ -1,4 +1,12 @@
-.DS_Store
+.DS_Store
 CalculatorApp/
 # .env — не коммитить; ssh-monitor.conf с секретами допустим только на git.kalinamall.ru
 .env
 .env.*
 # Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
 ssh-monitor-*.tar.gz
 # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
 rutube-download.py
 .ytdl-archive.txt
@@ -0,0 +1,24 @@
 ssh-monitor (ветка ipset) — что сделать на сервере
 ==================================================
 1) apt install ipset
 2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
 3) Каталог /etc/iptables должен существовать, если нужен save правил:
   mkdir -p /etc/iptables
   Скрипт пишет:
   - /etc/iptables/ipset.rules
   - /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
 4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
   apt install ipset-persistent
   либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
 5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
   правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
 6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
   и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
 Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.
@@ -0,0 +1,21 @@
 MIT License
 Copyright (c) 2026 PTah
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal
 in the Software without restriction, including without limitation the rights
 to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
 copies of the Software, and to permit persons to whom the Software is
 furnished to do so, subject to the following conditions:
 The above copyright notice and this permission notice shall be included in all
 copies or substantial portions of the Software.
 THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
 IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
 FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
 AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
 LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
 OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
 SOFTWARE.
@@ -1,9 +1,21 @@
-# ssh-monitor
+# ssh-monitor
-Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (IPv4 через `iptables`, IPv6 через `ip6tables` при наличии) и ежедневным отчётом.
+Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**: наборы `hash:ip` с таймаутом, одно правило `-m set`; нюансы — **`IPSET-NOTES.txt`**) и ежедневным отчётом.
 ## Состав репозитория
 | Файл | Назначение |
 |------|------------|
 | **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
 | **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ## Конфигурация
 > **git.kalinamall.ru:** в этом закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами и паролями (файл не в `.gitignore`). В публичном [GitHub](https://github.com/PTah/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
 Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
 1. Скопируйте пример:
@@ -24,10 +36,11 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
+- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
 - `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
@@ -57,6 +70,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — подпись в строке **«🖥️ Сервер»** во всех уведомлениях. **Пусто** — `hostname` и при возможности основной IPv4 (`hostname (10.x.x.x)`). Задайте явное имя, если несколько хостов с одинаковым hostname шлют в один чат. Подробнее: [docs/notifications.ru.md](docs/notifications.ru.md).
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
@@ -64,7 +78,8 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
 - `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
 - `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
- `BAN_TIME` — длительность бана IP в секундах.
+- `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
 - `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
 - `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
 - `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
@@ -96,6 +111,22 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
 Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ### Идентификация сервера в уведомлениях
 Во **всех** оповещениях (SSH, sudo, бан IP, logind, heartbeat, ежедневный отчёт и т.д.) после заголовка автоматически добавляется строка **«🖥️ Сервер: …»** — формат `hostname (IPv4)` или только `hostname`, если IPv4 определить не удалось. Логика в `notify_send()`; дублирование в тексте сообщения не требуется.
 - Утилиты **`hostname`** и **`ip`** (см. [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md)).
 - Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
 - Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
 ### Автообновление скрипта
 Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor` и при отличии копирует новую версию и перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
 Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
 ## Режимы запуска
 Обычный запуск (root):
@@ -124,7 +155,7 @@ bash -n ./ssh-monitor
 ## Релизный архив
-Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (текущая стабильная — **1.0.0**). Сборка tarball из текущего git-дерева:
+Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (на момент последнего обновления документации — **1.1.3-server-label**; актуальное значение смотрите в файле **`ssh-monitor`**). Сборка tarball из текущего git-дерева:
 ```bash
 make dist
@@ -132,13 +163,13 @@ make dist
 Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
-## Автозапуск через systemd
+## Установка скрипта, конфигурации и systemd
 1. Скопируйте скрипт в постоянное место:
- - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
+   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
-2. Убедитесь, что конфиг есть:
+2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
- - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf` (если еще не создан)
+   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
- - `sudo chmod 600 /etc/ssh-monitor.conf`
+   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
 ```ini
@@ -177,40 +208,14 @@ sudo journalctl -u ssh-monitor -f
 Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
 ## Статистика без systemd (`journalctl`)
 Для корректного подсчёта событий за последние 24 часа по файлам `/var/log/auth.log*` рекомендуется наличие **Python 3** на сервере. При его отсутствии счётчики в ежедневном отчёте для «классического» syslog могут быть занижены (используется безопасный fallback).
 **Мониторинг `systemd-logind`** и другие части, использующие **`journalctl`**, на таких системах **не выполняются** или дают неполные данные — ориентируйтесь на окружение с **systemd** и доступным журналом.
 ## Watchdog (автоматическое восстановление)
-Watchdog проверяет:
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
- активен ли `ssh-monitor.service`;
+Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 - не устарел ли heartbeat (`LAST_HEARTBEAT_FILE`).
-Если сервис неактивен или heartbeat старше `WATCHDOG_MAX_HEARTBEAT_AGE`, watchdog выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+**Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
-### Установка watchdog
+## Лицензия
-1. Установите watchdog-скрипт:
+Проект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).
 - `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
 2. Создайте unit и timer из примеров:
 - `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
 - `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
 3. Примените и запустите timer:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor-watchdog.timer
 sudo systemctl start ssh-monitor-watchdog.timer
 ```
 4. Проверка:
 ```bash
 sudo systemctl status ssh-monitor-watchdog.timer
 sudo systemctl list-timers | grep ssh-monitor-watchdog
 sudo journalctl -u ssh-monitor-watchdog.service -f
 ```
@@ -0,0 +1,126 @@
 # Автообновление ssh-monitor
 Скрипт **`update_ssh_monitor.sh`** в корне репозитория обновляет установленный **`/usr/local/bin/ssh-monitor`** из git-репозитория и перезапускает systemd-сервис. Конфиг **`/etc/ssh-monitor.conf`**, watchdog и таймеры **не изменяются**.
 Установка самого монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
 ## Что делает скрипт
 1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
 2. Проверяет наличие **`ipset`**; при отсутствии пытается установить через пакетный менеджер (apt, yum, dnf, pacman, zypper). Без ipset скрипт завершается с ошибкой — новая версия монитора с **`ENABLE_IP_BAN=1`** требует ipset.
 3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git pull origin main`** репозитория.
 4. Ищет файл **`ssh-monitor`** в клоне:
   - `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
   - `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
 5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
 6. При отличии:
   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS`;
   - `cp` + `chmod +x`;
   - **`systemctl restart ssh-monitor.service`** (если есть systemctl).
 7. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
 ```mermaid
 flowchart LR
  A[cron/timer] --> B[update_ssh_monitor.sh]
  B --> C[git pull/clone]
  C --> D{SHA256 различается?}
  D -->|да| E[backup + cp]
  E --> F[restart ssh-monitor.service]
  D -->|нет| G[без изменений]
 ```
 ## Настройка перед первым запуском
 Отредактируйте переменные в начале **`update_ssh_monitor.sh`**:
 | Переменная | По умолчанию | Назначение |
 |------------|--------------|------------|
 | `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
 | `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL закрытого репозитория (на GitHub в репо — placeholder) |
 | `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
 | `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
 | `DEBUG` | `0` | `1` — подробный DEBUG в лог |
 Требования на сервере:
 - **root** (или sudo) для `cp`, `systemctl`, установки ipset;
 - **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
 - ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
 ## Установка
 ```bash
 sudo mkdir -p /opt/scripts
 sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
 sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
 ```
 Проверка вручную:
 ```bash
 sudo /opt/scripts/update_ssh_monitor.sh
 sudo tail -20 /var/log/update_script.log
 sudo systemctl status ssh-monitor
 ```
 ## Запуск по расписанию
 ### Cron (пример: каждый день в 04:00)
 ```bash
 sudo crontab -e
 ```
 Добавьте:
 ```
 0 4 * * * /opt/scripts/update_ssh_monitor.sh
 ```
 ### systemd timer (альтернатива)
 Создайте `/etc/systemd/system/ssh-monitor-update.service`:
 ```ini
 [Unit]
 Description=Update ssh-monitor from git
 [Service]
 Type=oneshot
 ExecStart=/opt/scripts/update_ssh_monitor.sh
 ```
 И `/etc/systemd/system/ssh-monitor-update.timer`:
 ```ini
 [Unit]
 Description=Daily ssh-monitor update
 [Timer]
 OnCalendar=*-*-* 04:00:00
 Persistent=true
 [Install]
 WantedBy=timers.target
 ```
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable --now ssh-monitor-update.timer
 ```
 ## Откат после неудачного обновления
 Резервные копии лежат рядом с установленным скриптом:
 ```bash
 ls -la /usr/local/bin/ssh-monitor.backup.*
 sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-monitor
 sudo systemctl restart ssh-monitor.service
 ```
 ## Ограничения
 - Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
 - При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
 - На **git.kalinamall.ru** в `update_ssh_monitor.sh` уже задан внутренний **`REPO_URL`**; на GitHub остаётся placeholder для форка.
@@ -0,0 +1,152 @@
 # Системные зависимости и установка окружения
 Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
 ## 1. Что должно быть на хосте
 ### Обязательно
 | Назначение | Что используется | Примечание |
 |------------|------------------|------------|
 | Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
 | Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
 | Telegram | **curl** | Запросы к `api.telegram.org`. |
 | Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
 | Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
 Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
 ### Настоятельно рекомендуется (полный функционал)
 | Назначение | Что используется |
 |------------|------------------|
 | Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
 | Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
 | Удобный просмотр логов сервиса | **`journalctl`** |
 На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
 ### Утилиты из «базовой» системы
 Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
 ---
 ## 2. Пошаговая установка пакетов (Debian / Ubuntu)
 Выполняйте от пользователя с `sudo`.
 **Шаг 1.** Обновить индексы пакетов:
 ```bash
 sudo apt update
 ```
 **Шаг 2.** Минимум для Telegram и бана по firewall:
 ```bash
 sudo apt install -y iptables curl
 ```
 При необходимости IPv6 (если на сервере используется `ip6tables`):
 ```bash
 sudo apt install -y ip6tables
 ```
 (На многих образах **ip6tables** уже входит в метапакет с iptables.)
 **Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
 ```bash
 sudo apt install -y python3
 ```
 **Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
 **Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
 ```bash
 sudo apt install -y iptables-persistent netfilter-persistent
 ```
 Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
 ---
 ## 3. Другие дистрибутивы
 Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
 Примеры:
 - **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
 - **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
 ---
 ## 4. Системы без `journalctl` (классический syslog)
 - События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
 - **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
 - Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
 ---
 ## 5. Конфликты с UFW / другими обёртками firewall
 Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
 ```bash
 sudo iptables -L INPUT -n -v --line-numbers
 ```
 При необходимости согласуйте порядок с вашей схемой управления firewall.
 ---
 ## 6. Опционально: watchdog
 Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
 **Установка:**
 1. Скопируйте скрипт:  
   `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
 2. Установите unit и timer:  
   `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`  
   `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
 3. Включите timer:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor-watchdog.timer
 sudo systemctl start ssh-monitor-watchdog.timer
 ```
 4. Проверка:
 ```bash
 sudo systemctl status ssh-monitor-watchdog.timer
 sudo systemctl list-timers | grep ssh-monitor-watchdog
 sudo journalctl -u ssh-monitor-watchdog.service -f
 ```
 Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
 ---
 ## 7. Краткий чек-лист перед первым запуском
 - [ ] Установлены **iptables** (и при необходимости **ip6tables**).
 - [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
 - [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
 - [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
 - [ ] (По желанию) настроено сохранение правил после перезагрузки.
 Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).
 Дополнительно:
 - [notifications.ru.md](notifications.ru.md) — подпись **«🖥️ Сервер»** в уведомлениях, типы алертов, часовые пояса.
 - [auto-update.ru.md](auto-update.ru.md) — автообновление скрипта через **`update_ssh_monitor.sh`**.
@@ -0,0 +1,98 @@
 # Уведомления ssh-monitor
 Документ описывает, **какие сообщения** отправляет монитор, **какие поля** в них есть и как настроить **подпись сервера** и **часовой пояс**.
 См. также: [README.md](../README.md), пример конфига [ssh-monitor.conf.example](../ssh-monitor.conf.example).
 ## Подпись сервера (🖥️ Сервер)
 Начиная с версии **1.1.3-server-label**, каждое уведомление, проходящее через **`notify_send()`**, получает строку **«🖥️ Сервер: …»** сразу **после первой строки** (заголовка алерта).
 Формат значения:
 | Условие | Пример |
 |---------|--------|
 | `SERVER_DISPLAY_NAME` пусто, IPv4 найден | `web01 (10.1.20.5)` |
 | `SERVER_DISPLAY_NAME` пусто, IPv4 нет | `web01` |
 | Задан `SERVER_DISPLAY_NAME="prod-db-01"` | `prod-db-01 (10.1.20.5)` |
 IPv4 определяется через `ip -4 route get` (исходящий адрес) или `hostname -I`. Нужны утилиты **`hostname`** и **`ip`** — см. [install-prerequisites.ru.md](install-prerequisites.ru.md).
 Если в тексте сообщения уже есть подстрока **`🖥️ Сервер:`**, вторая строка **не добавляется** (защита от дубля при ручной вставке).
 ### Пример: успешный SSH
 ```
 ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ
 🖥️ Сервер: myhost (10.1.20.5)
 👤 Пользователь: alice
 🌐 IP адрес: 10.1.20.1
 🕐 Время: 25.05.2026 09:08:22
 ```
 ### Пример: sudo
 ```
 ⚠️ ИСПОЛЬЗОВАНИЕ SUDO
 🖥️ Сервер: myhost (10.1.20.5)
 👤 Пользователь: alice
 🔑 От имени USER: root
 💻 Команда: /bin/bash
 📁 Директория: /home/alice
 🕐 Время: 24.05.2026 16:54:49
 ```
 ## Настройка в `/etc/ssh-monitor.conf`
 ```bash
 # Пусто = hostname (+ IPv4 при возможности)
 SERVER_DISPLAY_NAME=""
 # Или фиксированное имя для этого хоста в общем чате:
 # SERVER_DISPLAY_NAME="dc1-app-03"
 ```
 Проверка эффективной подписи:
 ```bash
 sudo ssh-monitor --check-config
 ```
 В выводе будет строка `SERVER_DISPLAY_NAME=... (эффективно: ...)`.
 ## Типы уведомлений
 | Событие | Заголовок (первая строка) | Доп. поля |
 |---------|----------------------------|-----------|
 | Успешный SSH | ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ | пользователь, IP клиента, время |
 | SSH под root | 🔑 SSH ВХОД ПОД ROOT | IP, время |
 | Неудачная попытка SSH | ❌ НЕУДАЧНАЯ ПОПЫТКА SSH | пользователь, IP, счётчик попыток, время |
 | Sudo | ⚠️ ИСПОЛЬЗОВАНИЕ SUDO | пользователь, USER=, команда, PWD, время |
 | Бан IP | 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ | IP, попытки, длительность, время |
 | Порог без бана | ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён…) | IP, попытки, время |
 | Брутфорс | 🧨 ВОЗМОЖНЫЙ МАССОВЫЙ БРУТФОРС SSH | IP, счётчик за окно, время |
 | Host key / MITM | 🔐 ВНИМАНИЕ: изменение SSH host key… | фрагмент журнала, время |
 | logind: новая сессия | 🖥️ НОВАЯ СЕССИЯ (systemd-logind) | пользователь, ID сессии, время |
 | logind: сбой | ❌ СБОЙ (systemd-logind) | строка журнала, время |
 | Ежедневный отчёт | 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА | статистика 24 ч, баны, топ IP, сессии |
 | Heartbeat | ❤️ Heartbeat - скрипт мониторинга работает | время |
 | Старт / стоп | ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН / ⚠️ ОСТАНОВЛЕН | версия, каналы, время |
 Во всех перечисленных случаях **🖥️ Сервер** добавляется автоматически (кроме сообщений, где вы сами вставили эту строку).
 ## Время в сообщениях (🕐)
 Строки **«🕐 Время»** формируются функцией **`notification_date()`**:
 1. Если задан **`NOTIFY_TZ`** (IANA, например `Europe/Moscow`) — используется он.
 2. Иначе, если задан **`DAILY_REPORT_TZ`** — он.
 3. Иначе — зона процесса (`date` у systemd-сервиса; часто UTC, если в unit указано `Environment=TZ=UTC`).
 Ежедневный отчёт по календарю и часу **`DAILY_REPORT_HOUR`** использует **`DAILY_REPORT_TZ`** (или зону процесса) — см. README.
 ## Каналы доставки
 - **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
 - **`BACKUP_WEBHOOK_URL`**: только если **все** каналы цепочки не доставили сообщение.
 Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.
@@ -0,0 +1,219 @@
 # ssh-monitor
 Bash script that monitors **SSH**, **SUDO**, and **`systemd-logind`** events (local/graphical sessions, etc.), sends alerts via **Telegram** and **SMTP email**, optional backup webhook, automatic IP blocking (**ipset** + **iptables** / **ip6tables**: `hash:ip` sets with timeout, single `-m set` rule; details in **`IPSET-NOTES.txt`**), and a daily report.
 ## Repository contents
 | File | Purpose |
 |------|---------|
 | **`ssh-monitor`** | Main loop: parses logs (**journalctl**: sshd, sudo, security events, **systemd-logind**), notification chain (Telegram, SMTP via **python3**, backup webhook); with **`ENABLE_IP_BAN=1`** tracks failed attempts, bans via **ipset**, reconciles with **iptables**/**ip6tables**, daily report, heartbeat, optional **Prometheus** textfile and JSON health. Modes: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Standalone script (usually via **systemd timer**): checks that the monitor service is active and the heartbeat file is fresh; on failure runs **`systemctl restart`** and sends Telegram or **`BACKUP_WEBHOOK_URL`**. Reads the same `TELEGRAM_*` / webhook from `/etc/ssh-monitor.conf`. |
 | **`update_ssh_monitor.sh`** | Optional auto-update: `git pull` / `clone`, SHA256 compare with `/usr/local/bin/ssh-monitor`, restart `ssh-monitor.service`. See [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian). |
 **System packages and dependencies** (install on the server before running): step-by-step in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md) (Russian).
 ## Configuration
 The script reads `/etc/ssh-monitor.conf` in `KEY="value"` format.
 1. Copy the example:
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
 2. Restrict permissions:
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Fill in at least **one notification channel** (otherwise the script exits immediately; see **«Mandatory requirement»** below and **«Notification channels and empty NOTIFY_CHAIN»**):
   - for **Telegram**: `TELEGRAM_BOT_TOKEN` and `TELEGRAM_CHAT_ID`;
   - or configure **SMTP** using the variables below with `NOTIFY_ORDER=""` (auto-selected channels).
 **Mandatory requirement:** after loading the config, **`NOTIFY_CHAIN`** must contain **at least one** channel (`telegram` or `email`). If there are **none** (empty `NOTIFY_ORDER` and neither Telegram nor SMTP qualify as “configured”, or `NOTIFY_ORDER` contains only unknown names), the script **does not** enter the main loop and exits with code **1**, stderr: **`Не настроен ни один канал отправки оповещений`**. The same applies to **`--check-config`** and **`--dry-run`**. The backup **`BACKUP_WEBHOOK_URL`** is **not** part of this check — it is used only if **every** channel in **`NOTIFY_CHAIN`** fails to deliver.
 Supported parameters:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — channel list (`telegram`, `email`, or **tg**, **mail**); for each alert the script **tries all listed** channels in order (not “first success stops”). Empty = only configured channels are chained (default order in `ssh-monitor.conf.example`). If the resulting chain is empty — the script does not start (see **«Notification channels and empty NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — mail via **python3** (see channel table below)
 - `BACKUP_WEBHOOK_URL` — fallback JSON `{"text":"..."}` (e.g. Slack Incoming Webhook) if **all** **`NOTIFY_CHAIN`** channels fail; **does not** replace the need for at least one primary channel (see step 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — see **«systemd-logind monitoring»** below
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (optional), `NOTIFY_TZ` (optional), `SERVER_DISPLAY_NAME` (optional), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — directory for `ssh_monitor.prom` (node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — path to JSON with last loop iteration marker
 - `ENABLE_IP_BAN` — `1` (default): monitoring and auto-ban via ipset; `0`: monitoring and alerts only (no ipset/ban)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, e.g. `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
 If `/etc/ssh-monitor.conf` is missing or some values are empty, script defaults apply.
 ### `/etc/ssh-monitor.conf` variables
 - `TELEGRAM_BOT_TOKEN` — Telegram bot token for alerts.
 - `TELEGRAM_CHAT_ID` — chat/user ID for notifications.
 - `NOTIFY_ORDER` — CSV of channel names (`telegram`, `email`, `tg`, `mail`). For **each** alert, delivery is attempted **to all** listed channels (if one fails, others still run; failures go to **`LOG_FILE`**). Empty string: build chain from configured channels only (default order telegram → email; “configured” criteria — **table** in **«Notification channels and empty NOTIFY_CHAIN»**). If no channels remain, the script exits: **«Не настроен ни один канал отправки оповещений»** (including `--check-config` and `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — SMTP for `email` channel (**python3**; see “configured” table).
 - `BACKUP_WEBHOOK_URL` — backup POST URL (JSON `{"text":"..."}`); fallback only, **not** counted as a configured channel (see step 3).
 - `LOG_FILE` — main script log path.
 - `LAST_HEARTBEAT_FILE` — file with last heartbeat timestamp.
 - `LAST_REPORT_FILE` — date of last daily report `YYYY-MM-DD` (legacy Unix time on first run is interpreted automatically).
 - `LAST_SSH_CHECK_FILE` — last SSH events check timestamp.
 - `LAST_SUDO_CHECK_FILE` — last sudo events check timestamp.
 - `LAST_SECURITY_EVENTS_FILE` — last “heavy” security journal check.
 - `LAST_LOGIND_CHECK_FILE` — last `systemd-logind` journal processing (Unix time); ~30 minutes of history on first run.
 - `BAN_LIST_FILE` — ban state file (IP, ban end time, metadata).
 - `ENABLE_LOGIND_MONITOR` — `1` enables `journalctl -u systemd-logind`, `0` disables this block.
 - `LOGIND_NOTIFY_NEW` — `1` send Telegram on new logind session (*New session … of user …*).
 - `LOGIND_NOTIFY_REMOVED` — `1` send Telegram on session end (*Removed session …*); default `0` (log only to avoid spam).
 - `LOGIND_NOTIFY_FAILED` — `1` send Telegram on logind lines containing *failed* (broad filter; disable if needed).
 - `LOGIND_SKIP_REMOTE` — `1` (default): for a new logind session, if `loginctl` is available, skip duplicate Telegram when already covered by **`monitor_ssh`**: **`Type=ssh`** or **`Service`** points to **sshd** (often **`Type=tty` + `Service=sshd`**); short retries if `loginctl` returns empty. Set `0` for separate logind alerts for SSH sessions too.
 - `DAILY_REPORT_HOUR` — hour (0..23) after which at most one daily report is sent in the **current calendar day** (in the zone below).
 - `DAILY_REPORT_TZ` — optional **IANA** zone (`Europe/Moscow`, …). If **empty**, report uses the monitor process zone (usually matches `timedatectl` / `/etc/localtime`). If the unit sets `TZ=UTC`, without `DAILY_REPORT_TZ` the report uses **UTC** — set an explicit zone in config.
 - `NOTIFY_TZ` — **IANA** zone for **«🕐 Время»** lines in Telegram/email. **Empty** — use **`DAILY_REPORT_TZ`** if set, else process zone. Common mismatch: **`ssh-monitor.service`** has **`Environment=TZ=UTC`** — set **`NOTIFY_TZ`** or **`DAILY_REPORT_TZ`** to your locale, e.g. `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — label in **«🖥️ Server»** line on every alert. **Empty** — `hostname` plus primary IPv4 when available. Set a fixed name when many hosts share one Telegram chat. Details: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — at most one Telegram per successful SSH (**Accepted**) per **user + IP** pair within **N** seconds (default **5**). Removes duplicates when journal has two lines with **different client ports** for one login. **`0`** disables this cross-iteration dedup (in-pass dedup by `user|ip|port` remains).
 - `DAILY_REPORT_TOP_IPS` — how many IPs in the failed-attempts top for 24 hours.
 - `BRUTE_WINDOW_SEC` — window (seconds) for “mass” brute-force evaluation via `journalctl`.
 - `BRUTE_MIN_FAILS` — minimum failures in the window to alert.
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — cooldown between repeat alerts for the same IP.
 - `PROMETHEUS_TEXTFILE_DIR` — if set to an existing directory, writes `ssh_monitor.prom` with `ssh_monitor_last_loop_unixtime` each iteration.
 - `HEALTHCHECK_STATUS_FILE` — if set, updates JSON `{ "ts", "hostname", "dry_run" }` each iteration.
 - `ENABLE_IP_BAN` — enable auto-ban (`1`) or monitor-only with alerts (`0`; **ipset** not required).
 - `BAN_TIME` — ban duration in seconds (`ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — failed SSH attempts before auto-ban.
 - `BAN_CHECK_INTERVAL` — interval to check expired bans and reconcile ban list with firewall (seconds).
 - `MONITOR_INTERVAL` — pause between main loop iterations (seconds).
 - `WHITELIST_IPS` — comma-separated whitelist (IPv4/IPv6 exact match).
 - `WHITELIST_SUBNETS` — **IPv4-only** CIDR whitelist, comma-separated (e.g. `10.0.0.0/24`).
 - `WATCHDOG_MAX_HEARTBEAT_AGE` — seconds after which heartbeat is stale.
 - `WATCHDOG_LOG_FILE` — watchdog log file.
 - `WATCHDOG_SERVICE_NAME` — systemd service watched by watchdog (default `ssh-monitor.service`).
 - `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` enables watchdog “OK” messages when healthy, `0` disables.
 ### Notification channels and empty NOTIFY_CHAIN
 What counts as a **configured** channel (only these join the auto chain when **`NOTIFY_ORDER=""`**):
 | Channel | “Configured” condition |
 |---------|------------------------|
 | `telegram` | **`TELEGRAM_BOT_TOKEN`** and **`TELEGRAM_CHAT_ID`** set |
 | `email` | non-empty **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, **`python3`** in PATH |
 If **`NOTIFY_CHAIN` is empty**, the script exits with **`Не настроен ни один канал отправки оповещений`** (see step 3 in **Configuration**).
 ### systemd-logind monitoring
 - Collects **`systemd-logind`** unit messages via **`journalctl`** (`-o cat`): new/ended sessions, and lines containing *failed* (if enabled).
 - Without **`journalctl`**, this block **does not run** (like other journal-based features).
 - “New session” parsing expects typical English formats (`New session … of user …`). On mismatch, the line is still logged with a parse warning.
 - **`loginctl`** is used for **`LOGIND_SKIP_REMOTE`**: **Type** and **Service** decide whether to avoid duplicate Telegram with **`monitor_ssh`** (see `LOGIND_SKIP_REMOTE` above).
 - **`monitor_ssh`**: **sshd** events mostly **`journalctl _COMM=sshd`** (fallback units `sshd` / `ssh`), lines **`sort -u`**, **`Accepted`** dedup per **user|IP|port** within one pass; between passes **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** for **user|IP** (see config).
 **`ssh-monitor --check-config`** prints current values, including logind settings.
 Hosts **without journald** and **`/var/log/auth.log`** caveats: section 4 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ### Server identification in alerts
 **All** notifications sent via **`notify_send()`** get a **«🖥️ Сервер: …»** line (Russian label in messages) right after the title: `hostname (IPv4)` or hostname only. Implemented centrally in **`message_ensure_server_line()`**; no need to add the line in each alert builder.
 - Requires **`hostname`** and **`ip`** (see prerequisites doc).
 - Optional **`SERVER_DISPLAY_NAME`** in config for a fixed label.
 - Message types and examples: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
 ### Auto-update
 **`update_ssh_monitor.sh`** can run on a schedule to `git pull`, compare SHA256 with `/usr/local/bin/ssh-monitor`, copy on change, and restart **`ssh-monitor.service`**. Does not modify `/etc/ssh-monitor.conf`.
 Setup guide: [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian).
 ## Run modes
 Normal run (root):
 ```bash
 sudo bash ./ssh-monitor
 ```
 Check config and syntax **without** starting the loop, **without** changing `iptables`, no mandatory Telegram send:
 ```bash
 sudo bash ./ssh-monitor --check-config
 ```
 **Dry-run** (firewall rules unchanged; notifications go to stderr instead of sending):
 ```bash
 sudo bash ./ssh-monitor --dry-run
 ```
 ## Syntax check
 ```bash
 bash -n ./ssh-monitor
 ```
 ## Release tarball
 Version is set in the script as **`SSH_MONITOR_VERSION`** (as of last doc update — **1.1.3-server-label**; see the **`ssh-monitor`** file for the current value). Build from the git tree:
 ```bash
 make dist
 ```
 Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://github.com/PTah/ssh-monitor/releases).
 ## Installing the script, config, and systemd
 1. Install the script:
   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
 2. Ensure config exists (see **Configuration**):
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Create `/etc/systemd/system/ssh-monitor.service`:
 ```ini
 [Unit]
 Description=SSH Monitor with Telegram alerts
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=simple
 ExecStart=/usr/local/bin/ssh-monitor
 Restart=always
 RestartSec=5
 User=root
 [Install]
 WantedBy=multi-user.target
 ```
 4. Enable and start:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor
 sudo systemctl start ssh-monitor
 ```
 5. Status and logs:
 ```bash
 sudo systemctl status ssh-monitor
 sudo journalctl -u ssh-monitor -f
 ```
 ## Log rotation
 Example `logrotate` config: `contrib/logrotate.d/ssh-monitor`. Copy to `/etc/logrotate.d/` and adjust paths for your `LOG_FILE` / `WATCHDOG_LOG_FILE` and state files under `/var/log/` (including `LAST_*` if you rotate them separately).
 ## Watchdog (automatic recovery)
 The watchdog checks `ssh-monitor.service` activity and heartbeat freshness (`LAST_HEARTBEAT_FILE`). On failure it runs `systemctl restart` and sends a notification (Telegram, or `BACKUP_WEBHOOK_URL` if Telegram fails).
 Step-by-step **ssh-monitor-watchdog** and **timer** setup: section 6 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 **Keywords (search):** SSH, **sshd**, **bash** on **Linux**, **Telegram**, **SMTP**, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, automatic **IP ban** and **whitelist**, **systemd** unit, **daily report**, **heartbeat**, **OpenSSH**, server security, **Prometheus** textfile, optional **watchdog**.
 ## License
 This project is licensed under the **MIT License** — see [LICENSE](LICENSE).
@@ -7,7 +7,7 @@ IFS=$'\n\t'
 # ============================================
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="1.0.0"
+SSH_MONITOR_VERSION="1.1.3-server-label"
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
@@ -38,6 +38,8 @@ DAILY_REPORT_TOP_IPS=5
 DAILY_REPORT_TZ=""
 # IANA-зона для строк «🕐 Время» в Telegram/email. Пусто = тогда DAILY_REPORT_TZ, если она задана, иначе зона процесса (часто UTC у systemd — см. README).
 NOTIFY_TZ=""
 # Подпись сервера в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (удобно при одинаковых hostname).
 SERVER_DISPLAY_NAME=""
 # Не слать повтор «Accepted» для той же пары user+IP чаще, чем раз в N секунд (разные port в журнале — один вход).
 SSH_ACCEPT_NOTIFY_DEDUP_SEC=5
@@ -68,12 +70,21 @@ BRUTE_NOTIFY_COOLDOWN_SEC=3600
 # НАСТРОЙКИ БЛОКИРОВКИ IP
 # ============================================
 # 1 = мониторинг + автобан IP (ipset); 0 = только мониторинг и уведомления (ipset/iptables не трогаем).
 ENABLE_IP_BAN=1
 BAN_TIME=3600
 MAX_ATTEMPTS=3
 BAN_CHECK_INTERVAL=60
 MONITOR_INTERVAL=10
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 # Блокировка через ipset (одно правило iptables/ip6tables + таймаут элемента в ядре).
 # Имена наборов можно переопределить в /etc/ssh-monitor.conf
 IPSET_NAME_V4="ssh_monitor_ban"
 IPSET_NAME_V6="ssh_monitor_ban_v6"
 IPSET_MAXELEM=1048576
 WHITELIST_IPS=(
 "127.0.0.1"
 )
@@ -153,6 +164,7 @@ load_config() {
 local cfg_daily_report_top_ips="${DAILY_REPORT_TOP_IPS}"
 local cfg_daily_report_tz="${DAILY_REPORT_TZ}"
 local cfg_notify_tz="${NOTIFY_TZ:-}"
 local cfg_server_display_name="${SERVER_DISPLAY_NAME:-}"
 local cfg_ssh_accept_notify_dedup_sec="${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}"
 local cfg_last_ssh_check_file="${LAST_SSH_CHECK_FILE}"
 local cfg_last_sudo_check_file="${LAST_SUDO_CHECK_FILE}"
@@ -168,11 +180,15 @@ load_config() {
 local cfg_brute_window_sec="${BRUTE_WINDOW_SEC}"
 local cfg_brute_min_fails="${BRUTE_MIN_FAILS}"
 local cfg_brute_notify_cooldown_sec="${BRUTE_NOTIFY_COOLDOWN_SEC}"
 local cfg_enable_ip_ban="${ENABLE_IP_BAN:-1}"
 local cfg_ban_time="${BAN_TIME}"
 local cfg_max_attempts="${MAX_ATTEMPTS}"
 local cfg_ban_check_interval="${BAN_CHECK_INTERVAL}"
 local cfg_monitor_interval="${MONITOR_INTERVAL}"
 local cfg_ban_list_file="${BAN_LIST_FILE}"
 local cfg_ipset_name_v4="${IPSET_NAME_V4:-ssh_monitor_ban}"
 local cfg_ipset_name_v6="${IPSET_NAME_V6:-ssh_monitor_ban_v6}"
 local cfg_ipset_maxelem="${IPSET_MAXELEM:-1048576}"
 local cfg_whitelist_ips_csv="${default_whitelist_ips_csv}"
 local cfg_whitelist_subnets_csv="${default_whitelist_subnets_csv}"
 local cfg_notify_order="${NOTIFY_ORDER:-}"
@@ -210,11 +226,15 @@ load_config() {
 PROMETHEUS_TEXTFILE_DIR="${PROMETHEUS_TEXTFILE_DIR:-$cfg_prometheus_textfile_dir}"
 HEALTHCHECK_STATUS_FILE="${HEALTHCHECK_STATUS_FILE:-$cfg_healthcheck_status_file}"
 BAN_LIST_FILE="${BAN_LIST_FILE:-$cfg_ban_list_file}"
 IPSET_NAME_V4="${IPSET_NAME_V4:-$cfg_ipset_name_v4}"
 IPSET_NAME_V6="${IPSET_NAME_V6:-$cfg_ipset_name_v6}"
 IPSET_MAXELEM="${IPSET_MAXELEM:-$cfg_ipset_maxelem}"
 DAILY_REPORT_HOUR="${DAILY_REPORT_HOUR:-$cfg_daily_report_hour}"
 DAILY_REPORT_TOP_IPS="${DAILY_REPORT_TOP_IPS:-$cfg_daily_report_top_ips}"
 DAILY_REPORT_TZ="$(trim_value "${DAILY_REPORT_TZ:-$cfg_daily_report_tz}")"
 NOTIFY_TZ="$(trim_value "${NOTIFY_TZ:-$cfg_notify_tz}")"
 SERVER_DISPLAY_NAME="$(trim_value "${SERVER_DISPLAY_NAME:-$cfg_server_display_name}")"
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="$(trim_value "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-$cfg_ssh_accept_notify_dedup_sec}")"
 if ! [[ "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}" =~ ^[0-9]+$ ]]; then
 SSH_ACCEPT_NOTIFY_DEDUP_SEC=5
@@ -222,6 +242,7 @@ load_config() {
 BRUTE_WINDOW_SEC="${BRUTE_WINDOW_SEC:-$cfg_brute_window_sec}"
 BRUTE_MIN_FAILS="${BRUTE_MIN_FAILS:-$cfg_brute_min_fails}"
 BRUTE_NOTIFY_COOLDOWN_SEC="${BRUTE_NOTIFY_COOLDOWN_SEC:-$cfg_brute_notify_cooldown_sec}"
 ENABLE_IP_BAN="${ENABLE_IP_BAN:-$cfg_enable_ip_ban}"
 BAN_TIME="${BAN_TIME:-$cfg_ban_time}"
 MAX_ATTEMPTS="${MAX_ATTEMPTS:-$cfg_max_attempts}"
 BAN_CHECK_INTERVAL="${BAN_CHECK_INTERVAL:-$cfg_ban_check_interval}"
@@ -241,6 +262,13 @@ load_config() {
 MAIL_TO="$(trim_value "${MAIL_TO:-$cfg_mail_to}")"
 MAIL_SMTP_STARTTLS="${MAIL_SMTP_STARTTLS:-$cfg_mail_smtp_starttls}"
 MAIL_SMTP_SSL="${MAIL_SMTP_SSL:-$cfg_mail_smtp_ssl}"
 local _eib
 _eib="$(trim_value "${ENABLE_IP_BAN:-1}")"
 case "${_eib,,}" in
 0 | no | off | false) ENABLE_IP_BAN=0 ;;
 *) ENABLE_IP_BAN=1 ;;
 esac
 }
 # Дата/время для ежедневного отчёта (час DAILY_REPORT_HOUR и «сегодня» в LAST_REPORT_FILE).
@@ -322,6 +350,13 @@ validate_config() {
 validate_numeric_or_default "BRUTE_MIN_FAILS" "30"
 validate_numeric_or_default "BRUTE_NOTIFY_COOLDOWN_SEC" "3600"
 validate_numeric_or_default "MAIL_SMTP_PORT" "587"
 validate_numeric_or_default "IPSET_MAXELEM" "1048576"
 if [ "${ENABLE_IP_BAN:-1}" = "1" ] && [ "${CHECK_CONFIG_ONLY:-0}" != "1" ] && [ "${DRY_RUN:-0}" != "1" ]; then
 if ! command -v ipset >/dev/null 2>&1; then
 printf '%s\n' 'Включён автобан IP (ENABLE_IP_BAN=1): требуется утилита ipset (например: apt install ipset)' >&2
 exit 1
 fi
 fi
 refresh_notify_chain
 if [ "${#NOTIFY_CHAIN[@]}" -eq 0 ]; then
 printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
@@ -446,6 +481,53 @@ write_log() {
 echo "${timestamp} - ${message}"
 }
 # ============================================
 # Подпись сервера в текстах уведомлений
 # ============================================
 # Для Telegram и отчётов: «hostname (IPv4)» или SERVER_DISPLAY_NAME (+ IPv4); без IPv4 — только имя.
 server_display_name_with_ip() {
 local hn ip
 if [ -n "${SERVER_DISPLAY_NAME:-}" ]; then
 hn="${SERVER_DISPLAY_NAME}"
 else
 hn=$(hostname 2>/dev/null | tr -d '\r\n')
 [ -z "$hn" ] && hn="(unknown)"
 fi
 ip=""
 if command -v ip >/dev/null 2>&1; then
 ip=$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
 [ -z "$ip" ] && ip=$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
 fi
 if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1; then
 if hostname -I >/dev/null 2>&1; then
 ip=$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)
 fi
 fi
 if [ -n "$ip" ]; then
 printf '%s (%s)' "$hn" "$ip"
 else
 printf '%s' "$hn"
 fi
 }
 # Вставляет «🖥️ Сервер: …» сразу после первой строки (заголовка), если строки ещё нет.
 message_ensure_server_line() {
 local msg="$1"
 if [[ "$msg" == *'🖥️ Сервер:'* ]]; then
 printf '%s' "$msg"
 return 0
 fi
 local first rest
 first="${msg%%$'\n'*}"
 if [ "$first" = "$msg" ]; then
 printf '%s\n🖥️ Сервер: %s' "$first" "$(server_display_name_with_ip)"
 else
 rest="${msg#*$'\n'}"
 printf '%s\n🖥️ Сервер: %s\n%s' "$first" "$(server_display_name_with_ip)" "$rest"
 fi
 }
 # ============================================
 # УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы; BACKUP_WEBHOOK только если все неуспешны.
 # ============================================
@@ -572,6 +654,7 @@ PY
 notify_send() {
 local message="$1"
 message="$(message_ensure_server_line "$message")"
 if [ "${DRY_RUN:-0}" = "1" ]; then
 printf '[DRY-RUN notify] %s\n' "$(printf '%s' "$message" | tr '\n' ' ')" >&2
 return 0
@@ -665,81 +748,141 @@ is_whitelisted() {
 }
 # ============================================
-# iptables / ip6tables
+# ipset + одно правило iptables/ip6tables (без per-IP правил)
 # ============================================
 # Таймаут бана задаётся на элементе ipset: ядро само удаляет IP по истечении
 # времени. Файл BAN_LIST_FILE — для отчётов и восстановления после перезагрузки.
 is_ipv6() {
 [[ "$1" == *:* ]]
 }
-do_firewall_add_drop() {
+# Верхняя граница timeout для ipset (секунды), см. ipset(8).
- local ip="$1"
+IPSET_TIMEOUT_MAX=2147483
 if is_ipv6 "$ip"; then
 if command -v ip6tables >/dev/null 2>&1; then
 sudo ip6tables -I INPUT -s "$ip" -j DROP
 else
 write_log "WARN: IPv6 $ip — ip6tables недоступен, блокировка пропущена"
 return 1
 fi
 else
 do_iptables -I INPUT -s "$ip" -j DROP
 fi
 }
-do_firewall_del_drop() {
+run_priv() {
 local ip="$1"
 if is_ipv6 "$ip"; then
 if command -v ip6tables >/dev/null 2>&1; then
 sudo ip6tables -D INPUT -s "$ip" -j DROP
 fi
 else
 do_iptables -D INPUT -s "$ip" -j DROP
 fi
 }
 is_firewall_blocked() {
 local ip="$1"
 if is_ipv6 "$ip"; then
 if command -v ip6tables >/dev/null 2>&1; then
 sudo ip6tables -C INPUT -s "$ip" -j DROP >/dev/null 2>&1
 else
 return 1
 fi
 else
 do_iptables -C INPUT -s "$ip" -j DROP >/dev/null 2>&1
 fi
 }
 do_iptables() {
 if [ "${DRY_RUN:-0}" = "1" ]; then
- write_log "DRY-RUN: iptables $*"
+ write_log "DRY-RUN: $*"
 return 0
 fi
- sudo iptables "$@"
+ if [ "$EUID" -eq 0 ]; then
 "$@"
 else
 sudo "$@"
 fi
 }
-save_iptables_rules() {
+ipset_timeout_clamp() {
 local t="${1:-$BAN_TIME}"
 if ! [[ "$t" =~ ^[0-9]+$ ]]; then
 t="$BAN_TIME"
 fi
 if [ "$t" -gt "$IPSET_TIMEOUT_MAX" ]; then
 echo "$IPSET_TIMEOUT_MAX"
 else
 echo "$t"
 fi
 }
 ensure_ipset_and_iptables() {
 if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
 return 0
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
 return 0
 fi
 if ! command -v ipset >/dev/null 2>&1; then
 write_log "CRIT: ipset не найден; установите: apt install ipset"
 return 1
 fi
 local maxt="$IPSET_TIMEOUT_MAX"
 run_priv ipset -exist create "$IPSET_NAME_V4" hash:ip timeout "$maxt" maxelem "$IPSET_MAXELEM" || {
 write_log "CRIT: не удалось создать ipset $IPSET_NAME_V4"
 return 1
 }
 if command -v ip6tables >/dev/null 2>&1; then
 run_priv ipset -exist create "$IPSET_NAME_V6" hash:ip family inet6 timeout "$maxt" maxelem "$IPSET_MAXELEM" || \
 write_log "WARN: не удалось создать ipset $IPSET_NAME_V6 (IPv6 бан отключён)"
 fi
 if ! run_priv iptables -C INPUT -m set --match-set "$IPSET_NAME_V4" src -j DROP 2>/dev/null; then
 run_priv iptables -I INPUT 1 -m set --match-set "$IPSET_NAME_V4" src -j DROP
 write_log "Добавлено iptables: -m set --match-set $IPSET_NAME_V4 src -j DROP"
 fi
 if command -v ip6tables >/dev/null 2>&1 && ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
 if ! run_priv ip6tables -C INPUT -m set --match-set "$IPSET_NAME_V6" src -j DROP 2>/dev/null; then
 run_priv ip6tables -I INPUT 1 -m set --match-set "$IPSET_NAME_V6" src -j DROP
 write_log "Добавлено ip6tables: -m set --match-set $IPSET_NAME_V6 src -j DROP"
 fi
 fi
 save_firewall_state
 return 0
 }
 save_firewall_state() {
 if [ "${DRY_RUN:-0}" = "1" ]; then
 return 0
 fi
 if [ ! -d /etc/iptables ]; then
 return 0
 fi
 if command -v ipset >/dev/null 2>&1; then
 run_priv ipset save -f /etc/iptables/ipset.rules 2>/dev/null || true
 fi
 if command -v iptables-save >/dev/null 2>&1; then
- if [ -d /etc/iptables ]; then
+ run_priv iptables-save >/etc/iptables/rules.v4 2>/dev/null || true
 sudo iptables-save >/etc/iptables/rules.v4 2>/dev/null || true
 fi
 fi
 if command -v ip6tables-save >/dev/null 2>&1; then
- if [ -d /etc/iptables ]; then
+ run_priv ip6tables-save >/etc/iptables/rules.v6 2>/dev/null || true
 sudo ip6tables-save >/etc/iptables/rules.v6 2>/dev/null || true
 fi
 }
 do_ipset_add_ban() {
 local ip="$1"
 local t
 t=$(ipset_timeout_clamp "${2:-$BAN_TIME}")
 if is_ipv6 "$ip"; then
 if ! ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
 write_log "WARN: IPv6 $ip — набор $IPSET_NAME_V6 недоступен, пропуск"
 return 1
 fi
 run_priv ipset -exist del "$IPSET_NAME_V6" "$ip" 2>/dev/null || true
 run_priv ipset add "$IPSET_NAME_V6" "$ip" timeout "$t" || return 1
 else
 run_priv ipset -exist del "$IPSET_NAME_V4" "$ip" 2>/dev/null || true
 run_priv ipset add "$IPSET_NAME_V4" "$ip" timeout "$t" || return 1
 fi
 return 0
 }
 do_ipset_del_ban() {
 local ip="$1"
 if is_ipv6 "$ip"; then
 run_priv ipset -exist del "$IPSET_NAME_V6" "$ip" 2>/dev/null || true
 else
 run_priv ipset -exist del "$IPSET_NAME_V4" "$ip" 2>/dev/null || true
 fi
 }
 is_ip_blocked() {
 local ip="$1"
 if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
 return 1
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
 return 1
 fi
- is_firewall_blocked "$ip"
+ if is_ipv6 "$ip"; then
 ipset list "$IPSET_NAME_V6" >/dev/null 2>&1 || return 1
 run_priv ipset test "$IPSET_NAME_V6" "$ip" >/dev/null 2>&1
 else
 run_priv ipset test "$IPSET_NAME_V4" "$ip" >/dev/null 2>&1
 fi
 }
 block_ip() {
@@ -755,91 +898,164 @@ block_ip() {
 return 0
 fi
- local ban_until=$(($(date '+%s') + BAN_TIME))
+ if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
 local ban_time_hours=$((BAN_TIME / 3600))
 local message=" ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён в конфиге) "$'\n'
 message="${message}🌐 IP: ${ip}"$'\n'
 message="${message}👤 Попыток: ${attempts} (порог ${MAX_ATTEMPTS}; ENABLE_IP_BAN=0)"$'\n'
 message="${message}ℹ️ ipset/firewall не меняются. При ENABLE_IP_BAN=1 бан был бы ~${ban_time_hours} ч."$'\n'
 message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
 notify_send "$message"
 write_log "Порог неудачных SSH для $ip ($attempts попыток), автобан отключён (ENABLE_IP_BAN=0)"
 return 0
 fi
- do_firewall_add_drop "$ip" || true
+ local ban_until=$(($(date '+%s') + BAN_TIME))
 local t_use
 t_use=$(ipset_timeout_clamp "$BAN_TIME")
 if ! do_ipset_add_ban "$ip" "$t_use"; then
 write_log "CRIT: не удалось добавить $ip в ipset"
 return 1
 fi
 echo "$ip|$ban_until|$attempts|$(date '+%Y-%m-%d %H:%M:%S')" >>"$BAN_LIST_FILE"
- save_iptables_rules
+ save_firewall_state
 local ban_time_hours=$((BAN_TIME / 3600))
 local message=" 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ "$'\n'
 message="${message}🌐 IP: ${ip}"$'\n'
 message="${message}📊 Неудачных попыток: ${attempts}"$'\n'
- message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов)"$'\n'
+ message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов) (ipset timeout)"$'\n'
 message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
 notify_send "$message"
- write_log "AUTO-BAN: IP $ip заблокирован на $ban_time_hours часов ($attempts попыток)"
+ write_log "AUTO-BAN: IP $ip в ipset на $ban_time_hours ч. ($attempts попыток)"
 # Один IP — одна строка: после истечения ipset-таймаута is_ip_blocked=0, а в файле
 # бан ещё «действует» → повторный бан иначе дублировал бы строки.
 ban_list_rewrite_deduped 0
 }
-unblock_expired_ips() {
+# Ядро само удаляет элемент ipset по timeout; файл — учёт. Дубликаты возникают,
- local temp_file
+# если ipset уже сбросил IP, а ban_until в файле ещё в будущем (повторный бан).
- temp_file=$(mktemp)
+# По каждому IP оставляем одну запись с максимальным ban_until; просроченные убираем.
 # $1=1 — не писать в лог (внутренний вызов из цикла проверки).
 ban_list_rewrite_deduped() {
 local suppress_log="${1:-0}"
 local current_time
 current_time=$(date '+%s')
 local unblocked=0
 if [ ! -f "$BAN_LIST_FILE" ]; then
- return
+ return 0
 fi
- while IFS='|' read -r ip ban_until attempts ban_time; do
+ declare -A best_until=()
- if [ -n "$ip" ] && [ -n "$ban_until" ]; then
+ declare -A best_line=()
 if [ "$current_time" -ge "$ban_until" ]; then
 if is_ip_blocked "$ip"; then
 do_firewall_del_drop "$ip"
 write_log "UNBAN: IP $ip разблокирован (время блокировки истекло)"
- local message=" 🔓 IP РАЗБЛОКИРОВАН "$'\n'
+ local ip ban_until attempts ban_time
- message="${message}🌐 IP: ${ip}"$'\n'
+ while IFS='|' read -r ip ban_until attempts ban_time || [ -n "${ip:-}" ]; do
- message="${message}🕐 Время разблокировки: $(notification_date '+%d.%m.%Y %H:%M:%S')"
+ [ -z "${ip:-}" ] || [ -z "${ban_until:-}" ] && continue
- notify_send "$message"
+ [ "$current_time" -ge "$ban_until" ] && continue
- unblocked=$((unblocked + 1))
+ if [ -z "${best_until[$ip]:-}" ] || [ "$ban_until" -gt "${best_until[$ip]}" ]; then
- fi
+ best_until[$ip]=$ban_until
- else
+ best_line[$ip]="${ip}|${ban_until}|${attempts}|${ban_time}"
 echo "$ip|$ban_until|$attempts|$ban_time" >>"$temp_file"
 fi
 fi
 done <"$BAN_LIST_FILE"
- if [ $unblocked -gt 0 ]; then
+ local temp_file
- mv "$temp_file" "$BAN_LIST_FILE"
+ temp_file=$(mktemp)
- save_iptables_rules
+ local sorted_ips k
- write_log "Разблокировано $unblocked IP адресов"
+ sorted_ips=$(printf '%s\n' "${!best_line[@]}" | LC_ALL=C sort)
- else
+ while IFS= read -r k; do
- rm -f "$temp_file"
+ [ -z "$k" ] && continue
 echo "${best_line[$k]}" >>"$temp_file"
 done <<<"$sorted_ips"
 if [ ! -s "$temp_file" ]; then
 if [ -s "$BAN_LIST_FILE" ]; then
 : >"$BAN_LIST_FILE"
 if [ "$suppress_log" != "1" ]; then
 write_log "Бан-лист: все записи просрочены — файл очищен"
 fi
 fi
 rm -f "$temp_file"
 return 0
 fi
 if cmp -s "$BAN_LIST_FILE" "$temp_file" 2>/dev/null; then
 rm -f "$temp_file"
 return 0
 fi
 # Тот же набор активных банов, но другой порядок строк — без лишней перезаписи/лога.
 if cmp -s <(LC_ALL=C sort "$BAN_LIST_FILE") <(LC_ALL=C sort "$temp_file") 2>/dev/null; then
 rm -f "$temp_file"
 return 0
 fi
 local old_lines new_lines
 old_lines=$(wc -l <"$BAN_LIST_FILE" | tr -d ' ' || echo 0)
 new_lines=$(wc -l <"$temp_file" | tr -d ' ' || echo 0)
 mv "$temp_file" "$BAN_LIST_FILE"
 if [ "$suppress_log" != "1" ]; then
 write_log "Бан-лист нормализован: строк ${old_lines} → ${new_lines} (дубликаты IP объединены, просроченные удалены)"
 fi
 return 0
 }
 # Ядро само удаляет элемент ipset по timeout; здесь только подчистка файла учёта
 # (без Telegram на каждый IP — иначе спам).
 unblock_expired_ips() {
 [ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
 ban_list_rewrite_deduped 0
 }
 load_existing_bans() {
 [ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
 if [ ! -f "$BAN_LIST_FILE" ]; then
 return
 fi
 local current_time
 current_time=$(date '+%s')
- local temp_file
+ declare -A best_until=()
- temp_file=$(mktemp)
+ declare -A best_line=()
- while IFS='|' read -r ip ban_until attempts ban_time; do
+ local ip ban_until attempts ban_time
- if [ -n "$ip" ] && [ -n "$ban_until" ]; then
+ while IFS='|' read -r ip ban_until attempts ban_time || [ -n "${ip:-}" ]; do
- if [ "$current_time" -lt "$ban_until" ]; then
+ [ -z "${ip:-}" ] || [ -z "${ban_until:-}" ] && continue
- if ! is_ip_blocked "$ip"; then
+ [ "$current_time" -lt "$ban_until" ] || continue
- do_firewall_add_drop "$ip" || true
+
- write_log "Восстановлена блокировка IP $ip (истекает через $(((ban_until - current_time) / 60)) минут)"
+ if [ -z "${best_until[$ip]:-}" ] || [ "$ban_until" -gt "${best_until[$ip]}" ]; then
- fi
+ best_until[$ip]=$ban_until
- echo "$ip|$ban_until|$attempts|$ban_time" >>"$temp_file"
+ best_line[$ip]="${ip}|${ban_until}|${attempts}|${ban_time}"
 fi
 fi
 done <"$BAN_LIST_FILE"
 local temp_file
 temp_file=$(mktemp)
 local sorted_ips k remain t_use
 sorted_ips=$(printf '%s\n' "${!best_line[@]}" | LC_ALL=C sort)
 while IFS= read -r k; do
 [ -z "$k" ] && continue
 IFS='|' read -r ip ban_until attempts ban_time <<<"${best_line[$k]}"
 remain=$((ban_until - current_time))
 t_use=$(ipset_timeout_clamp "$remain")
 if ! is_ip_blocked "$ip"; then
 do_ipset_add_ban "$ip" "$t_use" || true
 write_log "Восстановлен ipset-бан $ip на $((remain / 60)) мин (после перезапуска)"
 fi
 echo "${best_line[$k]}" >>"$temp_file"
 done <<<"$sorted_ips"
 mv "$temp_file" "$BAN_LIST_FILE"
- save_iptables_rules
+ save_firewall_state
 }
-verify_ban_list_vs_firewall() {
+verify_ban_list_vs_ipset() {
 [ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
 [ ! -f "$BAN_LIST_FILE" ] && return 0
 local current_epoch
 current_epoch=$(date '+%s')
@@ -847,12 +1063,26 @@ verify_ban_list_vs_firewall() {
 [ -z "$ip" ] || [ -z "$ban_until" ] && continue
 if [ "$current_epoch" -lt "$ban_until" ]; then
 if ! is_ip_blocked "$ip"; then
- write_log "AUDIT: рассинхрон — IP $ip есть в бан-листе, но нет правила DROP в firewall"
+ write_log "AUDIT: рассинхрон — IP $ip в бан-листе, но нет в ipset; восстанавливаю"
 local remain=$((ban_until - current_epoch))
 do_ipset_add_ban "$ip" "$(ipset_timeout_clamp "$remain")" || true
 fi
 fi
 done <"$BAN_LIST_FILE"
 }
 ipset_active_ban_count() {
 local n n6
 n=$(ipset list "$IPSET_NAME_V4" 2>/dev/null | awk '/^Number of entries:/{print $4; exit}')
 n="${n:-0}"
 n6=0
 if ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
 n6=$(ipset list "$IPSET_NAME_V6" 2>/dev/null | awk '/^Number of entries:/{print $4; exit}')
 fi
 n6="${n6:-0}"
 echo $((n + n6))
 }
 load_whitelist_from_file() {
 local whitelist_file="/etc/ssh_monitor_whitelist.txt"
@@ -1323,28 +1553,6 @@ monitor_logind() {
 echo "$current_time" >"$LAST_LOGIND_CHECK_FILE"
 }
 # Для Telegram и отчётов: «hostname (IPv4)»; без доступного IPv4 — только hostname.
 server_display_name_with_ip() {
 local hn ip
 hn=$(hostname 2>/dev/null | tr -d '\r\n')
 [ -z "$hn" ] && hn="(unknown)"
 ip=""
 if command -v ip >/dev/null 2>&1; then
 ip=$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
 [ -z "$ip" ] && ip=$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')
 fi
 if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1; then
 if hostname -I >/dev/null 2>&1; then
 ip=$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)
 fi
 fi
 if [ -n "$ip" ]; then
 printf '%s (%s)' "$hn" "$ip"
 else
 printf '%s' "$hn"
 fi
 }
 # ============================================
 # Ежедневный отчёт
 # ============================================
@@ -1407,6 +1615,11 @@ send_daily_report() {
 active_count=$(who 2>/dev/null | grep -c "." || echo "0")
 local active_bans=0
 local ban_line
 if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
 if command -v ipset >/dev/null 2>&1; then
 active_bans=$(ipset_active_ban_count)
 else
 local current_epoch
 current_epoch=$(date '+%s')
 if [ -f "$BAN_LIST_FILE" ]; then
@@ -1416,16 +1629,20 @@ send_daily_report() {
 fi
 done <"$BAN_LIST_FILE"
 fi
 fi
 ban_line="🚫 Активных банов (ipset): ${active_bans}"
 else
 ban_line="🚫 Автобан IP: отключён (ENABLE_IP_BAN=0)"
 fi
 local message=" 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА "$'\n'
 message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
 message="${message}🕐 Время отчета: ${current_time}"$'\n'
 message="${message}"$'\n'
 message="${message} 📈 СТАТИСТИКА ЗА ПОСЛЕДНИЕ 24 ЧАСА: "$'\n'
 message="${message} ✅ Успешных SSH подключений: ${successful_logins:-0}"$'\n'
 message="${message} ❌ Неудачных попыток SSH: ${failed_logins:-0}"$'\n'
 message="${message} ⚠️ Команд через sudo: ${sudo_commands:-0}"$'\n'
- message="${message} 🚫 Заблокировано IP: ${active_bans}"$'\n'
+ message="${message} ${ban_line}"$'\n'
 message="${message}"$'\n'
 message="${message} 🧾 ТОП-${DAILY_REPORT_TOP_IPS} IP ПО НЕУДАЧНЫМ ПОПЫТКАМ:"$'\n'
 if [ -n "$top_lines" ]; then
@@ -1498,7 +1715,6 @@ send_heartbeat() {
 timestamp_human=$(notification_date '+%d.%m.%Y %H:%M:%S')
 local message=" ❤️ Heartbeat - скрипт мониторинга работает "$'\n'
 message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
 message="${message}🕐 Время: ${timestamp_human}"
 notify_send "$message"
@@ -1557,10 +1773,13 @@ send_startup_notification() {
 local message=" ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН "$'\n'
 message="${message}📌 Версия: ${SSH_MONITOR_VERSION:-?}"$'\n'
 message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
 message="${message}🕐 Время запуска: ${timestamp}"$'\n'
 message="${message}📊 Мониторинг SSH, SUDO и systemd-logind активирован"$'\n'
- message="${message}🚫 Автоблокировка IP после ${MAX_ATTEMPTS} попыток на ${BAN_TIME} секунд"$'\n'
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
 message="${message}🚫 Автоблокировка (ipset): после ${MAX_ATTEMPTS} попыток, timeout ${BAN_TIME} с ($IPSET_NAME_V4)"$'\n'
 else
 message="${message}🚫 Автоблокировка IP: выключена (ENABLE_IP_BAN=0), только уведомления"$'\n'
 fi
 message="${message}⚪ Белый список: ${whitelist_count} IP/подсетей"$'\n'
 message="${message}❤️ Heartbeat будет отправляться каждые 12 часов"$'\n'
 message="${message}📢 Каналы уведомлений (все по списку): $(notify_chain_human)"
@@ -1576,7 +1795,6 @@ send_shutdown_notification() {
 local timestamp
 timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
 local message=" ⚠️ СКРИПТ МОНИТОРИНГА ОСТАНОВЛЕН "$'\n'
 message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
 message="${message}🕐 Время остановки: ${timestamp}"
 notify_send "$message"
@@ -1590,7 +1808,12 @@ main() {
 fi
 load_whitelist_from_file
 if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
 ensure_ipset_and_iptables || write_log "WARN: ensure_ipset_and_iptables завершился с ошибкой"
 load_existing_bans
 else
 write_log "ENABLE_IP_BAN=0: мониторинг и уведомления без ipset/автобана"
 fi
 send_startup_notification
 local last_ban_check
@@ -1607,9 +1830,9 @@ main() {
 local current_time
 current_time=$(date '+%s')
- if [ $((current_time - last_ban_check)) -ge "$BAN_CHECK_INTERVAL" ]; then
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ] && [ $((current_time - last_ban_check)) -ge "$BAN_CHECK_INTERVAL" ]; then
 unblock_expired_ips
- verify_ban_list_vs_firewall
+ verify_ban_list_vs_ipset
 last_ban_check=$current_time
 fi
@@ -1629,9 +1852,12 @@ run_check_config() {
 printf 'DAILY_REPORT_HOUR=%s\n' "$DAILY_REPORT_HOUR"
 printf 'DAILY_REPORT_TZ=%s (пусто = зона процесса/date)\n' "${DAILY_REPORT_TZ:-}"
 printf 'NOTIFY_TZ=%s (пусто = DAILY_REPORT_TZ или зона процесса; см. README)\n' "${NOTIFY_TZ:-}"
 printf 'SERVER_DISPLAY_NAME=%s (пусто = hostname; эффективно: %s)\n' "${SERVER_DISPLAY_NAME:-}" "$(server_display_name_with_ip)"
 printf 'SSH_ACCEPT_NOTIFY_DEDUP_SEC=%s\n' "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}"
 printf 'DAILY_REPORT_TOP_IPS=%s\n' "$DAILY_REPORT_TOP_IPS"
 printf 'BRUTE_WINDOW_SEC=%s BRUTE_MIN_FAILS=%s\n' "$BRUTE_WINDOW_SEC" "$BRUTE_MIN_FAILS"
 printf 'ENABLE_IP_BAN=%s (1=мониторинг+бан ipset, 0=только мониторинг и уведомления)\n' "${ENABLE_IP_BAN:-1}"
 printf 'IPSET_NAME_V4=%s IPSET_NAME_V6=%s IPSET_MAXELEM=%s\n' "$IPSET_NAME_V4" "$IPSET_NAME_V6" "$IPSET_MAXELEM"
 printf 'PROMETHEUS_TEXTFILE_DIR=%s\n' "${PROMETHEUS_TEXTFILE_DIR:-}"
 printf 'HEALTHCHECK_STATUS_FILE=%s\n' "${HEALTHCHECK_STATUS_FILE:-}"
 printf 'ENABLE_LOGIND_MONITOR=%s LAST_LOGIND_CHECK_FILE=%s\n' "${ENABLE_LOGIND_MONITOR:-}" "${LAST_LOGIND_CHECK_FILE:-}"
@@ -1680,9 +1906,18 @@ mkdir -p "$(dirname "$LOG_FILE")"
 touch "$LOG_FILE"
 write_log "Конфигурация загружена из $CONFIG_FILE (или дефолты), версия ${SSH_MONITOR_VERSION:-?}, очередь оповещений: $(notify_chain_human)"
 if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
 write_log "Режим: мониторинг + автобан IP (ENABLE_IP_BAN=1)"
 else
 write_log "Режим: только мониторинг и уведомления (ENABLE_IP_BAN=0)"
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
- write_log "Режим DRY-RUN: iptables/ip6tables не меняются, уведомления печатаются в stderr"
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
 write_log "Режим DRY-RUN: ipset/iptables не меняются, уведомления печатаются в stderr"
 else
 write_log "Режим DRY-RUN: уведомления печатаются в stderr"
 fi
 fi
 main
@@ -44,6 +44,9 @@ LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
 LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 # 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
 ENABLE_IP_BAN="1"
 # systemd-logind: 1 = включено, 0 = выключено
 ENABLE_LOGIND_MONITOR="1"
 LOGIND_NOTIFY_NEW="1"
@@ -58,6 +61,8 @@ DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
 # IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
 NOTIFY_TZ=""
 # Подпись «🖥️ Сервер» в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (например prod-web-01).
 # SERVER_DISPLAY_NAME="prod-web-01"
 # Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
@@ -66,6 +71,11 @@ MAX_ATTEMPTS="3"
 BAN_CHECK_INTERVAL="60"
 MONITOR_INTERVAL="10"
 # --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
 # IPSET_NAME_V4="ssh_monitor_ban"
 # IPSET_NAME_V6="ssh_monitor_ban_v6"
 # IPSET_MAXELEM="1048576"
 # Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
 BRUTE_WINDOW_SEC="900"
 BRUTE_MIN_FAILS="30"
@@ -0,0 +1,365 @@
 #!/bin/bash
 # === Конфигурация скрипта ===
 UPDATE_DIR="/opt/scripts/update"
 SCRIPT_NAME="ssh-monitor"
 REPO_URL="https://git.kalinamall.ru/PapaTramp/ssh-monitor.git"
 LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
 LOG_FILE="/var/log/update_script.log"
 # Режим отладки: 1 = включён, 0 = выключен
 DEBUG=0
 # === Список переменных, объявленных в скрипте (для логирования при DEBUG=1) ===
 SCRIPT_VARS=("UPDATE_DIR" "SCRIPT_NAME" "REPO_URL" "LOCAL_SCRIPT_PATH" "LOG_FILE" "DEBUG" "REMOTE_SCRIPT_PATH" "LOCAL_CHECKSUM" "REMOTE_CHECKSUM")
 # === Функции ===
 # Основная функция логирования
 log_message() {
    local level="$1"
    local message="$2"
    local timestamp
    timestamp="$(date '+%Y-%m-%d %H:%M:%S')"
    # Создаём лог-файл и директорию при необходимости
    if [ ! -f "$LOG_FILE" ]; then
        mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null
        touch "$LOG_FILE" 2>/dev/null
    fi
    if [ "$level" = "INFO" ]; then
        echo "$timestamp INFO: $message" >> "$LOG_FILE"
    elif [ "$level" = "DEBUG" ] && [ "$DEBUG" -eq 1 ]; then
        echo "$timestamp DEBUG: $message" >> "$LOG_FILE"
    elif [ "$level" = "ERROR" ]; then
        echo "$timestamp ERROR: $message" >> "$LOG_FILE"
    fi
 }
 # Функция для логирования шагов с комментариями (работает только при DEBUG=1)
 debug_step() {
    if [ "$DEBUG" -eq 1 ]; then
        log_message "DEBUG" "# $1"
    fi
 }
 # Функция для логирования только объявленных в скрипте переменных
 log_script_vars() {
    if [ "$DEBUG" -eq 1 ]; then
        log_message "DEBUG" "=== Значения переменных скрипта ==="
        for var_name in "${SCRIPT_VARS[@]}"; do
            local var_value="${!var_name}"
            log_message "DEBUG" "$var_name='$var_value'"
        done
        log_message "DEBUG" "=== Конец списка переменных ==="
    fi
 }
 # === КРИТИЧЕСКАЯ ФУНКЦИЯ: Проверка и установка ipset ===
 ensure_ipset_installed() {
    debug_step "Проверяем наличие ipset в системе"
    # Проверяем, установлен ли ipset
    if ! command -v ipset &>/dev/null; then
        log_message "INFO" "ipset not found. Attempting silent installation..."
        debug_step "ipset не обнаружен, начинаем установку в silent режиме"
        # Определяем пакетный менеджер и устанавливаем ipset
        if command -v apt-get &>/dev/null || command -v apt &>/dev/null; then
            debug_step "Обнаружен Debian/Ubuntu, используем apt"
            log_message "INFO" "Detected apt package manager, installing ipset..."
            # Тихая установка через apt
            if apt-get update -qq >/dev/null 2>&1 && apt-get install -y -qq ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via apt"
                debug_step "ipset успешно установлен через apt"
            else
                log_message "ERROR" "Failed to install ipset via apt"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через apt"
                return 1
            fi
        elif command -v yum &>/dev/null; then
            debug_step "Обнаружен RHEL/CentOS, используем yum"
            log_message "INFO" "Detected yum package manager, installing ipset..."
            if yum install -y -q ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via yum"
                debug_step "ipset успешно установлен через yum"
            else
                log_message "ERROR" "Failed to install ipset via yum"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через yum"
                return 1
            fi
        elif command -v dnf &>/dev/null; then
            debug_step "Обнаружен Fedora/RHEL 8+, используем dnf"
            log_message "INFO" "Detected dnf package manager, installing ipset..."
            if dnf install -y -q ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via dnf"
                debug_step "ipset успешно установлен через dnf"
            else
                log_message "ERROR" "Failed to install ipset via dnf"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через dnf"
                return 1
            fi
        elif command -v pacman &>/dev/null; then
            debug_step "Обнаружен Arch Linux, используем pacman"
            log_message "INFO" "Detected pacman package manager, installing ipset..."
            if pacman -S --noconfirm --quiet ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via pacman"
                debug_step "ipset успешно установлен через pacman"
            else
                log_message "ERROR" "Failed to install ipset via pacman"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через pacman"
                return 1
            fi
        elif command -v zypper &>/dev/null; then
            debug_step "Обнаружен openSUSE, используем zypper"
            log_message "INFO" "Detected zypper package manager, installing ipset..."
            if zypper --quiet --non-interactive install ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via zypper"
                debug_step "ipset успешно установлен через zypper"
            else
                log_message "ERROR" "Failed to install ipset via zypper"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через zypper"
                return 1
            fi
        else
            log_message "ERROR" "Unsupported package manager. Cannot install ipset"
            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
            debug_step "КРИТИЧЕСКАЯ ОШИБКА: Пакетный менеджер не распознан"
            return 1
        fi
        # Проверяем, что ipset действительно установился
        if ! command -v ipset &>/dev/null; then
            log_message "ERROR" "ipset installation verification failed"
            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
            debug_step "КРИТИЧЕСКАЯ ОШИБКА: ipset не обнаружен после установки"
            return 1
        fi
    else
        debug_step "ipset уже установлен в системе"
        log_message "INFO" "ipset is already installed"
        # Проверяем версию ipset (информационно)
        if [ "$DEBUG" -eq 1 ]; then
            local ipset_version=$(ipset --version 2>&1)
            log_message "DEBUG" "ipset version: $ipset_version"
        fi
    fi
    log_message "INFO" "ipset check/installation completed successfully"
    return 0
 }
 # === Гарантированное создание директорий ===
 ensure_directories() {
    debug_step "Проверяем и создаём необходимые директории"
    # Создаём UPDATE_DIR если не существует
    if [ ! -d "$UPDATE_DIR" ]; then
        log_message "INFO" "Creating directory: $UPDATE_DIR"
        debug_step "Директория $UPDATE_DIR не существует, создаём"
        if mkdir -p "$UPDATE_DIR" 2>/dev/null; then
            log_message "INFO" "Directory created successfully"
        else
            log_message "INFO" "ERROR: Cannot create directory $UPDATE_DIR"
            return 1
        fi
    else
        debug_step "Директория $UPDATE_DIR уже существует"
    fi
    # Проверяем права на запись
    if [ ! -w "$UPDATE_DIR" ]; then
        log_message "INFO" "WARNING: Directory $UPDATE_DIR is not writable"
        debug_step "ПРЕДУПРЕЖДЕНИЕ: Нет прав на запись в $UPDATE_DIR"
        return 1
    fi
    return 0
 }
 # Функция для обновления скрипта
 update_script() {
    log_message "INFO" "Starting script update..."
    debug_step "Запуск функции обновления скрипта"
    # Гарантируем наличие директории
    debug_step "Гарантируем наличие директории для работы"
    if ! ensure_directories; then
        return 1
    fi
    # Переходим в директорию для клона репозитория
    debug_step "Переходим в директорию для клона репозитория: $UPDATE_DIR"
    if ! cd "$UPDATE_DIR" 2>/dev/null; then
        log_message "INFO" "ERROR: Cannot cd to $UPDATE_DIR"
        return 1
    fi
    # Клонируем или обновляем репозиторий
    debug_step "Проверяем наличие репозитория и обновляем/клонируем"
    if [ -d "$SCRIPT_NAME" ]; then
        log_message "INFO" "Repository exists, pulling updates..."
        debug_step "Выполняем git pull origin main"
        if ! git -C "$SCRIPT_NAME" pull origin main >> "$LOG_FILE" 2>&1; then
            log_message "INFO" "WARNING: git pull failed, continuing with existing local copy..."
        fi
    else
        log_message "INFO" "Cloning repository from $REPO_URL"
        debug_step "Выполняем git clone $REPO_URL $SCRIPT_NAME"
        if ! git clone "$REPO_URL" "$SCRIPT_NAME" >> "$LOG_FILE" 2>&1; then
            log_message "INFO" "ERROR: git clone failed"
            return 1
        fi
    fi
    # Формируем путь к скрипту в репозитории (основной и альтернативный)
    REMOTE_SCRIPT_PATH="$UPDATE_DIR/$SCRIPT_NAME/src/branch/main/$SCRIPT_NAME"
    ALT_REMOTE_PATH="$UPDATE_DIR/$SCRIPT_NAME/$SCRIPT_NAME"
    debug_step "Основной путь к скрипту: $REMOTE_SCRIPT_PATH"
    debug_step "Альтернативный путь к скрипту: $ALT_REMOTE_PATH"
    # Определяем реальный путь к скрипту
    local actual_script_path=""
    if [ -f "$REMOTE_SCRIPT_PATH" ]; then
        actual_script_path="$REMOTE_SCRIPT_PATH"
        debug_step "Скрипт найден по основному пути"
    elif [ -f "$ALT_REMOTE_PATH" ]; then
        actual_script_path="$ALT_REMOTE_PATH"
        log_message "INFO" "Script found at alternative path"
        debug_step "Скрипт найден по альтернативному пути"
    fi
    # Проверяем наличие файла скрипта в репозитории
    if [ -n "$actual_script_path" ] && [ -f "$actual_script_path" ]; then
        log_message "INFO" "Remote script found. Comparing checksums..."
        debug_step "Проверяем наличие файла скрипта в репозитории"
        # Проверяем существование локального скрипта
        if [ ! -f "$LOCAL_SCRIPT_PATH" ]; then
            log_message "INFO" "Local script not found. Will install new one."
            LOCAL_CHECKSUM=""
            debug_step "Локальный скрипт отсутствует, будет установлен новый"
        else
            debug_step "Вычисляем контрольную сумму локального скрипта"
            LOCAL_CHECKSUM=$(sha256sum "$LOCAL_SCRIPT_PATH" 2>/dev/null | awk '{print $1}')
        fi
        debug_step "Вычисляем контрольную сумму удалённого скрипта"
        REMOTE_CHECKSUM=$(sha256sum "$actual_script_path" 2>/dev/null | awk '{print $1}')
        # Сравниваем контрольные суммы
        debug_step "Сравниваем контрольные суммы"
        if [ "$LOCAL_CHECKSUM" != "$REMOTE_CHECKSUM" ]; then
            log_message "INFO" "Checksums differ. Updating $LOCAL_SCRIPT_PATH..."
            debug_step "Контрольные суммы различаются, начинаем обновление"
            # Создаем бекап текущего скрипта если он существует
            if [ -f "$LOCAL_SCRIPT_PATH" ]; then
                debug_step "Создаем резервную копию текущего скрипта"
                cp "$LOCAL_SCRIPT_PATH" "${LOCAL_SCRIPT_PATH}.backup.$(date +%Y%m%d_%H%M%S)" 2>/dev/null
            fi
            debug_step "Копируем новый скрипт в $LOCAL_SCRIPT_PATH"
            if ! cp "$actual_script_path" "$LOCAL_SCRIPT_PATH"; then
                log_message "INFO" "ERROR: Failed to copy script"
                return 1
            fi
            debug_step "Делаем скрипт исполняемым"
            chmod +x "$LOCAL_SCRIPT_PATH"
            log_message "INFO" "Script updated successfully."
            debug_step "Скрипт успешно обновлен"
            # Перезапускаем сервис
            debug_step "Перезапускаем сервис ssh-monitor.service"
            if command -v systemctl &>/dev/null; then
                if systemctl restart ssh-monitor.service 2>/dev/null; then
                    log_message "INFO" "Service restarted successfully."
                    debug_step "Сервис успешно перезапущен"
                else
                    log_message "INFO" "WARNING: Failed to restart service (may not be running)"
                    debug_step "ПРЕДУПРЕЖДЕНИЕ: Не удалось перезапустить сервис"
                fi
            else
                log_message "INFO" "systemctl not found, service not restarted"
                debug_step "systemctl не найден, сервис не перезапущен"
            fi
        else
            log_message "INFO" "Checksums match. No update needed."
            debug_step "Контрольные суммы совпадают, обновление не требуется"
        fi
    else
        log_message "INFO" "No remote script found. No update needed."
        debug_step "Удаленный скрипт не найден ни по одному из путей"
        # Информация для отладки
        if [ "$DEBUG" -eq 1 ]; then
            debug_step "Содержимое директории репозитория:"
            if [ -d "$UPDATE_DIR/$SCRIPT_NAME" ]; then
                find "$UPDATE_DIR/$SCRIPT_NAME" -type f -name "$SCRIPT_NAME" 2>/dev/null | while read -r found_file; do
                    log_message "DEBUG" "Найден файл: $found_file"
                done
            fi
        fi
    fi
    # Логируем значения переменных скрипта при DEBUG=1
    log_script_vars
    return 0
 }
 # === Основной блок выполнения ===
 log_message "INFO" "=== Script update started ==="
 debug_step "Инициализация скрипта обновления"
 # 1. Гарантируем создание необходимых директорий
 if ! ensure_directories; then
    log_message "INFO" "ERROR: Failed to ensure directories. Exiting."
    exit 1
 fi
 # 2. КРИТИЧЕСКИ ВАЖНО: Проверяем и устанавливаем ipset
 debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
 if ! ensure_ipset_installed; then
    log_message "ERROR" "CRITICAL: ipset installation or verification failed"
    log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
    echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
    exit 1
 fi
 # 3. Выполняем функцию обновления
 update_script
 exit_code=$?
 if [ $exit_code -eq 0 ]; then
    log_message "INFO" "=== Script update completed successfully ==="
    debug_step "Скрипт успешно завершил работу"
 else
    log_message "INFO" "=== Script update completed with errors (exit code: $exit_code) ==="
    debug_step "Скрипт завершил работу с ошибками"
 fi
 # Выход с кодом завершения
 exit $exit_code
Author	SHA1	Message	Date
PTah	bea39a6ef5	sync: align internal repo with 1.1.3-server-label - REPO_URL points to git.kalinamall.ru - ssh-monitor.conf may be committed here (secrets); .env still ignored - Docs note for closed vs public GitHub Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-26 19:34:01 +10:00
PTah	b9c5aa3224	chore: ignore production config files with secrets ssh-monitor.conf and local overrides must not be committed to public GitHub. Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-26 19:33:39 +10:00
PTah	7ce9f1d526	feat: подпись сервера во всех уведомлениях и документация Добавлены message_ensure_server_line и SERVER_DISPLAY_NAME; версия 1.1.3-server-label. Гайды по уведомлениям и автообновлению.	2026-05-25 09:23:32 +10:00
PapaTramp	21ef703866	Update update_ssh_monitor.sh	2026-05-14 12:59:12 +10:00
PapaTramp	e48a001d37	Create update_ssh_monitor.sh Скрипт проверки наличия обновлений основного скрипта	2026-05-14 12:57:55 +10:00
Andrey Lutsenko	c9455ed917	Remove rutube artifacts from repo; ignore local downloader files	2026-05-03 19:51:00 +10:00
Andrey Lutsenko	f7e688d9b0	Add rutube-download helper and yt-dlp archive id list	2026-05-03 19:48:28 +10:00
Andrey Lutsenko	4a32eca15c	docs: English readme, MIT license, README cleanup - Add readme_eng.md (parallel to README.md) - Add LICENSE (MIT) - Refresh README (version, repo table, license section)	2026-05-03 19:44:45 +10:00
ssh-monitor	56d4b0002e	Add ENABLE_IP_BAN mode switch Introduce ENABLE_IP_BAN in config and script. When set to 0, ssh-monitor works in monitor-only mode (alerts without ipset/iptables bans). Made-with: Cursor	2026-04-16 12:13:27 +10:00
ssh-monitor	803817cdbb	Переход автобана на ipset, документация и правки README - ssh-monitor: баны через ipset (hash:ip timeout), одно правило iptables/ip6tables; нормализация бан-листа (один IP — одна строка), версия 1.1.1-ipset. - docs/install-prerequisites.ru.md: зависимости и установка пакетов (в т.ч. ipset). - README: ссылка на docs, установка скрипта/systemd без дублирования apt; пометка про ipset. - IPSET-NOTES.txt: заметки по развёртыванию ipset. - ssh-monitor.conf.example: закомментированные переменные IPSET_*. Made-with: Cursor	2026-04-16 11:30:04 +10:00
ssh-monitor	94125757b0	README: абзац с ключевыми темами для поиска на GitHub. Made-with: Cursor	2026-04-14 14:16:08 +10:00