Compare commits
4 Commits
v1.0.0
..
5075f2fb5c
| Author | SHA1 | Date | |
|---|---|---|---|
 PapaTramp
|
5075f2fb5c | ||
 ssh-monitor
|
56d4b0002e | ||
|
ssh-monitor
|
803817cdbb | ||
|
ssh-monitor
|
94125757b0 |
@@ -0,0 +1,24 @@
|
||||
ssh-monitor (ветка ipset) — что сделать на сервере
|
||||
==================================================
|
||||
|
||||
1) apt install ipset
|
||||
|
||||
2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
|
||||
|
||||
3) Каталог /etc/iptables должен существовать, если нужен save правил:
|
||||
mkdir -p /etc/iptables
|
||||
Скрипт пишет:
|
||||
- /etc/iptables/ipset.rules
|
||||
- /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
|
||||
|
||||
4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
|
||||
apt install ipset-persistent
|
||||
либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
|
||||
|
||||
5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
|
||||
правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
|
||||
|
||||
6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
|
||||
и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
|
||||
|
||||
Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.
|
||||
@@ -1,6 +1,10 @@
|
||||
# ssh-monitor
|
||||
|
||||
Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (IPv4 через `iptables`, IPv6 через `ip6tables` при наличии) и ежедневным отчётом.
|
||||
> **Эта папка (`Projects/ssh-monitor`):** основной файл **`ssh-monitor`** — сборка с **ipset** (автобан через набор `hash:ip timeout` и одно правило `-m set`, не отдельное правило на каждый IP). Нюансы установки и восстановления наборов: **`IPSET-NOTES.txt`**.
|
||||
|
||||
Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**) и ежедневным отчётом.
|
||||
|
||||
**Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
|
||||
|
||||
## Конфигурация
|
||||
|
||||
@@ -28,6 +32,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
|
||||
- `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
|
||||
- `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
|
||||
- `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
|
||||
- `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
|
||||
- `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
|
||||
- `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
|
||||
- `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
|
||||
@@ -64,7 +69,8 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
|
||||
- `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
|
||||
- `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
|
||||
- `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
|
||||
- `BAN_TIME` — длительность бана IP в секундах.
|
||||
- `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
|
||||
- `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
|
||||
- `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
|
||||
- `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
|
||||
- `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
|
||||
@@ -96,6 +102,8 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
|
||||
|
||||
Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
|
||||
|
||||
Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
|
||||
|
||||
## Режимы запуска
|
||||
|
||||
Обычный запуск (root):
|
||||
@@ -132,12 +140,12 @@ make dist
|
||||
|
||||
Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
|
||||
|
||||
## Автозапуск через systemd
|
||||
## Установка скрипта, конфигурации и systemd
|
||||
|
||||
1. Скопируйте скрипт в постоянное место:
|
||||
- `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
|
||||
2. Убедитесь, что конфиг есть:
|
||||
- `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf` (если еще не создан)
|
||||
2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
|
||||
- `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
|
||||
- `sudo chmod 600 /etc/ssh-monitor.conf`
|
||||
3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
|
||||
|
||||
@@ -177,40 +185,10 @@ sudo journalctl -u ssh-monitor -f
|
||||
|
||||
Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
|
||||
|
||||
## Статистика без systemd (`journalctl`)
|
||||
|
||||
Для корректного подсчёта событий за последние 24 часа по файлам `/var/log/auth.log*` рекомендуется наличие **Python 3** на сервере. При его отсутствии счётчики в ежедневном отчёте для «классического» syslog могут быть занижены (используется безопасный fallback).
|
||||
|
||||
**Мониторинг `systemd-logind`** и другие части, использующие **`journalctl`**, на таких системах **не выполняются** или дают неполные данные — ориентируйтесь на окружение с **systemd** и доступным журналом.
|
||||
|
||||
## Watchdog (автоматическое восстановление)
|
||||
|
||||
Watchdog проверяет:
|
||||
Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
|
||||
|
||||
- активен ли `ssh-monitor.service`;
|
||||
- не устарел ли heartbeat (`LAST_HEARTBEAT_FILE`).
|
||||
Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
|
||||
|
||||
Если сервис неактивен или heartbeat старше `WATCHDOG_MAX_HEARTBEAT_AGE`, watchdog выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
|
||||
|
||||
### Установка watchdog
|
||||
|
||||
1. Установите watchdog-скрипт:
|
||||
- `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
|
||||
2. Создайте unit и timer из примеров:
|
||||
- `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
|
||||
- `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
|
||||
3. Примените и запустите timer:
|
||||
|
||||
```bash
|
||||
sudo systemctl daemon-reload
|
||||
sudo systemctl enable ssh-monitor-watchdog.timer
|
||||
sudo systemctl start ssh-monitor-watchdog.timer
|
||||
```
|
||||
|
||||
4. Проверка:
|
||||
|
||||
```bash
|
||||
sudo systemctl status ssh-monitor-watchdog.timer
|
||||
sudo systemctl list-timers | grep ssh-monitor-watchdog
|
||||
sudo journalctl -u ssh-monitor-watchdog.service -f
|
||||
```
|
||||
**Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
|
||||
|
||||
@@ -0,0 +1,147 @@
|
||||
# Системные зависимости и установка окружения
|
||||
|
||||
Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
|
||||
|
||||
## 1. Что должно быть на хосте
|
||||
|
||||
### Обязательно
|
||||
|
||||
| Назначение | Что используется | Примечание |
|
||||
|------------|------------------|------------|
|
||||
| Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
|
||||
| Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
|
||||
| Telegram | **curl** | Запросы к `api.telegram.org`. |
|
||||
| Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
|
||||
| Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
|
||||
|
||||
Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
|
||||
|
||||
### Настоятельно рекомендуется (полный функционал)
|
||||
|
||||
| Назначение | Что используется |
|
||||
|------------|------------------|
|
||||
| Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
|
||||
| Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
|
||||
| Удобный просмотр логов сервиса | **`journalctl`** |
|
||||
|
||||
На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
|
||||
|
||||
### Утилиты из «базовой» системы
|
||||
|
||||
Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
|
||||
|
||||
---
|
||||
|
||||
## 2. Пошаговая установка пакетов (Debian / Ubuntu)
|
||||
|
||||
Выполняйте от пользователя с `sudo`.
|
||||
|
||||
**Шаг 1.** Обновить индексы пакетов:
|
||||
|
||||
```bash
|
||||
sudo apt update
|
||||
```
|
||||
|
||||
**Шаг 2.** Минимум для Telegram и бана по firewall:
|
||||
|
||||
```bash
|
||||
sudo apt install -y iptables curl
|
||||
```
|
||||
|
||||
При необходимости IPv6 (если на сервере используется `ip6tables`):
|
||||
|
||||
```bash
|
||||
sudo apt install -y ip6tables
|
||||
```
|
||||
|
||||
(На многих образах **ip6tables** уже входит в метапакет с iptables.)
|
||||
|
||||
**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
|
||||
|
||||
```bash
|
||||
sudo apt install -y python3
|
||||
```
|
||||
|
||||
**Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
|
||||
|
||||
**Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
|
||||
|
||||
```bash
|
||||
sudo apt install -y iptables-persistent netfilter-persistent
|
||||
```
|
||||
|
||||
Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
|
||||
|
||||
---
|
||||
|
||||
## 3. Другие дистрибутивы
|
||||
|
||||
Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
|
||||
|
||||
Примеры:
|
||||
|
||||
- **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
|
||||
- **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
|
||||
|
||||
---
|
||||
|
||||
## 4. Системы без `journalctl` (классический syslog)
|
||||
|
||||
- События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
|
||||
- **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
|
||||
- Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
|
||||
|
||||
---
|
||||
|
||||
## 5. Конфликты с UFW / другими обёртками firewall
|
||||
|
||||
Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
|
||||
|
||||
```bash
|
||||
sudo iptables -L INPUT -n -v --line-numbers
|
||||
```
|
||||
|
||||
При необходимости согласуйте порядок с вашей схемой управления firewall.
|
||||
|
||||
---
|
||||
|
||||
## 6. Опционально: watchdog
|
||||
|
||||
Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
|
||||
|
||||
**Установка:**
|
||||
|
||||
1. Скопируйте скрипт:
|
||||
`sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
|
||||
2. Установите unit и timer:
|
||||
`sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
|
||||
`sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
|
||||
3. Включите timer:
|
||||
|
||||
```bash
|
||||
sudo systemctl daemon-reload
|
||||
sudo systemctl enable ssh-monitor-watchdog.timer
|
||||
sudo systemctl start ssh-monitor-watchdog.timer
|
||||
```
|
||||
|
||||
4. Проверка:
|
||||
|
||||
```bash
|
||||
sudo systemctl status ssh-monitor-watchdog.timer
|
||||
sudo systemctl list-timers | grep ssh-monitor-watchdog
|
||||
sudo journalctl -u ssh-monitor-watchdog.service -f
|
||||
```
|
||||
|
||||
Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
|
||||
|
||||
---
|
||||
|
||||
## 7. Краткий чек-лист перед первым запуском
|
||||
|
||||
- [ ] Установлены **iptables** (и при необходимости **ip6tables**).
|
||||
- [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
|
||||
- [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
|
||||
- [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
|
||||
- [ ] (По желанию) настроено сохранение правил после перезагрузки.
|
||||
|
||||
Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).
|
||||
+307
-99
@@ -7,7 +7,7 @@ IFS=$'\n\t'
|
||||
# ============================================
|
||||
|
||||
CONFIG_FILE="/etc/ssh-monitor.conf"
|
||||
SSH_MONITOR_VERSION="1.0.0"
|
||||
SSH_MONITOR_VERSION="1.1.2-ipset"
|
||||
|
||||
TELEGRAM_BOT_TOKEN=""
|
||||
TELEGRAM_CHAT_ID=""
|
||||
@@ -68,12 +68,21 @@ BRUTE_NOTIFY_COOLDOWN_SEC=3600
|
||||
# НАСТРОЙКИ БЛОКИРОВКИ IP
|
||||
# ============================================
|
||||
|
||||
# 1 = мониторинг + автобан IP (ipset); 0 = только мониторинг и уведомления (ipset/iptables не трогаем).
|
||||
ENABLE_IP_BAN=1
|
||||
|
||||
BAN_TIME=3600
|
||||
MAX_ATTEMPTS=3
|
||||
BAN_CHECK_INTERVAL=60
|
||||
MONITOR_INTERVAL=10
|
||||
BAN_LIST_FILE="/var/log/ssh_bans.txt"
|
||||
|
||||
# Блокировка через ipset (одно правило iptables/ip6tables + таймаут элемента в ядре).
|
||||
# Имена наборов можно переопределить в /etc/ssh-monitor.conf
|
||||
IPSET_NAME_V4="ssh_monitor_ban"
|
||||
IPSET_NAME_V6="ssh_monitor_ban_v6"
|
||||
IPSET_MAXELEM=1048576
|
||||
|
||||
WHITELIST_IPS=(
|
||||
"127.0.0.1"
|
||||
)
|
||||
@@ -168,11 +177,15 @@ load_config() {
|
||||
local cfg_brute_window_sec="${BRUTE_WINDOW_SEC}"
|
||||
local cfg_brute_min_fails="${BRUTE_MIN_FAILS}"
|
||||
local cfg_brute_notify_cooldown_sec="${BRUTE_NOTIFY_COOLDOWN_SEC}"
|
||||
local cfg_enable_ip_ban="${ENABLE_IP_BAN:-1}"
|
||||
local cfg_ban_time="${BAN_TIME}"
|
||||
local cfg_max_attempts="${MAX_ATTEMPTS}"
|
||||
local cfg_ban_check_interval="${BAN_CHECK_INTERVAL}"
|
||||
local cfg_monitor_interval="${MONITOR_INTERVAL}"
|
||||
local cfg_ban_list_file="${BAN_LIST_FILE}"
|
||||
local cfg_ipset_name_v4="${IPSET_NAME_V4:-ssh_monitor_ban}"
|
||||
local cfg_ipset_name_v6="${IPSET_NAME_V6:-ssh_monitor_ban_v6}"
|
||||
local cfg_ipset_maxelem="${IPSET_MAXELEM:-1048576}"
|
||||
local cfg_whitelist_ips_csv="${default_whitelist_ips_csv}"
|
||||
local cfg_whitelist_subnets_csv="${default_whitelist_subnets_csv}"
|
||||
local cfg_notify_order="${NOTIFY_ORDER:-}"
|
||||
@@ -210,6 +223,9 @@ load_config() {
|
||||
PROMETHEUS_TEXTFILE_DIR="${PROMETHEUS_TEXTFILE_DIR:-$cfg_prometheus_textfile_dir}"
|
||||
HEALTHCHECK_STATUS_FILE="${HEALTHCHECK_STATUS_FILE:-$cfg_healthcheck_status_file}"
|
||||
BAN_LIST_FILE="${BAN_LIST_FILE:-$cfg_ban_list_file}"
|
||||
IPSET_NAME_V4="${IPSET_NAME_V4:-$cfg_ipset_name_v4}"
|
||||
IPSET_NAME_V6="${IPSET_NAME_V6:-$cfg_ipset_name_v6}"
|
||||
IPSET_MAXELEM="${IPSET_MAXELEM:-$cfg_ipset_maxelem}"
|
||||
|
||||
DAILY_REPORT_HOUR="${DAILY_REPORT_HOUR:-$cfg_daily_report_hour}"
|
||||
DAILY_REPORT_TOP_IPS="${DAILY_REPORT_TOP_IPS:-$cfg_daily_report_top_ips}"
|
||||
@@ -222,6 +238,7 @@ load_config() {
|
||||
BRUTE_WINDOW_SEC="${BRUTE_WINDOW_SEC:-$cfg_brute_window_sec}"
|
||||
BRUTE_MIN_FAILS="${BRUTE_MIN_FAILS:-$cfg_brute_min_fails}"
|
||||
BRUTE_NOTIFY_COOLDOWN_SEC="${BRUTE_NOTIFY_COOLDOWN_SEC:-$cfg_brute_notify_cooldown_sec}"
|
||||
ENABLE_IP_BAN="${ENABLE_IP_BAN:-$cfg_enable_ip_ban}"
|
||||
BAN_TIME="${BAN_TIME:-$cfg_ban_time}"
|
||||
MAX_ATTEMPTS="${MAX_ATTEMPTS:-$cfg_max_attempts}"
|
||||
BAN_CHECK_INTERVAL="${BAN_CHECK_INTERVAL:-$cfg_ban_check_interval}"
|
||||
@@ -241,6 +258,13 @@ load_config() {
|
||||
MAIL_TO="$(trim_value "${MAIL_TO:-$cfg_mail_to}")"
|
||||
MAIL_SMTP_STARTTLS="${MAIL_SMTP_STARTTLS:-$cfg_mail_smtp_starttls}"
|
||||
MAIL_SMTP_SSL="${MAIL_SMTP_SSL:-$cfg_mail_smtp_ssl}"
|
||||
|
||||
local _eib
|
||||
_eib="$(trim_value "${ENABLE_IP_BAN:-1}")"
|
||||
case "${_eib,,}" in
|
||||
0 | no | off | false) ENABLE_IP_BAN=0 ;;
|
||||
*) ENABLE_IP_BAN=1 ;;
|
||||
esac
|
||||
}
|
||||
|
||||
# Дата/время для ежедневного отчёта (час DAILY_REPORT_HOUR и «сегодня» в LAST_REPORT_FILE).
|
||||
@@ -322,6 +346,13 @@ validate_config() {
|
||||
validate_numeric_or_default "BRUTE_MIN_FAILS" "30"
|
||||
validate_numeric_or_default "BRUTE_NOTIFY_COOLDOWN_SEC" "3600"
|
||||
validate_numeric_or_default "MAIL_SMTP_PORT" "587"
|
||||
validate_numeric_or_default "IPSET_MAXELEM" "1048576"
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ] && [ "${CHECK_CONFIG_ONLY:-0}" != "1" ] && [ "${DRY_RUN:-0}" != "1" ]; then
|
||||
if ! command -v ipset >/dev/null 2>&1; then
|
||||
printf '%s\n' 'Включён автобан IP (ENABLE_IP_BAN=1): требуется утилита ipset (например: apt install ipset)' >&2
|
||||
exit 1
|
||||
fi
|
||||
fi
|
||||
refresh_notify_chain
|
||||
if [ "${#NOTIFY_CHAIN[@]}" -eq 0 ]; then
|
||||
printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
|
||||
@@ -665,81 +696,141 @@ is_whitelisted() {
|
||||
}
|
||||
|
||||
# ============================================
|
||||
# iptables / ip6tables
|
||||
# ipset + одно правило iptables/ip6tables (без per-IP правил)
|
||||
# ============================================
|
||||
# Таймаут бана задаётся на элементе ipset: ядро само удаляет IP по истечении
|
||||
# времени. Файл BAN_LIST_FILE — для отчётов и восстановления после перезагрузки.
|
||||
|
||||
is_ipv6() {
|
||||
[[ "$1" == *:* ]]
|
||||
}
|
||||
|
||||
do_firewall_add_drop() {
|
||||
local ip="$1"
|
||||
if is_ipv6 "$ip"; then
|
||||
if command -v ip6tables >/dev/null 2>&1; then
|
||||
sudo ip6tables -I INPUT -s "$ip" -j DROP
|
||||
else
|
||||
write_log "WARN: IPv6 $ip — ip6tables недоступен, блокировка пропущена"
|
||||
return 1
|
||||
fi
|
||||
else
|
||||
do_iptables -I INPUT -s "$ip" -j DROP
|
||||
fi
|
||||
}
|
||||
# Верхняя граница timeout для ipset (секунды), см. ipset(8).
|
||||
IPSET_TIMEOUT_MAX=2147483
|
||||
|
||||
do_firewall_del_drop() {
|
||||
local ip="$1"
|
||||
if is_ipv6 "$ip"; then
|
||||
if command -v ip6tables >/dev/null 2>&1; then
|
||||
sudo ip6tables -D INPUT -s "$ip" -j DROP
|
||||
fi
|
||||
else
|
||||
do_iptables -D INPUT -s "$ip" -j DROP
|
||||
fi
|
||||
}
|
||||
|
||||
is_firewall_blocked() {
|
||||
local ip="$1"
|
||||
if is_ipv6 "$ip"; then
|
||||
if command -v ip6tables >/dev/null 2>&1; then
|
||||
sudo ip6tables -C INPUT -s "$ip" -j DROP >/dev/null 2>&1
|
||||
else
|
||||
return 1
|
||||
fi
|
||||
else
|
||||
do_iptables -C INPUT -s "$ip" -j DROP >/dev/null 2>&1
|
||||
fi
|
||||
}
|
||||
|
||||
do_iptables() {
|
||||
run_priv() {
|
||||
if [ "${DRY_RUN:-0}" = "1" ]; then
|
||||
write_log "DRY-RUN: iptables $*"
|
||||
write_log "DRY-RUN: $*"
|
||||
return 0
|
||||
fi
|
||||
sudo iptables "$@"
|
||||
if [ "$EUID" -eq 0 ]; then
|
||||
"$@"
|
||||
else
|
||||
sudo "$@"
|
||||
fi
|
||||
}
|
||||
|
||||
save_iptables_rules() {
|
||||
ipset_timeout_clamp() {
|
||||
local t="${1:-$BAN_TIME}"
|
||||
if ! [[ "$t" =~ ^[0-9]+$ ]]; then
|
||||
t="$BAN_TIME"
|
||||
fi
|
||||
if [ "$t" -gt "$IPSET_TIMEOUT_MAX" ]; then
|
||||
echo "$IPSET_TIMEOUT_MAX"
|
||||
else
|
||||
echo "$t"
|
||||
fi
|
||||
}
|
||||
|
||||
ensure_ipset_and_iptables() {
|
||||
if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
|
||||
return 0
|
||||
fi
|
||||
if [ "${DRY_RUN:-0}" = "1" ]; then
|
||||
return 0
|
||||
fi
|
||||
if ! command -v ipset >/dev/null 2>&1; then
|
||||
write_log "CRIT: ipset не найден; установите: apt install ipset"
|
||||
return 1
|
||||
fi
|
||||
|
||||
local maxt="$IPSET_TIMEOUT_MAX"
|
||||
run_priv ipset -exist create "$IPSET_NAME_V4" hash:ip timeout "$maxt" maxelem "$IPSET_MAXELEM" || {
|
||||
write_log "CRIT: не удалось создать ipset $IPSET_NAME_V4"
|
||||
return 1
|
||||
}
|
||||
|
||||
if command -v ip6tables >/dev/null 2>&1; then
|
||||
run_priv ipset -exist create "$IPSET_NAME_V6" hash:ip family inet6 timeout "$maxt" maxelem "$IPSET_MAXELEM" || \
|
||||
write_log "WARN: не удалось создать ipset $IPSET_NAME_V6 (IPv6 бан отключён)"
|
||||
fi
|
||||
|
||||
if ! run_priv iptables -C INPUT -m set --match-set "$IPSET_NAME_V4" src -j DROP 2>/dev/null; then
|
||||
run_priv iptables -I INPUT 1 -m set --match-set "$IPSET_NAME_V4" src -j DROP
|
||||
write_log "Добавлено iptables: -m set --match-set $IPSET_NAME_V4 src -j DROP"
|
||||
fi
|
||||
|
||||
if command -v ip6tables >/dev/null 2>&1 && ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
|
||||
if ! run_priv ip6tables -C INPUT -m set --match-set "$IPSET_NAME_V6" src -j DROP 2>/dev/null; then
|
||||
run_priv ip6tables -I INPUT 1 -m set --match-set "$IPSET_NAME_V6" src -j DROP
|
||||
write_log "Добавлено ip6tables: -m set --match-set $IPSET_NAME_V6 src -j DROP"
|
||||
fi
|
||||
fi
|
||||
|
||||
save_firewall_state
|
||||
return 0
|
||||
}
|
||||
|
||||
save_firewall_state() {
|
||||
if [ "${DRY_RUN:-0}" = "1" ]; then
|
||||
return 0
|
||||
fi
|
||||
if [ ! -d /etc/iptables ]; then
|
||||
return 0
|
||||
fi
|
||||
if command -v ipset >/dev/null 2>&1; then
|
||||
run_priv ipset save -f /etc/iptables/ipset.rules 2>/dev/null || true
|
||||
fi
|
||||
if command -v iptables-save >/dev/null 2>&1; then
|
||||
if [ -d /etc/iptables ]; then
|
||||
sudo iptables-save >/etc/iptables/rules.v4 2>/dev/null || true
|
||||
fi
|
||||
run_priv iptables-save >/etc/iptables/rules.v4 2>/dev/null || true
|
||||
fi
|
||||
if command -v ip6tables-save >/dev/null 2>&1; then
|
||||
if [ -d /etc/iptables ]; then
|
||||
sudo ip6tables-save >/etc/iptables/rules.v6 2>/dev/null || true
|
||||
run_priv ip6tables-save >/etc/iptables/rules.v6 2>/dev/null || true
|
||||
fi
|
||||
}
|
||||
|
||||
do_ipset_add_ban() {
|
||||
local ip="$1"
|
||||
local t
|
||||
t=$(ipset_timeout_clamp "${2:-$BAN_TIME}")
|
||||
|
||||
if is_ipv6 "$ip"; then
|
||||
if ! ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
|
||||
write_log "WARN: IPv6 $ip — набор $IPSET_NAME_V6 недоступен, пропуск"
|
||||
return 1
|
||||
fi
|
||||
run_priv ipset -exist del "$IPSET_NAME_V6" "$ip" 2>/dev/null || true
|
||||
run_priv ipset add "$IPSET_NAME_V6" "$ip" timeout "$t" || return 1
|
||||
else
|
||||
run_priv ipset -exist del "$IPSET_NAME_V4" "$ip" 2>/dev/null || true
|
||||
run_priv ipset add "$IPSET_NAME_V4" "$ip" timeout "$t" || return 1
|
||||
fi
|
||||
return 0
|
||||
}
|
||||
|
||||
do_ipset_del_ban() {
|
||||
local ip="$1"
|
||||
if is_ipv6 "$ip"; then
|
||||
run_priv ipset -exist del "$IPSET_NAME_V6" "$ip" 2>/dev/null || true
|
||||
else
|
||||
run_priv ipset -exist del "$IPSET_NAME_V4" "$ip" 2>/dev/null || true
|
||||
fi
|
||||
}
|
||||
|
||||
is_ip_blocked() {
|
||||
local ip="$1"
|
||||
if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
|
||||
return 1
|
||||
fi
|
||||
if [ "${DRY_RUN:-0}" = "1" ]; then
|
||||
return 1
|
||||
fi
|
||||
is_firewall_blocked "$ip"
|
||||
if is_ipv6 "$ip"; then
|
||||
ipset list "$IPSET_NAME_V6" >/dev/null 2>&1 || return 1
|
||||
run_priv ipset test "$IPSET_NAME_V6" "$ip" >/dev/null 2>&1
|
||||
else
|
||||
run_priv ipset test "$IPSET_NAME_V4" "$ip" >/dev/null 2>&1
|
||||
fi
|
||||
}
|
||||
|
||||
block_ip() {
|
||||
@@ -755,91 +846,164 @@ block_ip() {
|
||||
return 0
|
||||
fi
|
||||
|
||||
local ban_until=$(($(date '+%s') + BAN_TIME))
|
||||
if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
|
||||
local ban_time_hours=$((BAN_TIME / 3600))
|
||||
local message=" ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён в конфиге) "$'\n'
|
||||
message="${message}🌐 IP: ${ip}"$'\n'
|
||||
message="${message}👤 Попыток: ${attempts} (порог ${MAX_ATTEMPTS}; ENABLE_IP_BAN=0)"$'\n'
|
||||
message="${message}ℹ️ ipset/firewall не меняются. При ENABLE_IP_BAN=1 бан был бы ~${ban_time_hours} ч."$'\n'
|
||||
message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
notify_send "$message"
|
||||
write_log "Порог неудачных SSH для $ip ($attempts попыток), автобан отключён (ENABLE_IP_BAN=0)"
|
||||
return 0
|
||||
fi
|
||||
|
||||
do_firewall_add_drop "$ip" || true
|
||||
local ban_until=$(($(date '+%s') + BAN_TIME))
|
||||
local t_use
|
||||
t_use=$(ipset_timeout_clamp "$BAN_TIME")
|
||||
|
||||
if ! do_ipset_add_ban "$ip" "$t_use"; then
|
||||
write_log "CRIT: не удалось добавить $ip в ipset"
|
||||
return 1
|
||||
fi
|
||||
|
||||
echo "$ip|$ban_until|$attempts|$(date '+%Y-%m-%d %H:%M:%S')" >>"$BAN_LIST_FILE"
|
||||
|
||||
save_iptables_rules
|
||||
save_firewall_state
|
||||
|
||||
local ban_time_hours=$((BAN_TIME / 3600))
|
||||
local message=" 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ "$'\n'
|
||||
message="${message}🌐 IP: ${ip}"$'\n'
|
||||
message="${message}📊 Неудачных попыток: ${attempts}"$'\n'
|
||||
message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов)"$'\n'
|
||||
message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов) (ipset timeout)"$'\n'
|
||||
message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
notify_send "$message"
|
||||
write_log "AUTO-BAN: IP $ip заблокирован на $ban_time_hours часов ($attempts попыток)"
|
||||
write_log "AUTO-BAN: IP $ip в ipset на $ban_time_hours ч. ($attempts попыток)"
|
||||
|
||||
# Один IP — одна строка: после истечения ipset-таймаута is_ip_blocked=0, а в файле
|
||||
# бан ещё «действует» → повторный бан иначе дублировал бы строки.
|
||||
ban_list_rewrite_deduped 0
|
||||
}
|
||||
|
||||
unblock_expired_ips() {
|
||||
local temp_file
|
||||
temp_file=$(mktemp)
|
||||
# Ядро само удаляет элемент ipset по timeout; файл — учёт. Дубликаты возникают,
|
||||
# если ipset уже сбросил IP, а ban_until в файле ещё в будущем (повторный бан).
|
||||
# По каждому IP оставляем одну запись с максимальным ban_until; просроченные убираем.
|
||||
# $1=1 — не писать в лог (внутренний вызов из цикла проверки).
|
||||
ban_list_rewrite_deduped() {
|
||||
local suppress_log="${1:-0}"
|
||||
local current_time
|
||||
current_time=$(date '+%s')
|
||||
local unblocked=0
|
||||
|
||||
if [ ! -f "$BAN_LIST_FILE" ]; then
|
||||
return
|
||||
return 0
|
||||
fi
|
||||
|
||||
while IFS='|' read -r ip ban_until attempts ban_time; do
|
||||
if [ -n "$ip" ] && [ -n "$ban_until" ]; then
|
||||
if [ "$current_time" -ge "$ban_until" ]; then
|
||||
if is_ip_blocked "$ip"; then
|
||||
do_firewall_del_drop "$ip"
|
||||
write_log "UNBAN: IP $ip разблокирован (время блокировки истекло)"
|
||||
declare -A best_until=()
|
||||
declare -A best_line=()
|
||||
|
||||
local message=" 🔓 IP РАЗБЛОКИРОВАН "$'\n'
|
||||
message="${message}🌐 IP: ${ip}"$'\n'
|
||||
message="${message}🕐 Время разблокировки: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
notify_send "$message"
|
||||
local ip ban_until attempts ban_time
|
||||
while IFS='|' read -r ip ban_until attempts ban_time || [ -n "${ip:-}" ]; do
|
||||
[ -z "${ip:-}" ] || [ -z "${ban_until:-}" ] && continue
|
||||
[ "$current_time" -ge "$ban_until" ] && continue
|
||||
|
||||
unblocked=$((unblocked + 1))
|
||||
fi
|
||||
else
|
||||
echo "$ip|$ban_until|$attempts|$ban_time" >>"$temp_file"
|
||||
fi
|
||||
if [ -z "${best_until[$ip]:-}" ] || [ "$ban_until" -gt "${best_until[$ip]}" ]; then
|
||||
best_until[$ip]=$ban_until
|
||||
best_line[$ip]="${ip}|${ban_until}|${attempts}|${ban_time}"
|
||||
fi
|
||||
done <"$BAN_LIST_FILE"
|
||||
|
||||
if [ $unblocked -gt 0 ]; then
|
||||
mv "$temp_file" "$BAN_LIST_FILE"
|
||||
save_iptables_rules
|
||||
write_log "Разблокировано $unblocked IP адресов"
|
||||
else
|
||||
rm -f "$temp_file"
|
||||
local temp_file
|
||||
temp_file=$(mktemp)
|
||||
local sorted_ips k
|
||||
sorted_ips=$(printf '%s\n' "${!best_line[@]}" | LC_ALL=C sort)
|
||||
while IFS= read -r k; do
|
||||
[ -z "$k" ] && continue
|
||||
echo "${best_line[$k]}" >>"$temp_file"
|
||||
done <<<"$sorted_ips"
|
||||
|
||||
if [ ! -s "$temp_file" ]; then
|
||||
if [ -s "$BAN_LIST_FILE" ]; then
|
||||
: >"$BAN_LIST_FILE"
|
||||
if [ "$suppress_log" != "1" ]; then
|
||||
write_log "Бан-лист: все записи просрочены — файл очищен"
|
||||
fi
|
||||
fi
|
||||
rm -f "$temp_file"
|
||||
return 0
|
||||
fi
|
||||
|
||||
if cmp -s "$BAN_LIST_FILE" "$temp_file" 2>/dev/null; then
|
||||
rm -f "$temp_file"
|
||||
return 0
|
||||
fi
|
||||
# Тот же набор активных банов, но другой порядок строк — без лишней перезаписи/лога.
|
||||
if cmp -s <(LC_ALL=C sort "$BAN_LIST_FILE") <(LC_ALL=C sort "$temp_file") 2>/dev/null; then
|
||||
rm -f "$temp_file"
|
||||
return 0
|
||||
fi
|
||||
|
||||
local old_lines new_lines
|
||||
old_lines=$(wc -l <"$BAN_LIST_FILE" | tr -d ' ' || echo 0)
|
||||
new_lines=$(wc -l <"$temp_file" | tr -d ' ' || echo 0)
|
||||
mv "$temp_file" "$BAN_LIST_FILE"
|
||||
|
||||
if [ "$suppress_log" != "1" ]; then
|
||||
write_log "Бан-лист нормализован: строк ${old_lines} → ${new_lines} (дубликаты IP объединены, просроченные удалены)"
|
||||
fi
|
||||
return 0
|
||||
}
|
||||
|
||||
# Ядро само удаляет элемент ipset по timeout; здесь только подчистка файла учёта
|
||||
# (без Telegram на каждый IP — иначе спам).
|
||||
unblock_expired_ips() {
|
||||
[ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
|
||||
ban_list_rewrite_deduped 0
|
||||
}
|
||||
|
||||
load_existing_bans() {
|
||||
[ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
|
||||
if [ ! -f "$BAN_LIST_FILE" ]; then
|
||||
return
|
||||
fi
|
||||
|
||||
local current_time
|
||||
current_time=$(date '+%s')
|
||||
local temp_file
|
||||
temp_file=$(mktemp)
|
||||
declare -A best_until=()
|
||||
declare -A best_line=()
|
||||
|
||||
while IFS='|' read -r ip ban_until attempts ban_time; do
|
||||
if [ -n "$ip" ] && [ -n "$ban_until" ]; then
|
||||
if [ "$current_time" -lt "$ban_until" ]; then
|
||||
if ! is_ip_blocked "$ip"; then
|
||||
do_firewall_add_drop "$ip" || true
|
||||
write_log "Восстановлена блокировка IP $ip (истекает через $(((ban_until - current_time) / 60)) минут)"
|
||||
fi
|
||||
echo "$ip|$ban_until|$attempts|$ban_time" >>"$temp_file"
|
||||
fi
|
||||
local ip ban_until attempts ban_time
|
||||
while IFS='|' read -r ip ban_until attempts ban_time || [ -n "${ip:-}" ]; do
|
||||
[ -z "${ip:-}" ] || [ -z "${ban_until:-}" ] && continue
|
||||
[ "$current_time" -lt "$ban_until" ] || continue
|
||||
|
||||
if [ -z "${best_until[$ip]:-}" ] || [ "$ban_until" -gt "${best_until[$ip]}" ]; then
|
||||
best_until[$ip]=$ban_until
|
||||
best_line[$ip]="${ip}|${ban_until}|${attempts}|${ban_time}"
|
||||
fi
|
||||
done <"$BAN_LIST_FILE"
|
||||
|
||||
local temp_file
|
||||
temp_file=$(mktemp)
|
||||
local sorted_ips k remain t_use
|
||||
sorted_ips=$(printf '%s\n' "${!best_line[@]}" | LC_ALL=C sort)
|
||||
while IFS= read -r k; do
|
||||
[ -z "$k" ] && continue
|
||||
IFS='|' read -r ip ban_until attempts ban_time <<<"${best_line[$k]}"
|
||||
remain=$((ban_until - current_time))
|
||||
t_use=$(ipset_timeout_clamp "$remain")
|
||||
if ! is_ip_blocked "$ip"; then
|
||||
do_ipset_add_ban "$ip" "$t_use" || true
|
||||
write_log "Восстановлен ipset-бан $ip на $((remain / 60)) мин (после перезапуска)"
|
||||
fi
|
||||
echo "${best_line[$k]}" >>"$temp_file"
|
||||
done <<<"$sorted_ips"
|
||||
|
||||
mv "$temp_file" "$BAN_LIST_FILE"
|
||||
save_iptables_rules
|
||||
save_firewall_state
|
||||
}
|
||||
|
||||
verify_ban_list_vs_firewall() {
|
||||
verify_ban_list_vs_ipset() {
|
||||
[ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
|
||||
[ ! -f "$BAN_LIST_FILE" ] && return 0
|
||||
local current_epoch
|
||||
current_epoch=$(date '+%s')
|
||||
@@ -847,12 +1011,26 @@ verify_ban_list_vs_firewall() {
|
||||
[ -z "$ip" ] || [ -z "$ban_until" ] && continue
|
||||
if [ "$current_epoch" -lt "$ban_until" ]; then
|
||||
if ! is_ip_blocked "$ip"; then
|
||||
write_log "AUDIT: рассинхрон — IP $ip есть в бан-листе, но нет правила DROP в firewall"
|
||||
write_log "AUDIT: рассинхрон — IP $ip в бан-листе, но нет в ipset; восстанавливаю"
|
||||
local remain=$((ban_until - current_epoch))
|
||||
do_ipset_add_ban "$ip" "$(ipset_timeout_clamp "$remain")" || true
|
||||
fi
|
||||
fi
|
||||
done <"$BAN_LIST_FILE"
|
||||
}
|
||||
|
||||
ipset_active_ban_count() {
|
||||
local n n6
|
||||
n=$(ipset list "$IPSET_NAME_V4" 2>/dev/null | awk '/^Number of entries:/{print $4; exit}')
|
||||
n="${n:-0}"
|
||||
n6=0
|
||||
if ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
|
||||
n6=$(ipset list "$IPSET_NAME_V6" 2>/dev/null | awk '/^Number of entries:/{print $4; exit}')
|
||||
fi
|
||||
n6="${n6:-0}"
|
||||
echo $((n + n6))
|
||||
}
|
||||
|
||||
load_whitelist_from_file() {
|
||||
local whitelist_file="/etc/ssh_monitor_whitelist.txt"
|
||||
|
||||
@@ -1407,6 +1585,11 @@ send_daily_report() {
|
||||
active_count=$(who 2>/dev/null | grep -c "." || echo "0")
|
||||
|
||||
local active_bans=0
|
||||
local ban_line
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
|
||||
if command -v ipset >/dev/null 2>&1; then
|
||||
active_bans=$(ipset_active_ban_count)
|
||||
else
|
||||
local current_epoch
|
||||
current_epoch=$(date '+%s')
|
||||
if [ -f "$BAN_LIST_FILE" ]; then
|
||||
@@ -1416,6 +1599,11 @@ send_daily_report() {
|
||||
fi
|
||||
done <"$BAN_LIST_FILE"
|
||||
fi
|
||||
fi
|
||||
ban_line="🚫 Активных банов (ipset): ${active_bans}"
|
||||
else
|
||||
ban_line="🚫 Автобан IP: отключён (ENABLE_IP_BAN=0)"
|
||||
fi
|
||||
|
||||
local message=" 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА "$'\n'
|
||||
message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
|
||||
@@ -1425,7 +1613,7 @@ send_daily_report() {
|
||||
message="${message} ✅ Успешных SSH подключений: ${successful_logins:-0}"$'\n'
|
||||
message="${message} ❌ Неудачных попыток SSH: ${failed_logins:-0}"$'\n'
|
||||
message="${message} ⚠️ Команд через sudo: ${sudo_commands:-0}"$'\n'
|
||||
message="${message} 🚫 Заблокировано IP: ${active_bans}"$'\n'
|
||||
message="${message} ${ban_line}"$'\n'
|
||||
message="${message}"$'\n'
|
||||
message="${message} 🧾 ТОП-${DAILY_REPORT_TOP_IPS} IP ПО НЕУДАЧНЫМ ПОПЫТКАМ:"$'\n'
|
||||
if [ -n "$top_lines" ]; then
|
||||
@@ -1560,7 +1748,11 @@ send_startup_notification() {
|
||||
message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
|
||||
message="${message}🕐 Время запуска: ${timestamp}"$'\n'
|
||||
message="${message}📊 Мониторинг SSH, SUDO и systemd-logind активирован"$'\n'
|
||||
message="${message}🚫 Автоблокировка IP после ${MAX_ATTEMPTS} попыток на ${BAN_TIME} секунд"$'\n'
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
|
||||
message="${message}🚫 Автоблокировка (ipset): после ${MAX_ATTEMPTS} попыток, timeout ${BAN_TIME} с ($IPSET_NAME_V4)"$'\n'
|
||||
else
|
||||
message="${message}🚫 Автоблокировка IP: выключена (ENABLE_IP_BAN=0), только уведомления"$'\n'
|
||||
fi
|
||||
message="${message}⚪ Белый список: ${whitelist_count} IP/подсетей"$'\n'
|
||||
message="${message}❤️ Heartbeat будет отправляться каждые 12 часов"$'\n'
|
||||
message="${message}📢 Каналы уведомлений (все по списку): $(notify_chain_human)"
|
||||
@@ -1590,7 +1782,12 @@ main() {
|
||||
fi
|
||||
|
||||
load_whitelist_from_file
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
|
||||
ensure_ipset_and_iptables || write_log "WARN: ensure_ipset_and_iptables завершился с ошибкой"
|
||||
load_existing_bans
|
||||
else
|
||||
write_log "ENABLE_IP_BAN=0: мониторинг и уведомления без ipset/автобана"
|
||||
fi
|
||||
send_startup_notification
|
||||
|
||||
local last_ban_check
|
||||
@@ -1607,9 +1804,9 @@ main() {
|
||||
|
||||
local current_time
|
||||
current_time=$(date '+%s')
|
||||
if [ $((current_time - last_ban_check)) -ge "$BAN_CHECK_INTERVAL" ]; then
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ] && [ $((current_time - last_ban_check)) -ge "$BAN_CHECK_INTERVAL" ]; then
|
||||
unblock_expired_ips
|
||||
verify_ban_list_vs_firewall
|
||||
verify_ban_list_vs_ipset
|
||||
last_ban_check=$current_time
|
||||
fi
|
||||
|
||||
@@ -1632,6 +1829,8 @@ run_check_config() {
|
||||
printf 'SSH_ACCEPT_NOTIFY_DEDUP_SEC=%s\n' "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}"
|
||||
printf 'DAILY_REPORT_TOP_IPS=%s\n' "$DAILY_REPORT_TOP_IPS"
|
||||
printf 'BRUTE_WINDOW_SEC=%s BRUTE_MIN_FAILS=%s\n' "$BRUTE_WINDOW_SEC" "$BRUTE_MIN_FAILS"
|
||||
printf 'ENABLE_IP_BAN=%s (1=мониторинг+бан ipset, 0=только мониторинг и уведомления)\n' "${ENABLE_IP_BAN:-1}"
|
||||
printf 'IPSET_NAME_V4=%s IPSET_NAME_V6=%s IPSET_MAXELEM=%s\n' "$IPSET_NAME_V4" "$IPSET_NAME_V6" "$IPSET_MAXELEM"
|
||||
printf 'PROMETHEUS_TEXTFILE_DIR=%s\n' "${PROMETHEUS_TEXTFILE_DIR:-}"
|
||||
printf 'HEALTHCHECK_STATUS_FILE=%s\n' "${HEALTHCHECK_STATUS_FILE:-}"
|
||||
printf 'ENABLE_LOGIND_MONITOR=%s LAST_LOGIND_CHECK_FILE=%s\n' "${ENABLE_LOGIND_MONITOR:-}" "${LAST_LOGIND_CHECK_FILE:-}"
|
||||
@@ -1680,9 +1879,18 @@ mkdir -p "$(dirname "$LOG_FILE")"
|
||||
touch "$LOG_FILE"
|
||||
|
||||
write_log "Конфигурация загружена из $CONFIG_FILE (или дефолты), версия ${SSH_MONITOR_VERSION:-?}, очередь оповещений: $(notify_chain_human)"
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
|
||||
write_log "Режим: мониторинг + автобан IP (ENABLE_IP_BAN=1)"
|
||||
else
|
||||
write_log "Режим: только мониторинг и уведомления (ENABLE_IP_BAN=0)"
|
||||
fi
|
||||
|
||||
if [ "${DRY_RUN:-0}" = "1" ]; then
|
||||
write_log "Режим DRY-RUN: iptables/ip6tables не меняются, уведомления печатаются в stderr"
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
|
||||
write_log "Режим DRY-RUN: ipset/iptables не меняются, уведомления печатаются в stderr"
|
||||
else
|
||||
write_log "Режим DRY-RUN: уведомления печатаются в stderr"
|
||||
fi
|
||||
fi
|
||||
|
||||
main
|
||||
|
||||
@@ -44,6 +44,9 @@ LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
|
||||
LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
|
||||
BAN_LIST_FILE="/var/log/ssh_bans.txt"
|
||||
|
||||
# 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
|
||||
ENABLE_IP_BAN="1"
|
||||
|
||||
# systemd-logind: 1 = включено, 0 = выключено
|
||||
ENABLE_LOGIND_MONITOR="1"
|
||||
LOGIND_NOTIFY_NEW="1"
|
||||
@@ -66,6 +69,11 @@ MAX_ATTEMPTS="3"
|
||||
BAN_CHECK_INTERVAL="60"
|
||||
MONITOR_INTERVAL="10"
|
||||
|
||||
# --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
|
||||
# IPSET_NAME_V4="ssh_monitor_ban"
|
||||
# IPSET_NAME_V6="ssh_monitor_ban_v6"
|
||||
# IPSET_MAXELEM="1048576"
|
||||
|
||||
# Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
|
||||
BRUTE_WINDOW_SEC="900"
|
||||
BRUTE_MIN_FAILS="30"
|
||||
|
||||
@@ -0,0 +1,365 @@
|
||||
#!/bin/bash
|
||||
|
||||
# === Конфигурация скрипта ===
|
||||
UPDATE_DIR="/opt/scripts/update"
|
||||
SCRIPT_NAME="ssh-monitor"
|
||||
REPO_URL="https://git.kalinamall.ru/PapaTramp/ssh-monitor.git"
|
||||
LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
|
||||
LOG_FILE="/var/log/update_script.log"
|
||||
|
||||
# Режим отладки: 1 = включён, 0 = выключен
|
||||
DEBUG=0
|
||||
|
||||
# === Список переменных, объявленных в скрипте (для логирования при DEBUG=1) ===
|
||||
SCRIPT_VARS=("UPDATE_DIR" "SCRIPT_NAME" "REPO_URL" "LOCAL_SCRIPT_PATH" "LOG_FILE" "DEBUG" "REMOTE_SCRIPT_PATH" "LOCAL_CHECKSUM" "REMOTE_CHECKSUM")
|
||||
|
||||
# === Функции ===
|
||||
|
||||
# Основная функция логирования
|
||||
log_message() {
|
||||
local level="$1"
|
||||
local message="$2"
|
||||
local timestamp
|
||||
timestamp="$(date '+%Y-%m-%d %H:%M:%S')"
|
||||
|
||||
# Создаём лог-файл и директорию при необходимости
|
||||
if [ ! -f "$LOG_FILE" ]; then
|
||||
mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null
|
||||
touch "$LOG_FILE" 2>/dev/null
|
||||
fi
|
||||
|
||||
if [ "$level" = "INFO" ]; then
|
||||
echo "$timestamp INFO: $message" >> "$LOG_FILE"
|
||||
elif [ "$level" = "DEBUG" ] && [ "$DEBUG" -eq 1 ]; then
|
||||
echo "$timestamp DEBUG: $message" >> "$LOG_FILE"
|
||||
elif [ "$level" = "ERROR" ]; then
|
||||
echo "$timestamp ERROR: $message" >> "$LOG_FILE"
|
||||
fi
|
||||
}
|
||||
|
||||
# Функция для логирования шагов с комментариями (работает только при DEBUG=1)
|
||||
debug_step() {
|
||||
if [ "$DEBUG" -eq 1 ]; then
|
||||
log_message "DEBUG" "# $1"
|
||||
fi
|
||||
}
|
||||
|
||||
# Функция для логирования только объявленных в скрипте переменных
|
||||
log_script_vars() {
|
||||
if [ "$DEBUG" -eq 1 ]; then
|
||||
log_message "DEBUG" "=== Значения переменных скрипта ==="
|
||||
for var_name in "${SCRIPT_VARS[@]}"; do
|
||||
local var_value="${!var_name}"
|
||||
log_message "DEBUG" "$var_name='$var_value'"
|
||||
done
|
||||
log_message "DEBUG" "=== Конец списка переменных ==="
|
||||
fi
|
||||
}
|
||||
|
||||
# === КРИТИЧЕСКАЯ ФУНКЦИЯ: Проверка и установка ipset ===
|
||||
ensure_ipset_installed() {
|
||||
debug_step "Проверяем наличие ipset в системе"
|
||||
|
||||
# Проверяем, установлен ли ipset
|
||||
if ! command -v ipset &>/dev/null; then
|
||||
log_message "INFO" "ipset not found. Attempting silent installation..."
|
||||
debug_step "ipset не обнаружен, начинаем установку в silent режиме"
|
||||
|
||||
# Определяем пакетный менеджер и устанавливаем ipset
|
||||
if command -v apt-get &>/dev/null || command -v apt &>/dev/null; then
|
||||
debug_step "Обнаружен Debian/Ubuntu, используем apt"
|
||||
log_message "INFO" "Detected apt package manager, installing ipset..."
|
||||
|
||||
# Тихая установка через apt
|
||||
if apt-get update -qq >/dev/null 2>&1 && apt-get install -y -qq ipset >/dev/null 2>&1; then
|
||||
log_message "INFO" "ipset installed successfully via apt"
|
||||
debug_step "ipset успешно установлен через apt"
|
||||
else
|
||||
log_message "ERROR" "Failed to install ipset via apt"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через apt"
|
||||
return 1
|
||||
fi
|
||||
|
||||
elif command -v yum &>/dev/null; then
|
||||
debug_step "Обнаружен RHEL/CentOS, используем yum"
|
||||
log_message "INFO" "Detected yum package manager, installing ipset..."
|
||||
|
||||
if yum install -y -q ipset >/dev/null 2>&1; then
|
||||
log_message "INFO" "ipset installed successfully via yum"
|
||||
debug_step "ipset успешно установлен через yum"
|
||||
else
|
||||
log_message "ERROR" "Failed to install ipset via yum"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через yum"
|
||||
return 1
|
||||
fi
|
||||
|
||||
elif command -v dnf &>/dev/null; then
|
||||
debug_step "Обнаружен Fedora/RHEL 8+, используем dnf"
|
||||
log_message "INFO" "Detected dnf package manager, installing ipset..."
|
||||
|
||||
if dnf install -y -q ipset >/dev/null 2>&1; then
|
||||
log_message "INFO" "ipset installed successfully via dnf"
|
||||
debug_step "ipset успешно установлен через dnf"
|
||||
else
|
||||
log_message "ERROR" "Failed to install ipset via dnf"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через dnf"
|
||||
return 1
|
||||
fi
|
||||
|
||||
elif command -v pacman &>/dev/null; then
|
||||
debug_step "Обнаружен Arch Linux, используем pacman"
|
||||
log_message "INFO" "Detected pacman package manager, installing ipset..."
|
||||
|
||||
if pacman -S --noconfirm --quiet ipset >/dev/null 2>&1; then
|
||||
log_message "INFO" "ipset installed successfully via pacman"
|
||||
debug_step "ipset успешно установлен через pacman"
|
||||
else
|
||||
log_message "ERROR" "Failed to install ipset via pacman"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через pacman"
|
||||
return 1
|
||||
fi
|
||||
|
||||
elif command -v zypper &>/dev/null; then
|
||||
debug_step "Обнаружен openSUSE, используем zypper"
|
||||
log_message "INFO" "Detected zypper package manager, installing ipset..."
|
||||
|
||||
if zypper --quiet --non-interactive install ipset >/dev/null 2>&1; then
|
||||
log_message "INFO" "ipset installed successfully via zypper"
|
||||
debug_step "ipset успешно установлен через zypper"
|
||||
else
|
||||
log_message "ERROR" "Failed to install ipset via zypper"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через zypper"
|
||||
return 1
|
||||
fi
|
||||
|
||||
else
|
||||
log_message "ERROR" "Unsupported package manager. Cannot install ipset"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: Пакетный менеджер не распознан"
|
||||
return 1
|
||||
fi
|
||||
|
||||
# Проверяем, что ipset действительно установился
|
||||
if ! command -v ipset &>/dev/null; then
|
||||
log_message "ERROR" "ipset installation verification failed"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
debug_step "КРИТИЧЕСКАЯ ОШИБКА: ipset не обнаружен после установки"
|
||||
return 1
|
||||
fi
|
||||
|
||||
else
|
||||
debug_step "ipset уже установлен в системе"
|
||||
log_message "INFO" "ipset is already installed"
|
||||
|
||||
# Проверяем версию ipset (информационно)
|
||||
if [ "$DEBUG" -eq 1 ]; then
|
||||
local ipset_version=$(ipset --version 2>&1)
|
||||
log_message "DEBUG" "ipset version: $ipset_version"
|
||||
fi
|
||||
fi
|
||||
|
||||
log_message "INFO" "ipset check/installation completed successfully"
|
||||
return 0
|
||||
}
|
||||
|
||||
# === Гарантированное создание директорий ===
|
||||
ensure_directories() {
|
||||
debug_step "Проверяем и создаём необходимые директории"
|
||||
|
||||
# Создаём UPDATE_DIR если не существует
|
||||
if [ ! -d "$UPDATE_DIR" ]; then
|
||||
log_message "INFO" "Creating directory: $UPDATE_DIR"
|
||||
debug_step "Директория $UPDATE_DIR не существует, создаём"
|
||||
if mkdir -p "$UPDATE_DIR" 2>/dev/null; then
|
||||
log_message "INFO" "Directory created successfully"
|
||||
else
|
||||
log_message "INFO" "ERROR: Cannot create directory $UPDATE_DIR"
|
||||
return 1
|
||||
fi
|
||||
else
|
||||
debug_step "Директория $UPDATE_DIR уже существует"
|
||||
fi
|
||||
|
||||
# Проверяем права на запись
|
||||
if [ ! -w "$UPDATE_DIR" ]; then
|
||||
log_message "INFO" "WARNING: Directory $UPDATE_DIR is not writable"
|
||||
debug_step "ПРЕДУПРЕЖДЕНИЕ: Нет прав на запись в $UPDATE_DIR"
|
||||
return 1
|
||||
fi
|
||||
|
||||
return 0
|
||||
}
|
||||
|
||||
# Функция для обновления скрипта
|
||||
update_script() {
|
||||
log_message "INFO" "Starting script update..."
|
||||
debug_step "Запуск функции обновления скрипта"
|
||||
|
||||
# Гарантируем наличие директории
|
||||
debug_step "Гарантируем наличие директории для работы"
|
||||
if ! ensure_directories; then
|
||||
return 1
|
||||
fi
|
||||
|
||||
# Переходим в директорию для клона репозитория
|
||||
debug_step "Переходим в директорию для клона репозитория: $UPDATE_DIR"
|
||||
if ! cd "$UPDATE_DIR" 2>/dev/null; then
|
||||
log_message "INFO" "ERROR: Cannot cd to $UPDATE_DIR"
|
||||
return 1
|
||||
fi
|
||||
|
||||
# Клонируем или обновляем репозиторий
|
||||
debug_step "Проверяем наличие репозитория и обновляем/клонируем"
|
||||
if [ -d "$SCRIPT_NAME" ]; then
|
||||
log_message "INFO" "Repository exists, pulling updates..."
|
||||
debug_step "Выполняем git pull origin main"
|
||||
if ! git -C "$SCRIPT_NAME" pull origin main >> "$LOG_FILE" 2>&1; then
|
||||
log_message "INFO" "WARNING: git pull failed, continuing with existing local copy..."
|
||||
fi
|
||||
else
|
||||
log_message "INFO" "Cloning repository from $REPO_URL"
|
||||
debug_step "Выполняем git clone $REPO_URL $SCRIPT_NAME"
|
||||
if ! git clone "$REPO_URL" "$SCRIPT_NAME" >> "$LOG_FILE" 2>&1; then
|
||||
log_message "INFO" "ERROR: git clone failed"
|
||||
return 1
|
||||
fi
|
||||
fi
|
||||
|
||||
# Формируем путь к скрипту в репозитории (основной и альтернативный)
|
||||
REMOTE_SCRIPT_PATH="$UPDATE_DIR/$SCRIPT_NAME/src/branch/main/$SCRIPT_NAME"
|
||||
ALT_REMOTE_PATH="$UPDATE_DIR/$SCRIPT_NAME/$SCRIPT_NAME"
|
||||
|
||||
debug_step "Основной путь к скрипту: $REMOTE_SCRIPT_PATH"
|
||||
debug_step "Альтернативный путь к скрипту: $ALT_REMOTE_PATH"
|
||||
|
||||
# Определяем реальный путь к скрипту
|
||||
local actual_script_path=""
|
||||
if [ -f "$REMOTE_SCRIPT_PATH" ]; then
|
||||
actual_script_path="$REMOTE_SCRIPT_PATH"
|
||||
debug_step "Скрипт найден по основному пути"
|
||||
elif [ -f "$ALT_REMOTE_PATH" ]; then
|
||||
actual_script_path="$ALT_REMOTE_PATH"
|
||||
log_message "INFO" "Script found at alternative path"
|
||||
debug_step "Скрипт найден по альтернативному пути"
|
||||
fi
|
||||
|
||||
# Проверяем наличие файла скрипта в репозитории
|
||||
if [ -n "$actual_script_path" ] && [ -f "$actual_script_path" ]; then
|
||||
log_message "INFO" "Remote script found. Comparing checksums..."
|
||||
debug_step "Проверяем наличие файла скрипта в репозитории"
|
||||
|
||||
# Проверяем существование локального скрипта
|
||||
if [ ! -f "$LOCAL_SCRIPT_PATH" ]; then
|
||||
log_message "INFO" "Local script not found. Will install new one."
|
||||
LOCAL_CHECKSUM=""
|
||||
debug_step "Локальный скрипт отсутствует, будет установлен новый"
|
||||
else
|
||||
debug_step "Вычисляем контрольную сумму локального скрипта"
|
||||
LOCAL_CHECKSUM=$(sha256sum "$LOCAL_SCRIPT_PATH" 2>/dev/null | awk '{print $1}')
|
||||
fi
|
||||
|
||||
debug_step "Вычисляем контрольную сумму удалённого скрипта"
|
||||
REMOTE_CHECKSUM=$(sha256sum "$actual_script_path" 2>/dev/null | awk '{print $1}')
|
||||
|
||||
# Сравниваем контрольные суммы
|
||||
debug_step "Сравниваем контрольные суммы"
|
||||
if [ "$LOCAL_CHECKSUM" != "$REMOTE_CHECKSUM" ]; then
|
||||
log_message "INFO" "Checksums differ. Updating $LOCAL_SCRIPT_PATH..."
|
||||
debug_step "Контрольные суммы различаются, начинаем обновление"
|
||||
|
||||
# Создаем бекап текущего скрипта если он существует
|
||||
if [ -f "$LOCAL_SCRIPT_PATH" ]; then
|
||||
debug_step "Создаем резервную копию текущего скрипта"
|
||||
cp "$LOCAL_SCRIPT_PATH" "${LOCAL_SCRIPT_PATH}.backup.$(date +%Y%m%d_%H%M%S)" 2>/dev/null
|
||||
fi
|
||||
|
||||
debug_step "Копируем новый скрипт в $LOCAL_SCRIPT_PATH"
|
||||
if ! cp "$actual_script_path" "$LOCAL_SCRIPT_PATH"; then
|
||||
log_message "INFO" "ERROR: Failed to copy script"
|
||||
return 1
|
||||
fi
|
||||
|
||||
debug_step "Делаем скрипт исполняемым"
|
||||
chmod +x "$LOCAL_SCRIPT_PATH"
|
||||
|
||||
log_message "INFO" "Script updated successfully."
|
||||
debug_step "Скрипт успешно обновлен"
|
||||
|
||||
# Перезапускаем сервис
|
||||
debug_step "Перезапускаем сервис ssh-monitor.service"
|
||||
if command -v systemctl &>/dev/null; then
|
||||
if systemctl restart ssh-monitor.service 2>/dev/null; then
|
||||
log_message "INFO" "Service restarted successfully."
|
||||
debug_step "Сервис успешно перезапущен"
|
||||
else
|
||||
log_message "INFO" "WARNING: Failed to restart service (may not be running)"
|
||||
debug_step "ПРЕДУПРЕЖДЕНИЕ: Не удалось перезапустить сервис"
|
||||
fi
|
||||
else
|
||||
log_message "INFO" "systemctl not found, service not restarted"
|
||||
debug_step "systemctl не найден, сервис не перезапущен"
|
||||
fi
|
||||
else
|
||||
log_message "INFO" "Checksums match. No update needed."
|
||||
debug_step "Контрольные суммы совпадают, обновление не требуется"
|
||||
fi
|
||||
else
|
||||
log_message "INFO" "No remote script found. No update needed."
|
||||
debug_step "Удаленный скрипт не найден ни по одному из путей"
|
||||
|
||||
# Информация для отладки
|
||||
if [ "$DEBUG" -eq 1 ]; then
|
||||
debug_step "Содержимое директории репозитория:"
|
||||
if [ -d "$UPDATE_DIR/$SCRIPT_NAME" ]; then
|
||||
find "$UPDATE_DIR/$SCRIPT_NAME" -type f -name "$SCRIPT_NAME" 2>/dev/null | while read -r found_file; do
|
||||
log_message "DEBUG" "Найден файл: $found_file"
|
||||
done
|
||||
fi
|
||||
fi
|
||||
fi
|
||||
|
||||
# Логируем значения переменных скрипта при DEBUG=1
|
||||
log_script_vars
|
||||
|
||||
return 0
|
||||
}
|
||||
|
||||
# === Основной блок выполнения ===
|
||||
|
||||
log_message "INFO" "=== Script update started ==="
|
||||
debug_step "Инициализация скрипта обновления"
|
||||
|
||||
# 1. Гарантируем создание необходимых директорий
|
||||
if ! ensure_directories; then
|
||||
log_message "INFO" "ERROR: Failed to ensure directories. Exiting."
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# 2. КРИТИЧЕСКИ ВАЖНО: Проверяем и устанавливаем ipset
|
||||
debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
|
||||
if ! ensure_ipset_installed; then
|
||||
log_message "ERROR" "CRITICAL: ipset installation or verification failed"
|
||||
log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
|
||||
echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# 3. Выполняем функцию обновления
|
||||
update_script
|
||||
exit_code=$?
|
||||
|
||||
if [ $exit_code -eq 0 ]; then
|
||||
log_message "INFO" "=== Script update completed successfully ==="
|
||||
debug_step "Скрипт успешно завершил работу"
|
||||
else
|
||||
log_message "INFO" "=== Script update completed with errors (exit code: $exit_code) ==="
|
||||
debug_step "Скрипт завершил работу с ошибками"
|
||||
fi
|
||||
|
||||
# Выход с кодом завершения
|
||||
exit $exit_code
|
||||
Reference in New Issue
Block a user