Add ENABLE_IP_BAN mode switch

Introduce ENABLE_IP_BAN in config and script.
When set to 0, ssh-monitor works in monitor-only mode (alerts without ipset/iptables bans).

Made-with: Cursor

IPSET-NOTES.txt

@@ -0,0 +1,24 @@
+ssh-monitor (ветка ipset) — что сделать на сервере
+==================================================
+
+1) apt install ipset
+
+2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
+
+3) Каталог /etc/iptables должен существовать, если нужен save правил:
+   mkdir -p /etc/iptables
+   Скрипт пишет:
+   - /etc/iptables/ipset.rules
+   - /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
+
+4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
+   apt install ipset-persistent
+   либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
+
+5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
+   правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
+
+6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
+   и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
+
+Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.

README.md

@@ -1,6 +1,10 @@
 # ssh-monitor
 
-Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (IPv4 через `iptables`, IPv6 через `ip6tables` при наличии) и ежедневным отчётом.
+> **Эта папка (`Projects/ssh-monitor`):** основной файл **`ssh-monitor`** — сборка с **ipset** (автобан через набор `hash:ip timeout` и одно правило `-m set`, не отдельное правило на каждый IP). Нюансы установки и восстановления наборов: **`IPSET-NOTES.txt`**.
+
+Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**) и ежедневным отчётом.
+
+**Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 
 ## Конфигурация
 
@@ -28,6 +32,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
+- `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
@@ -64,7 +69,8 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
 - `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
 - `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
-- `BAN_TIME` — длительность бана IP в секундах.
+- `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
+- `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
 - `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
 - `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
@@ -96,6 +102,8 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 
 Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
 
+Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
+
 ## Режимы запуска
 
 Обычный запуск (root):
@@ -132,13 +140,13 @@ make dist
 
 Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
 
-## Автозапуск через systemd
+## Установка скрипта, конфигурации и systemd
 
 1. Скопируйте скрипт в постоянное место:
- - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
+   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
-2. Убедитесь, что конфиг есть:
+2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
- - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf` (если еще не создан)
+   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
- - `sudo chmod 600 /etc/ssh-monitor.conf`
+   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
 
 ```ini
@@ -177,40 +185,10 @@ sudo journalctl -u ssh-monitor -f
 
 Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
 
-## Статистика без systemd (`journalctl`)
-
-Для корректного подсчёта событий за последние 24 часа по файлам `/var/log/auth.log*` рекомендуется наличие **Python 3** на сервере. При его отсутствии счётчики в ежедневном отчёте для «классического» syslog могут быть занижены (используется безопасный fallback).
-
-**Мониторинг `systemd-logind`** и другие части, использующие **`journalctl`**, на таких системах **не выполняются** или дают неполные данные — ориентируйтесь на окружение с **systemd** и доступным журналом.
-
 ## Watchdog (автоматическое восстановление)
 
-Watchdog проверяет:
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
 
-- активен ли `ssh-monitor.service`;
+Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
-- не устарел ли heartbeat (`LAST_HEARTBEAT_FILE`).
 
-Если сервис неактивен или heartbeat старше `WATCHDOG_MAX_HEARTBEAT_AGE`, watchdog выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+**Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
-
-### Установка watchdog
-
-1. Установите watchdog-скрипт:
- - `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
-2. Создайте unit и timer из примеров:
- - `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
- - `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
-3. Примените и запустите timer:
-
-```bash
-sudo systemctl daemon-reload
-sudo systemctl enable ssh-monitor-watchdog.timer
-sudo systemctl start ssh-monitor-watchdog.timer
-```
-
-4. Проверка:
-
-```bash
-sudo systemctl status ssh-monitor-watchdog.timer
-sudo systemctl list-timers | grep ssh-monitor-watchdog
-sudo journalctl -u ssh-monitor-watchdog.service -f
-```

docs/install-prerequisites.ru.md

@@ -0,0 +1,147 @@
+# Системные зависимости и установка окружения
+
+Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
+
+## 1. Что должно быть на хосте
+
+### Обязательно
+
+| Назначение | Что используется | Примечание |
+|------------|------------------|------------|
+| Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
+| Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
+| Telegram | **curl** | Запросы к `api.telegram.org`. |
+| Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
+| Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
+
+Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
+
+### Настоятельно рекомендуется (полный функционал)
+
+| Назначение | Что используется |
+|------------|------------------|
+| Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
+| Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
+| Удобный просмотр логов сервиса | **`journalctl`** |
+
+На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
+
+### Утилиты из «базовой» системы
+
+Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
+
+---
+
+## 2. Пошаговая установка пакетов (Debian / Ubuntu)
+
+Выполняйте от пользователя с `sudo`.
+
+**Шаг 1.** Обновить индексы пакетов:
+
+```bash
+sudo apt update
+```
+
+**Шаг 2.** Минимум для Telegram и бана по firewall:
+
+```bash
+sudo apt install -y iptables curl
+```
+
+При необходимости IPv6 (если на сервере используется `ip6tables`):
+
+```bash
+sudo apt install -y ip6tables
+```
+
+(На многих образах **ip6tables** уже входит в метапакет с iptables.)
+
+**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
+
+```bash
+sudo apt install -y python3
+```
+
+**Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
+
+**Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
+
+```bash
+sudo apt install -y iptables-persistent netfilter-persistent
+```
+
+Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
+
+---
+
+## 3. Другие дистрибутивы
+
+Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
+
+Примеры:
+
+- **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
+- **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
+
+---
+
+## 4. Системы без `journalctl` (классический syslog)
+
+- События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
+- **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
+- Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
+
+---
+
+## 5. Конфликты с UFW / другими обёртками firewall
+
+Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
+
+```bash
+sudo iptables -L INPUT -n -v --line-numbers
+```
+
+При необходимости согласуйте порядок с вашей схемой управления firewall.
+
+---
+
+## 6. Опционально: watchdog
+
+Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
+
+**Установка:**
+
+1. Скопируйте скрипт:  
+   `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
+2. Установите unit и timer:  
+   `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`  
+   `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
+3. Включите timer:
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl enable ssh-monitor-watchdog.timer
+sudo systemctl start ssh-monitor-watchdog.timer
+```
+
+4. Проверка:
+
+```bash
+sudo systemctl status ssh-monitor-watchdog.timer
+sudo systemctl list-timers | grep ssh-monitor-watchdog
+sudo journalctl -u ssh-monitor-watchdog.service -f
+```
+
+Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
+
+---
+
+## 7. Краткий чек-лист перед первым запуском
+
+- [ ] Установлены **iptables** (и при необходимости **ip6tables**).
+- [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
+- [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
+- [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
+- [ ] (По желанию) настроено сохранение правил после перезагрузки.
+
+Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).

ssh-monitor

@@ -7,7 +7,7 @@ IFS=$'\n\t'
 # ============================================
 
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="1.0.0"
+SSH_MONITOR_VERSION="1.1.2-ipset"
 
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
@@ -68,12 +68,21 @@ BRUTE_NOTIFY_COOLDOWN_SEC=3600
 # НАСТРОЙКИ БЛОКИРОВКИ IP
 # ============================================
 
+# 1 = мониторинг + автобан IP (ipset); 0 = только мониторинг и уведомления (ipset/iptables не трогаем).
+ENABLE_IP_BAN=1
+
 BAN_TIME=3600
 MAX_ATTEMPTS=3
 BAN_CHECK_INTERVAL=60
 MONITOR_INTERVAL=10
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 
+# Блокировка через ipset (одно правило iptables/ip6tables + таймаут элемента в ядре).
+# Имена наборов можно переопределить в /etc/ssh-monitor.conf
+IPSET_NAME_V4="ssh_monitor_ban"
+IPSET_NAME_V6="ssh_monitor_ban_v6"
+IPSET_MAXELEM=1048576
+
 WHITELIST_IPS=(
  "127.0.0.1"
 )
@@ -168,11 +177,15 @@ load_config() {
  local cfg_brute_window_sec="${BRUTE_WINDOW_SEC}"
  local cfg_brute_min_fails="${BRUTE_MIN_FAILS}"
  local cfg_brute_notify_cooldown_sec="${BRUTE_NOTIFY_COOLDOWN_SEC}"
+ local cfg_enable_ip_ban="${ENABLE_IP_BAN:-1}"
  local cfg_ban_time="${BAN_TIME}"
  local cfg_max_attempts="${MAX_ATTEMPTS}"
  local cfg_ban_check_interval="${BAN_CHECK_INTERVAL}"
  local cfg_monitor_interval="${MONITOR_INTERVAL}"
  local cfg_ban_list_file="${BAN_LIST_FILE}"
+ local cfg_ipset_name_v4="${IPSET_NAME_V4:-ssh_monitor_ban}"
+ local cfg_ipset_name_v6="${IPSET_NAME_V6:-ssh_monitor_ban_v6}"
+ local cfg_ipset_maxelem="${IPSET_MAXELEM:-1048576}"
  local cfg_whitelist_ips_csv="${default_whitelist_ips_csv}"
  local cfg_whitelist_subnets_csv="${default_whitelist_subnets_csv}"
  local cfg_notify_order="${NOTIFY_ORDER:-}"
@@ -210,6 +223,9 @@ load_config() {
  PROMETHEUS_TEXTFILE_DIR="${PROMETHEUS_TEXTFILE_DIR:-$cfg_prometheus_textfile_dir}"
  HEALTHCHECK_STATUS_FILE="${HEALTHCHECK_STATUS_FILE:-$cfg_healthcheck_status_file}"
  BAN_LIST_FILE="${BAN_LIST_FILE:-$cfg_ban_list_file}"
+ IPSET_NAME_V4="${IPSET_NAME_V4:-$cfg_ipset_name_v4}"
+ IPSET_NAME_V6="${IPSET_NAME_V6:-$cfg_ipset_name_v6}"
+ IPSET_MAXELEM="${IPSET_MAXELEM:-$cfg_ipset_maxelem}"
 
  DAILY_REPORT_HOUR="${DAILY_REPORT_HOUR:-$cfg_daily_report_hour}"
  DAILY_REPORT_TOP_IPS="${DAILY_REPORT_TOP_IPS:-$cfg_daily_report_top_ips}"
@@ -222,6 +238,7 @@ load_config() {
  BRUTE_WINDOW_SEC="${BRUTE_WINDOW_SEC:-$cfg_brute_window_sec}"
  BRUTE_MIN_FAILS="${BRUTE_MIN_FAILS:-$cfg_brute_min_fails}"
  BRUTE_NOTIFY_COOLDOWN_SEC="${BRUTE_NOTIFY_COOLDOWN_SEC:-$cfg_brute_notify_cooldown_sec}"
+ ENABLE_IP_BAN="${ENABLE_IP_BAN:-$cfg_enable_ip_ban}"
  BAN_TIME="${BAN_TIME:-$cfg_ban_time}"
  MAX_ATTEMPTS="${MAX_ATTEMPTS:-$cfg_max_attempts}"
  BAN_CHECK_INTERVAL="${BAN_CHECK_INTERVAL:-$cfg_ban_check_interval}"
@@ -241,6 +258,13 @@ load_config() {
  MAIL_TO="$(trim_value "${MAIL_TO:-$cfg_mail_to}")"
  MAIL_SMTP_STARTTLS="${MAIL_SMTP_STARTTLS:-$cfg_mail_smtp_starttls}"
  MAIL_SMTP_SSL="${MAIL_SMTP_SSL:-$cfg_mail_smtp_ssl}"
+
+ local _eib
+ _eib="$(trim_value "${ENABLE_IP_BAN:-1}")"
+ case "${_eib,,}" in
+ 0 | no | off | false) ENABLE_IP_BAN=0 ;;
+ *) ENABLE_IP_BAN=1 ;;
+ esac
 }
 
 # Дата/время для ежедневного отчёта (час DAILY_REPORT_HOUR и «сегодня» в LAST_REPORT_FILE).
@@ -322,6 +346,13 @@ validate_config() {
  validate_numeric_or_default "BRUTE_MIN_FAILS" "30"
  validate_numeric_or_default "BRUTE_NOTIFY_COOLDOWN_SEC" "3600"
  validate_numeric_or_default "MAIL_SMTP_PORT" "587"
+ validate_numeric_or_default "IPSET_MAXELEM" "1048576"
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ] && [ "${CHECK_CONFIG_ONLY:-0}" != "1" ] && [ "${DRY_RUN:-0}" != "1" ]; then
+ if ! command -v ipset >/dev/null 2>&1; then
+ printf '%s\n' 'Включён автобан IP (ENABLE_IP_BAN=1): требуется утилита ipset (например: apt install ipset)' >&2
+ exit 1
+ fi
+ fi
  refresh_notify_chain
  if [ "${#NOTIFY_CHAIN[@]}" -eq 0 ]; then
  printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
@@ -665,81 +696,141 @@ is_whitelisted() {
 }
 
 # ============================================
-# iptables / ip6tables
+# ipset + одно правило iptables/ip6tables (без per-IP правил)
 # ============================================
+# Таймаут бана задаётся на элементе ipset: ядро само удаляет IP по истечении
+# времени. Файл BAN_LIST_FILE — для отчётов и восстановления после перезагрузки.
 
 is_ipv6() {
  [[ "$1" == *:* ]]
 }
 
-do_firewall_add_drop() {
+# Верхняя граница timeout для ipset (секунды), см. ipset(8).
- local ip="$1"
+IPSET_TIMEOUT_MAX=2147483
- if is_ipv6 "$ip"; then
- if command -v ip6tables >/dev/null 2>&1; then
- sudo ip6tables -I INPUT -s "$ip" -j DROP
- else
- write_log "WARN: IPv6 $ip — ip6tables недоступен, блокировка пропущена"
- return 1
- fi
- else
- do_iptables -I INPUT -s "$ip" -j DROP
- fi
-}
 
-do_firewall_del_drop() {
+run_priv() {
- local ip="$1"
- if is_ipv6 "$ip"; then
- if command -v ip6tables >/dev/null 2>&1; then
- sudo ip6tables -D INPUT -s "$ip" -j DROP
- fi
- else
- do_iptables -D INPUT -s "$ip" -j DROP
- fi
-}
-
-is_firewall_blocked() {
- local ip="$1"
- if is_ipv6 "$ip"; then
- if command -v ip6tables >/dev/null 2>&1; then
- sudo ip6tables -C INPUT -s "$ip" -j DROP >/dev/null 2>&1
- else
- return 1
- fi
- else
- do_iptables -C INPUT -s "$ip" -j DROP >/dev/null 2>&1
- fi
-}
-
-do_iptables() {
  if [ "${DRY_RUN:-0}" = "1" ]; then
- write_log "DRY-RUN: iptables $*"
+ write_log "DRY-RUN: $*"
  return 0
  fi
- sudo iptables "$@"
+ if [ "$EUID" -eq 0 ]; then
+ "$@"
+ else
+ sudo "$@"
+ fi
 }
 
-save_iptables_rules() {
+ipset_timeout_clamp() {
+ local t="${1:-$BAN_TIME}"
+ if ! [[ "$t" =~ ^[0-9]+$ ]]; then
+ t="$BAN_TIME"
+ fi
+ if [ "$t" -gt "$IPSET_TIMEOUT_MAX" ]; then
+ echo "$IPSET_TIMEOUT_MAX"
+ else
+ echo "$t"
+ fi
+}
+
+ensure_ipset_and_iptables() {
+ if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
+ return 0
+ fi
  if [ "${DRY_RUN:-0}" = "1" ]; then
  return 0
  fi
+ if ! command -v ipset >/dev/null 2>&1; then
+ write_log "CRIT: ipset не найден; установите: apt install ipset"
+ return 1
+ fi
+
+ local maxt="$IPSET_TIMEOUT_MAX"
+ run_priv ipset -exist create "$IPSET_NAME_V4" hash:ip timeout "$maxt" maxelem "$IPSET_MAXELEM" || {
+ write_log "CRIT: не удалось создать ipset $IPSET_NAME_V4"
+ return 1
+ }
+
+ if command -v ip6tables >/dev/null 2>&1; then
+ run_priv ipset -exist create "$IPSET_NAME_V6" hash:ip family inet6 timeout "$maxt" maxelem "$IPSET_MAXELEM" || \
+ write_log "WARN: не удалось создать ipset $IPSET_NAME_V6 (IPv6 бан отключён)"
+ fi
+
+ if ! run_priv iptables -C INPUT -m set --match-set "$IPSET_NAME_V4" src -j DROP 2>/dev/null; then
+ run_priv iptables -I INPUT 1 -m set --match-set "$IPSET_NAME_V4" src -j DROP
+ write_log "Добавлено iptables: -m set --match-set $IPSET_NAME_V4 src -j DROP"
+ fi
+
+ if command -v ip6tables >/dev/null 2>&1 && ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
+ if ! run_priv ip6tables -C INPUT -m set --match-set "$IPSET_NAME_V6" src -j DROP 2>/dev/null; then
+ run_priv ip6tables -I INPUT 1 -m set --match-set "$IPSET_NAME_V6" src -j DROP
+ write_log "Добавлено ip6tables: -m set --match-set $IPSET_NAME_V6 src -j DROP"
+ fi
+ fi
+
+ save_firewall_state
+ return 0
+}
+
+save_firewall_state() {
+ if [ "${DRY_RUN:-0}" = "1" ]; then
+ return 0
+ fi
+ if [ ! -d /etc/iptables ]; then
+ return 0
+ fi
+ if command -v ipset >/dev/null 2>&1; then
+ run_priv ipset save -f /etc/iptables/ipset.rules 2>/dev/null || true
+ fi
  if command -v iptables-save >/dev/null 2>&1; then
- if [ -d /etc/iptables ]; then
+ run_priv iptables-save >/etc/iptables/rules.v4 2>/dev/null || true
- sudo iptables-save >/etc/iptables/rules.v4 2>/dev/null || true
- fi
  fi
  if command -v ip6tables-save >/dev/null 2>&1; then
- if [ -d /etc/iptables ]; then
+ run_priv ip6tables-save >/etc/iptables/rules.v6 2>/dev/null || true
- sudo ip6tables-save >/etc/iptables/rules.v6 2>/dev/null || true
  fi
+}
+
+do_ipset_add_ban() {
+ local ip="$1"
+ local t
+ t=$(ipset_timeout_clamp "${2:-$BAN_TIME}")
+
+ if is_ipv6 "$ip"; then
+ if ! ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
+ write_log "WARN: IPv6 $ip — набор $IPSET_NAME_V6 недоступен, пропуск"
+ return 1
+ fi
+ run_priv ipset -exist del "$IPSET_NAME_V6" "$ip" 2>/dev/null || true
+ run_priv ipset add "$IPSET_NAME_V6" "$ip" timeout "$t" || return 1
+ else
+ run_priv ipset -exist del "$IPSET_NAME_V4" "$ip" 2>/dev/null || true
+ run_priv ipset add "$IPSET_NAME_V4" "$ip" timeout "$t" || return 1
+ fi
+ return 0
+}
+
+do_ipset_del_ban() {
+ local ip="$1"
+ if is_ipv6 "$ip"; then
+ run_priv ipset -exist del "$IPSET_NAME_V6" "$ip" 2>/dev/null || true
+ else
+ run_priv ipset -exist del "$IPSET_NAME_V4" "$ip" 2>/dev/null || true
  fi
 }
 
 is_ip_blocked() {
  local ip="$1"
+ if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
+ return 1
+ fi
  if [ "${DRY_RUN:-0}" = "1" ]; then
  return 1
  fi
- is_firewall_blocked "$ip"
+ if is_ipv6 "$ip"; then
+ ipset list "$IPSET_NAME_V6" >/dev/null 2>&1 || return 1
+ run_priv ipset test "$IPSET_NAME_V6" "$ip" >/dev/null 2>&1
+ else
+ run_priv ipset test "$IPSET_NAME_V4" "$ip" >/dev/null 2>&1
+ fi
 }
 
 block_ip() {
@@ -755,91 +846,164 @@ block_ip() {
  return 0
  fi
 
- local ban_until=$(($(date '+%s') + BAN_TIME))
+ if [ "${ENABLE_IP_BAN:-1}" != "1" ]; then
+ local ban_time_hours=$((BAN_TIME / 3600))
+ local message=" ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён в конфиге) "$'\n'
+ message="${message}🌐 IP: ${ip}"$'\n'
+ message="${message}👤 Попыток: ${attempts} (порог ${MAX_ATTEMPTS}; ENABLE_IP_BAN=0)"$'\n'
+ message="${message}ℹ️ ipset/firewall не меняются. При ENABLE_IP_BAN=1 бан был бы ~${ban_time_hours} ч."$'\n'
+ message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
+ notify_send "$message"
+ write_log "Порог неудачных SSH для $ip ($attempts попыток), автобан отключён (ENABLE_IP_BAN=0)"
+ return 0
+ fi
 
- do_firewall_add_drop "$ip" || true
+ local ban_until=$(($(date '+%s') + BAN_TIME))
+ local t_use
+ t_use=$(ipset_timeout_clamp "$BAN_TIME")
+
+ if ! do_ipset_add_ban "$ip" "$t_use"; then
+ write_log "CRIT: не удалось добавить $ip в ipset"
+ return 1
+ fi
 
  echo "$ip|$ban_until|$attempts|$(date '+%Y-%m-%d %H:%M:%S')" >>"$BAN_LIST_FILE"
 
- save_iptables_rules
+ save_firewall_state
 
  local ban_time_hours=$((BAN_TIME / 3600))
  local message=" 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ "$'\n'
  message="${message}🌐 IP: ${ip}"$'\n'
  message="${message}📊 Неудачных попыток: ${attempts}"$'\n'
- message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов)"$'\n'
+ message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов) (ipset timeout)"$'\n'
  message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
  notify_send "$message"
- write_log "AUTO-BAN: IP $ip заблокирован на $ban_time_hours часов ($attempts попыток)"
+ write_log "AUTO-BAN: IP $ip в ipset на $ban_time_hours ч. ($attempts попыток)"
+
+ # Один IP — одна строка: после истечения ipset-таймаута is_ip_blocked=0, а в файле
+ # бан ещё «действует» → повторный бан иначе дублировал бы строки.
+ ban_list_rewrite_deduped 0
 }
 
-unblock_expired_ips() {
+# Ядро само удаляет элемент ipset по timeout; файл — учёт. Дубликаты возникают,
- local temp_file
+# если ipset уже сбросил IP, а ban_until в файле ещё в будущем (повторный бан).
- temp_file=$(mktemp)
+# По каждому IP оставляем одну запись с максимальным ban_until; просроченные убираем.
+# $1=1 — не писать в лог (внутренний вызов из цикла проверки).
+ban_list_rewrite_deduped() {
+ local suppress_log="${1:-0}"
  local current_time
  current_time=$(date '+%s')
- local unblocked=0
 
  if [ ! -f "$BAN_LIST_FILE" ]; then
- return
+ return 0
  fi
 
- while IFS='|' read -r ip ban_until attempts ban_time; do
+ declare -A best_until=()
- if [ -n "$ip" ] && [ -n "$ban_until" ]; then
+ declare -A best_line=()
- if [ "$current_time" -ge "$ban_until" ]; then
- if is_ip_blocked "$ip"; then
- do_firewall_del_drop "$ip"
- write_log "UNBAN: IP $ip разблокирован (время блокировки истекло)"
 
- local message=" 🔓 IP РАЗБЛОКИРОВАН "$'\n'
+ local ip ban_until attempts ban_time
- message="${message}🌐 IP: ${ip}"$'\n'
+ while IFS='|' read -r ip ban_until attempts ban_time || [ -n "${ip:-}" ]; do
- message="${message}🕐 Время разблокировки: $(notification_date '+%d.%m.%Y %H:%M:%S')"
+ [ -z "${ip:-}" ] || [ -z "${ban_until:-}" ] && continue
- notify_send "$message"
+ [ "$current_time" -ge "$ban_until" ] && continue
 
- unblocked=$((unblocked + 1))
+ if [ -z "${best_until[$ip]:-}" ] || [ "$ban_until" -gt "${best_until[$ip]}" ]; then
- fi
+ best_until[$ip]=$ban_until
- else
+ best_line[$ip]="${ip}|${ban_until}|${attempts}|${ban_time}"
- echo "$ip|$ban_until|$attempts|$ban_time" >>"$temp_file"
- fi
  fi
  done <"$BAN_LIST_FILE"
 
- if [ $unblocked -gt 0 ]; then
+ local temp_file
- mv "$temp_file" "$BAN_LIST_FILE"
+ temp_file=$(mktemp)
- save_iptables_rules
+ local sorted_ips k
- write_log "Разблокировано $unblocked IP адресов"
+ sorted_ips=$(printf '%s\n' "${!best_line[@]}" | LC_ALL=C sort)
- else
+ while IFS= read -r k; do
- rm -f "$temp_file"
+ [ -z "$k" ] && continue
+ echo "${best_line[$k]}" >>"$temp_file"
+ done <<<"$sorted_ips"
+
+ if [ ! -s "$temp_file" ]; then
+ if [ -s "$BAN_LIST_FILE" ]; then
+ : >"$BAN_LIST_FILE"
+ if [ "$suppress_log" != "1" ]; then
+ write_log "Бан-лист: все записи просрочены — файл очищен"
  fi
+ fi
+ rm -f "$temp_file"
+ return 0
+ fi
+
+ if cmp -s "$BAN_LIST_FILE" "$temp_file" 2>/dev/null; then
+ rm -f "$temp_file"
+ return 0
+ fi
+ # Тот же набор активных банов, но другой порядок строк — без лишней перезаписи/лога.
+ if cmp -s <(LC_ALL=C sort "$BAN_LIST_FILE") <(LC_ALL=C sort "$temp_file") 2>/dev/null; then
+ rm -f "$temp_file"
+ return 0
+ fi
+
+ local old_lines new_lines
+ old_lines=$(wc -l <"$BAN_LIST_FILE" | tr -d ' ' || echo 0)
+ new_lines=$(wc -l <"$temp_file" | tr -d ' ' || echo 0)
+ mv "$temp_file" "$BAN_LIST_FILE"
+
+ if [ "$suppress_log" != "1" ]; then
+ write_log "Бан-лист нормализован: строк ${old_lines} → ${new_lines} (дубликаты IP объединены, просроченные удалены)"
+ fi
+ return 0
+}
+
+# Ядро само удаляет элемент ipset по timeout; здесь только подчистка файла учёта
+# (без Telegram на каждый IP — иначе спам).
+unblock_expired_ips() {
+ [ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
+ ban_list_rewrite_deduped 0
 }
 
 load_existing_bans() {
+ [ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
  if [ ! -f "$BAN_LIST_FILE" ]; then
  return
  fi
 
  local current_time
  current_time=$(date '+%s')
- local temp_file
+ declare -A best_until=()
- temp_file=$(mktemp)
+ declare -A best_line=()
 
- while IFS='|' read -r ip ban_until attempts ban_time; do
+ local ip ban_until attempts ban_time
- if [ -n "$ip" ] && [ -n "$ban_until" ]; then
+ while IFS='|' read -r ip ban_until attempts ban_time || [ -n "${ip:-}" ]; do
- if [ "$current_time" -lt "$ban_until" ]; then
+ [ -z "${ip:-}" ] || [ -z "${ban_until:-}" ] && continue
- if ! is_ip_blocked "$ip"; then
+ [ "$current_time" -lt "$ban_until" ] || continue
- do_firewall_add_drop "$ip" || true
+
- write_log "Восстановлена блокировка IP $ip (истекает через $(((ban_until - current_time) / 60)) минут)"
+ if [ -z "${best_until[$ip]:-}" ] || [ "$ban_until" -gt "${best_until[$ip]}" ]; then
- fi
+ best_until[$ip]=$ban_until
- echo "$ip|$ban_until|$attempts|$ban_time" >>"$temp_file"
+ best_line[$ip]="${ip}|${ban_until}|${attempts}|${ban_time}"
- fi
  fi
  done <"$BAN_LIST_FILE"
 
+ local temp_file
+ temp_file=$(mktemp)
+ local sorted_ips k remain t_use
+ sorted_ips=$(printf '%s\n' "${!best_line[@]}" | LC_ALL=C sort)
+ while IFS= read -r k; do
+ [ -z "$k" ] && continue
+ IFS='|' read -r ip ban_until attempts ban_time <<<"${best_line[$k]}"
+ remain=$((ban_until - current_time))
+ t_use=$(ipset_timeout_clamp "$remain")
+ if ! is_ip_blocked "$ip"; then
+ do_ipset_add_ban "$ip" "$t_use" || true
+ write_log "Восстановлен ipset-бан $ip на $((remain / 60)) мин (после перезапуска)"
+ fi
+ echo "${best_line[$k]}" >>"$temp_file"
+ done <<<"$sorted_ips"
+
  mv "$temp_file" "$BAN_LIST_FILE"
- save_iptables_rules
+ save_firewall_state
 }
 
-verify_ban_list_vs_firewall() {
+verify_ban_list_vs_ipset() {
+ [ "${ENABLE_IP_BAN:-1}" = "1" ] || return 0
  [ ! -f "$BAN_LIST_FILE" ] && return 0
  local current_epoch
  current_epoch=$(date '+%s')
@@ -847,12 +1011,26 @@ verify_ban_list_vs_firewall() {
  [ -z "$ip" ] || [ -z "$ban_until" ] && continue
  if [ "$current_epoch" -lt "$ban_until" ]; then
  if ! is_ip_blocked "$ip"; then
- write_log "AUDIT: рассинхрон — IP $ip есть в бан-листе, но нет правила DROP в firewall"
+ write_log "AUDIT: рассинхрон — IP $ip в бан-листе, но нет в ipset; восстанавливаю"
+ local remain=$((ban_until - current_epoch))
+ do_ipset_add_ban "$ip" "$(ipset_timeout_clamp "$remain")" || true
  fi
  fi
  done <"$BAN_LIST_FILE"
 }
 
+ipset_active_ban_count() {
+ local n n6
+ n=$(ipset list "$IPSET_NAME_V4" 2>/dev/null | awk '/^Number of entries:/{print $4; exit}')
+ n="${n:-0}"
+ n6=0
+ if ipset list "$IPSET_NAME_V6" >/dev/null 2>&1; then
+ n6=$(ipset list "$IPSET_NAME_V6" 2>/dev/null | awk '/^Number of entries:/{print $4; exit}')
+ fi
+ n6="${n6:-0}"
+ echo $((n + n6))
+}
+
 load_whitelist_from_file() {
  local whitelist_file="/etc/ssh_monitor_whitelist.txt"
 
@@ -1407,6 +1585,11 @@ send_daily_report() {
  active_count=$(who 2>/dev/null | grep -c "." || echo "0")
 
  local active_bans=0
+ local ban_line
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
+ if command -v ipset >/dev/null 2>&1; then
+ active_bans=$(ipset_active_ban_count)
+ else
  local current_epoch
  current_epoch=$(date '+%s')
  if [ -f "$BAN_LIST_FILE" ]; then
@@ -1416,6 +1599,11 @@ send_daily_report() {
  fi
  done <"$BAN_LIST_FILE"
  fi
+ fi
+ ban_line="🚫 Активных банов (ipset): ${active_bans}"
+ else
+ ban_line="🚫 Автобан IP: отключён (ENABLE_IP_BAN=0)"
+ fi
 
  local message=" 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА "$'\n'
  message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
@@ -1425,7 +1613,7 @@ send_daily_report() {
  message="${message} ✅ Успешных SSH подключений: ${successful_logins:-0}"$'\n'
  message="${message} ❌ Неудачных попыток SSH: ${failed_logins:-0}"$'\n'
  message="${message} ⚠️ Команд через sudo: ${sudo_commands:-0}"$'\n'
- message="${message} 🚫 Заблокировано IP: ${active_bans}"$'\n'
+ message="${message} ${ban_line}"$'\n'
  message="${message}"$'\n'
  message="${message} 🧾 ТОП-${DAILY_REPORT_TOP_IPS} IP ПО НЕУДАЧНЫМ ПОПЫТКАМ:"$'\n'
  if [ -n "$top_lines" ]; then
@@ -1560,7 +1748,11 @@ send_startup_notification() {
  message="${message}🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
  message="${message}🕐 Время запуска: ${timestamp}"$'\n'
  message="${message}📊 Мониторинг SSH, SUDO и systemd-logind активирован"$'\n'
- message="${message}🚫 Автоблокировка IP после ${MAX_ATTEMPTS} попыток на ${BAN_TIME} секунд"$'\n'
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
+ message="${message}🚫 Автоблокировка (ipset): после ${MAX_ATTEMPTS} попыток, timeout ${BAN_TIME} с ($IPSET_NAME_V4)"$'\n'
+ else
+ message="${message}🚫 Автоблокировка IP: выключена (ENABLE_IP_BAN=0), только уведомления"$'\n'
+ fi
  message="${message}⚪ Белый список: ${whitelist_count} IP/подсетей"$'\n'
  message="${message}❤️ Heartbeat будет отправляться каждые 12 часов"$'\n'
  message="${message}📢 Каналы уведомлений (все по списку): $(notify_chain_human)"
@@ -1590,7 +1782,12 @@ main() {
  fi
 
  load_whitelist_from_file
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
+ ensure_ipset_and_iptables || write_log "WARN: ensure_ipset_and_iptables завершился с ошибкой"
  load_existing_bans
+ else
+ write_log "ENABLE_IP_BAN=0: мониторинг и уведомления без ipset/автобана"
+ fi
  send_startup_notification
 
  local last_ban_check
@@ -1607,9 +1804,9 @@ main() {
 
  local current_time
  current_time=$(date '+%s')
- if [ $((current_time - last_ban_check)) -ge "$BAN_CHECK_INTERVAL" ]; then
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ] && [ $((current_time - last_ban_check)) -ge "$BAN_CHECK_INTERVAL" ]; then
  unblock_expired_ips
- verify_ban_list_vs_firewall
+ verify_ban_list_vs_ipset
  last_ban_check=$current_time
  fi
 
@@ -1632,6 +1829,8 @@ run_check_config() {
  printf 'SSH_ACCEPT_NOTIFY_DEDUP_SEC=%s\n' "${SSH_ACCEPT_NOTIFY_DEDUP_SEC:-5}"
  printf 'DAILY_REPORT_TOP_IPS=%s\n' "$DAILY_REPORT_TOP_IPS"
  printf 'BRUTE_WINDOW_SEC=%s BRUTE_MIN_FAILS=%s\n' "$BRUTE_WINDOW_SEC" "$BRUTE_MIN_FAILS"
+ printf 'ENABLE_IP_BAN=%s (1=мониторинг+бан ipset, 0=только мониторинг и уведомления)\n' "${ENABLE_IP_BAN:-1}"
+ printf 'IPSET_NAME_V4=%s IPSET_NAME_V6=%s IPSET_MAXELEM=%s\n' "$IPSET_NAME_V4" "$IPSET_NAME_V6" "$IPSET_MAXELEM"
  printf 'PROMETHEUS_TEXTFILE_DIR=%s\n' "${PROMETHEUS_TEXTFILE_DIR:-}"
  printf 'HEALTHCHECK_STATUS_FILE=%s\n' "${HEALTHCHECK_STATUS_FILE:-}"
  printf 'ENABLE_LOGIND_MONITOR=%s LAST_LOGIND_CHECK_FILE=%s\n' "${ENABLE_LOGIND_MONITOR:-}" "${LAST_LOGIND_CHECK_FILE:-}"
@@ -1680,9 +1879,18 @@ mkdir -p "$(dirname "$LOG_FILE")"
 touch "$LOG_FILE"
 
 write_log "Конфигурация загружена из $CONFIG_FILE (или дефолты), версия ${SSH_MONITOR_VERSION:-?}, очередь оповещений: $(notify_chain_human)"
+if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
+ write_log "Режим: мониторинг + автобан IP (ENABLE_IP_BAN=1)"
+else
+ write_log "Режим: только мониторинг и уведомления (ENABLE_IP_BAN=0)"
+fi
 
 if [ "${DRY_RUN:-0}" = "1" ]; then
- write_log "Режим DRY-RUN: iptables/ip6tables не меняются, уведомления печатаются в stderr"
+ if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
+ write_log "Режим DRY-RUN: ipset/iptables не меняются, уведомления печатаются в stderr"
+ else
+ write_log "Режим DRY-RUN: уведомления печатаются в stderr"
+ fi
 fi
 
 main

ssh-monitor.conf.example

@@ -44,6 +44,9 @@ LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
 LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 
+# 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
+ENABLE_IP_BAN="1"
+
 # systemd-logind: 1 = включено, 0 = выключено
 ENABLE_LOGIND_MONITOR="1"
 LOGIND_NOTIFY_NEW="1"
@@ -66,6 +69,11 @@ MAX_ATTEMPTS="3"
 BAN_CHECK_INTERVAL="60"
 MONITOR_INTERVAL="10"
 
+# --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
+# IPSET_NAME_V4="ssh_monitor_ban"
+# IPSET_NAME_V6="ssh_monitor_ban_v6"
+# IPSET_MAXELEM="1048576"
+
 # Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
 BRUTE_WINDOW_SEC="900"
 BRUTE_MIN_FAILS="30"