From cbd3cde01d32d8a2c41bf958b4088295cb13b089 Mon Sep 17 00:00:00 2001 From: mrleo1nid <43583385+mrleo1nid@users.noreply.github.com> Date: Sat, 17 Oct 2026 14:24:21 +0300 Subject: [PATCH] =?UTF-8?q?=D0=91=D1=8D=D0=BA=D0=B0=D0=BF=20fail2ban=20?= =?UTF-8?q?=D0=B8=20=D1=81=D0=B2=D0=BE=D0=B8=D1=85=20geo-=D1=84=D0=B0?= =?UTF-8?q?=D0=B9=D0=BB=D0=BE=D0=B2=203x-ui?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - новая категория fail2ban: jail.local, jail.d (в т.ч. 3x-ipl.local), IP-лимит 3x-ui (filter.d/action.d/3x-ipl.conf), свои *.local; при восстановлении создаются логи 3xipl*.log, без которых jail не поднимается - xui: свои *.dat из /usr/local/x-ui/bin (ipcheck, discord-*) — на них ссылается роутинг; штатные geo-файлы релиза не бэкапятся - recipe 3x-ui больше не очищает /usr/local/x-ui и не стирает восстановленные файлы - маски (*, ?) в paths и keep_binaries каталога - provision ставит nftables вместе с fail2ban - .gitattributes: LF во всех файлах Co-Authored-By: Claude Opus 5.5 --- .gitattributes | 2 + README.md | 471 ++++++++++++++++--------------- internal/agent/collect.go | 18 +- internal/agent/collect_test.go | 53 ++++ internal/catalog/default.yaml | 35 ++- internal/restore/provision.sh | 3 +- internal/restore/recipes.go | 3 +- internal/server/static/style.css | 318 ++++++++++----------- 8 files changed, 503 insertions(+), 400 deletions(-) create mode 100644 .gitattributes create mode 100644 internal/agent/collect_test.go diff --git a/.gitattributes b/.gitattributes new file mode 100644 index 0000000..f7e2def --- /dev/null +++ b/.gitattributes @@ -0,0 +1,2 @@ +* text=auto eol=lf +*.sh text eol=lf diff --git a/README.md b/README.md index 9b6070a..7411a7d 100644 --- a/README.md +++ b/README.md @@ -1,235 +1,236 @@ -# backup-master - -Сервис бэкапов для VPS. Делает три вещи: - -- принимает и хранит бэкапы, у него есть простая веб-морда для одного админа; -- агент на каждом сервере раз в сутки собирает бэкап по категориям, корректно дампит базы и записывает, какие версии софта стоят; -- восстанавливает бэкап **на новом сервере**: готовит систему (на основе [vps_installer](https://gitea.hsrv.site/mrleo1nid/vps_installer)), ставит **те же версии** утилит, раскладывает конфиги и данные, запускает сервисы. - -Всё это делает один бинарник `backupctl`. Как он устроен внутри — в [docs/DESIGN.md](docs/DESIGN.md). - -## Установка сервера - -Ставим из [последнего релиза](https://gitea.hsrv.site/mrleo1nid/backup-master/releases/latest). Ссылка `releases/download/latest/...` всегда ведёт на свежую версию. Чтобы поставить конкретную версию, замените `latest` на тег, например `v0.1.0`. - -```bash -REL=https://gitea.hsrv.site/mrleo1nid/backup-master/releases/download/latest -ARCH=$(dpkg --print-architecture) # amd64 или arm64 - -# пользователь и каталоги -sudo useradd -r -s /usr/sbin/nologin -d /var/lib/backup-master backup-master -sudo install -d -o backup-master -g backup-master -m 700 /var/lib/backup-master -sudo install -d /opt/backup-master/dist - -# бинарники: свой — в /usr/local/bin, оба — в dist для раздачи агентам -for a in amd64 arm64; do sudo curl -fsSL "$REL/backupctl-linux-$a" -o "/opt/backup-master/dist/backupctl-linux-$a"; done -sudo curl -fsSL "$REL/checksums.txt" -o /tmp/backupctl-checksums.txt -(cd /opt/backup-master/dist && grep backupctl-linux /tmp/backupctl-checksums.txt | sha256sum -c -) -# через .new + mv: запущенный бинарник напрямую не перезаписать (Text file busy) -sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl.new -sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl -backupctl version - -# администратор веб-морды -sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd admin - -# systemd: поправьте BM_PUBLIC_URL на внешний адрес сервера -sudo curl -fsSL "$REL/backup-master.service" -o /etc/systemd/system/backup-master.service -sudo sed -i 's|https://backup.example.com|https://backup.ВАШ-ДОМЕН|' /etc/systemd/system/backup-master.service -sudo systemctl daemon-reload -sudo systemctl enable --now backup-master -``` - -Сервер слушает `127.0.0.1:8080`, TLS даёт Caddy: - -```bash -curl -fsSL "$REL/Caddyfile.example" # блок для /etc/caddy/Caddyfile, замените домен -sudo systemctl reload caddy -``` - -Агентам сервер раздаёт бинарники из `BM_DIST` (`/opt/backup-master/dist`). - -### Caddy на другом хосте (например, сервер в VM Proxmox, Caddy на хосте) - -Здесь Caddy проксирует не на `127.0.0.1`, а на IP виртуалки. В примере VM — `10.0.0.10`, хост Proxmox — `10.0.0.1`. - -На VM сервис должен слушать сеть, а порт должен быть открыт только хосту с Caddy: - -```bash -sudo sed -i 's|BM_LISTEN=127.0.0.1:8080|BM_LISTEN=0.0.0.0:8080|' /etc/systemd/system/backup-master.service -sudo systemctl daemon-reload && sudo systemctl restart backup-master -sudo ufw allow from 10.0.0.1 to any port 8080 proto tcp # если на VM включён UFW -``` - -На хосте с Caddy сначала проверьте доступ — должно вернуться `ok`: - -```bash -curl -s http://10.0.0.10:8080/healthz -``` - -Затем укажите в Caddyfile адрес VM: - -``` -backup.example.com { - request_body { - max_size 200GB - } - reverse_proxy 10.0.0.10:8080 { - transport http { - read_timeout 6h - write_timeout 6h - } - } -} -``` - -```bash -sudo systemctl reload caddy -``` - -`BM_TRUST_PROXY=1` (включён в юните) говорит серверу брать IP клиента из `X-Forwarded-For` от Caddy — по нему ограничивается перебор пароля. Поэтому порт 8080 должен быть доступен **только** с хоста Caddy, иначе заголовок можно подделать. Если включён файрвол Proxmox для VM, разрешите 8080 и там. - -Если Caddy с хоста получает 502, а на VM `curl http://127.0.0.1:8080/healthz` отвечает `ok`, проблема в `BM_LISTEN` или в файрволе. - -### Администратор - -Логин и пароль задаёт одна команда. Её же используют, чтобы сменить логин, пароль или оба сразу. Перезапуск сервиса не нужен, все открытые сессии сбрасываются: - -```bash -sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd новый_логин -``` - -**Обновление сервера:** снова выполните блок «бинарники», затем `sudo systemctl restart backup-master`. Агенты обновляются командой `curl -fsSL https://backup.ВАШ-ДОМЕН/agent.sh | sudo bash` без `--token`, конфиг при этом сохраняется. - -### Уведомления - -В «Настройках» включаются каналы: **ntfy** и/или **Telegram**. Оба необязательные, уведомления уходят во все настроенные. - -Уведомления приходят: -- об ошибках бэкапа; -- когда от клиента нет бэкапа дольше заданного срока (по умолчанию 26 ч); -- если включено — и об успешных бэкапах. В Telegram они приходят без звука. - -Каждое уведомление содержит ссылку на карточку клиента. - -Как подключить Telegram: -1. Создайте бота у [@BotFather](https://t.me/BotFather) и скопируйте токен. -2. Напишите боту что-нибудь (или добавьте его в группу). Затем откройте `https://api.telegram.org/bot<токен>/getUpdates` и возьмите `chat.id`. У групп он вида `-100…`. -3. В «Настройках» укажите токен и chat id. Чатов можно несколько, через запятую. Для группы с темами дополнительно укажите ID темы. -4. Отметьте «Отправить тестовое уведомление» и сохраните — на странице будет видно, дошло ли сообщение в каждый канал. - -Если `api.telegram.org` недоступен с сервера бэкапов, укажите в поле «Адрес Bot API» свой [Bot API сервер](https://github.com/tdlib/telegram-bot-api) или прокси. - -## Добавление клиента - -1. В веб-морде нажмите «Добавить клиента» и укажите домен сервера. -2. Выполните на сервере выданную команду: - ```bash - curl -fsSL https://backup.example.com/agent.sh | sudo bash -s -- --token bm_... --now - ``` - Команда ставит `backupctl`, конфиг `/etc/backup-agent/agent.yaml` и таймер `backup-agent.timer` (03:00 ± 30 мин), показывает план (`backupctl plan`) и запускает первый бэкап. -3. В карточке клиента видно, что попадает в бэкап, версии софта и предупреждения. Например, cron запускает скрипт, который не попадает ни в одну категорию. - -Полезные команды на клиенте: - -```bash -sudo backupctl plan # что будет в бэкапе (дампы реально выполняются во временный каталог) -sudo systemctl start backup-agent # бэкап сейчас -journalctl -u backup-agent -f -sudo backupctl backup --heavy # с heavy-частями вне расписания -``` - -## Восстановление - -В карточке клиента нажмите «Команда восстановления». Токен живёт 24 часа и даёт доступ только на чтение бэкапов этого клиента. Если нужен конкретный бэкап, откройте его и нажмите «Восстановить из этого бэкапа». На чистой Ubuntu 24.04: - -```bash -curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_... -``` - -Что происходит: - -1. Показывается сводка бэкапа и запрашивается подтверждение. -2. Базовая подготовка системы (`internal/restore/provision.sh`): пользователь с sudo, hostname, fail2ban, UFW, blocklist, SSH hardening. Docker, Caddy и Telegraf ставятся **тех же версий apt-пакетов**, если такие версии ещё есть в репозитории. Спрашиваются только логин и пароль пользователя. -3. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома. -4. Категории восстанавливаются по порядку: - - 3x-ui, Nebula и sing-box ставятся той версии, что была на старом сервере. Если скачать не получилось, используется копия бинарника из бэкапа; - - база x-ui кладётся на место; - - compose-проекты: образы закрепляются по digest (`compose.restore.yml`), базы поднимаются, в них заливаются дампы, затем запускается весь проект; - - systemd-сервисы включаются и запускаются так, как было на старом сервере. -5. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка. - -Флаги: -- `--backup ID` — конкретный бэкап; -- `--skip-heavy` — без MinIO Stoat; -- `--skip-provision` — повторный прогон без базовой подготовки; -- `--user NAME`, `--yes`, `--keep-staging`. - -## Что бэкапится - -Встроенный каталог — [internal/catalog/default.yaml](internal/catalog/default.yaml): - -| Категория | Что входит | -|---|---| -| system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` | -| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, версия 3x-ui | -| nebula | `/etc/nebula`, юнит, версия | -| caddy | `/etc/caddy`, `/var/www`, сертификаты | -| telegraf | `/etc/telegraf`, sudoers | -| sing-box-warp | `/opt/sing-box-warp`, `/etc/sing-box-warp`, юнит, sysctl, версия sing-box-extended | -| scripts | `/var/scripts`, `update-geosite.sh` | -| pnvpanel | `/opt/PnvPanel` целиком, кроме `pgdata`; `pg_dump`; том `ticket_uploads` | -| stoat | `/opt/stoat`, кроме `data/db` и `data/rabbit`; `mongodump`; `data/minio` идёт отдельной heavy-частью раз в неделю | -| stoat-mbot | `/opt/stoat-mbot` целиком, восстанавливается после stoat | -| psiphon | отключён | - -Compose-проекты, которых нет в каталоге, находятся автоматически (`docker compose ls`). Они бэкапятся с настройками по умолчанию и помечаются в морде как «авто». Базы распознаются по образу (postgres, mongo, mysql, mariadb) и дампятся без остановки. - -Каталог для конкретного клиента можно переопределить в его карточке (YAML): - -```yaml -categories: - - {name: scripts, disabled: true} # отключить встроенную - - name: hostdb # своя категория с дампом - type: files - paths: [/etc/mysql] - dumps: - - name: full_dump.sql - cmd: mysqldump --all-databases --single-transaction - restore_cmd: mysql < "$DUMP_FILE" -``` - -## Сборка из исходников - -```bash -make build # dist/backupctl-linux-amd64, dist/backupctl-linux-arm64 -make test -``` - -Без make: - -```bash -CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" -o dist/backupctl-linux-amd64 ./cmd/backupctl -``` - -CI (Gitea Actions): -- `.gitea/workflows/ci.yml` на каждый push и PR проверяет форматирование, запускает vet и тесты и собирает бинарники; -- `release.yml` на тег `v*` публикует релиз с бинарниками, `checksums.txt` и файлами из `deploy/`. - -Новый релиз: - -```bash -git tag v0.2.0 && git push origin v0.2.0 -``` - -## Хранение - -Бэкапы лежат в `/var/lib/backup-master/backups/<домен>/<дата>-/`: `main.tar.zst`, heavy-части и `manifest.json`. Архив — обычный tar+zstd, его можно разобрать и без backupctl: - -```bash -zstd -dc main.tar.zst | tar -tv -``` - -Ротация: -- обычные бэкапы — по схеме GFS: последний всегда + N дневных, недельных и месячных (по умолчанию 7/4/6); -- heavy-части — только последние `heavy_keep` (по умолчанию 1). +# backup-master + +Сервис бэкапов для VPS. Делает три вещи: + +- принимает и хранит бэкапы, у него есть простая веб-морда для одного админа; +- агент на каждом сервере раз в сутки собирает бэкап по категориям, корректно дампит базы и записывает, какие версии софта стоят; +- восстанавливает бэкап **на новом сервере**: готовит систему (на основе [vps_installer](https://gitea.hsrv.site/mrleo1nid/vps_installer)), ставит **те же версии** утилит, раскладывает конфиги и данные, запускает сервисы. + +Всё это делает один бинарник `backupctl`. Как он устроен внутри — в [docs/DESIGN.md](docs/DESIGN.md). + +## Установка сервера + +Ставим из [последнего релиза](https://gitea.hsrv.site/mrleo1nid/backup-master/releases/latest). Ссылка `releases/download/latest/...` всегда ведёт на свежую версию. Чтобы поставить конкретную версию, замените `latest` на тег, например `v0.1.0`. + +```bash +REL=https://gitea.hsrv.site/mrleo1nid/backup-master/releases/download/latest +ARCH=$(dpkg --print-architecture) # amd64 или arm64 + +# пользователь и каталоги +sudo useradd -r -s /usr/sbin/nologin -d /var/lib/backup-master backup-master +sudo install -d -o backup-master -g backup-master -m 700 /var/lib/backup-master +sudo install -d /opt/backup-master/dist + +# бинарники: свой — в /usr/local/bin, оба — в dist для раздачи агентам +for a in amd64 arm64; do sudo curl -fsSL "$REL/backupctl-linux-$a" -o "/opt/backup-master/dist/backupctl-linux-$a"; done +sudo curl -fsSL "$REL/checksums.txt" -o /tmp/backupctl-checksums.txt +(cd /opt/backup-master/dist && grep backupctl-linux /tmp/backupctl-checksums.txt | sha256sum -c -) +# через .new + mv: запущенный бинарник напрямую не перезаписать (Text file busy) +sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl.new +sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl +backupctl version + +# администратор веб-морды +sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd admin + +# systemd: поправьте BM_PUBLIC_URL на внешний адрес сервера +sudo curl -fsSL "$REL/backup-master.service" -o /etc/systemd/system/backup-master.service +sudo sed -i 's|https://backup.example.com|https://backup.ВАШ-ДОМЕН|' /etc/systemd/system/backup-master.service +sudo systemctl daemon-reload +sudo systemctl enable --now backup-master +``` + +Сервер слушает `127.0.0.1:8080`, TLS даёт Caddy: + +```bash +curl -fsSL "$REL/Caddyfile.example" # блок для /etc/caddy/Caddyfile, замените домен +sudo systemctl reload caddy +``` + +Агентам сервер раздаёт бинарники из `BM_DIST` (`/opt/backup-master/dist`). + +### Caddy на другом хосте (например, сервер в VM Proxmox, Caddy на хосте) + +Здесь Caddy проксирует не на `127.0.0.1`, а на IP виртуалки. В примере VM — `10.0.0.10`, хост Proxmox — `10.0.0.1`. + +На VM сервис должен слушать сеть, а порт должен быть открыт только хосту с Caddy: + +```bash +sudo sed -i 's|BM_LISTEN=127.0.0.1:8080|BM_LISTEN=0.0.0.0:8080|' /etc/systemd/system/backup-master.service +sudo systemctl daemon-reload && sudo systemctl restart backup-master +sudo ufw allow from 10.0.0.1 to any port 8080 proto tcp # если на VM включён UFW +``` + +На хосте с Caddy сначала проверьте доступ — должно вернуться `ok`: + +```bash +curl -s http://10.0.0.10:8080/healthz +``` + +Затем укажите в Caddyfile адрес VM: + +``` +backup.example.com { + request_body { + max_size 200GB + } + reverse_proxy 10.0.0.10:8080 { + transport http { + read_timeout 6h + write_timeout 6h + } + } +} +``` + +```bash +sudo systemctl reload caddy +``` + +`BM_TRUST_PROXY=1` (включён в юните) говорит серверу брать IP клиента из `X-Forwarded-For` от Caddy — по нему ограничивается перебор пароля. Поэтому порт 8080 должен быть доступен **только** с хоста Caddy, иначе заголовок можно подделать. Если включён файрвол Proxmox для VM, разрешите 8080 и там. + +Если Caddy с хоста получает 502, а на VM `curl http://127.0.0.1:8080/healthz` отвечает `ok`, проблема в `BM_LISTEN` или в файрволе. + +### Администратор + +Логин и пароль задаёт одна команда. Её же используют, чтобы сменить логин, пароль или оба сразу. Перезапуск сервиса не нужен, все открытые сессии сбрасываются: + +```bash +sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd новый_логин +``` + +**Обновление сервера:** снова выполните блок «бинарники», затем `sudo systemctl restart backup-master`. Агенты обновляются командой `curl -fsSL https://backup.ВАШ-ДОМЕН/agent.sh | sudo bash` без `--token`, конфиг при этом сохраняется. + +### Уведомления + +В «Настройках» включаются каналы: **ntfy** и/или **Telegram**. Оба необязательные, уведомления уходят во все настроенные. + +Уведомления приходят: +- об ошибках бэкапа; +- когда от клиента нет бэкапа дольше заданного срока (по умолчанию 26 ч); +- если включено — и об успешных бэкапах. В Telegram они приходят без звука. + +Каждое уведомление содержит ссылку на карточку клиента. + +Как подключить Telegram: +1. Создайте бота у [@BotFather](https://t.me/BotFather) и скопируйте токен. +2. Напишите боту что-нибудь (или добавьте его в группу). Затем откройте `https://api.telegram.org/bot<токен>/getUpdates` и возьмите `chat.id`. У групп он вида `-100…`. +3. В «Настройках» укажите токен и chat id. Чатов можно несколько, через запятую. Для группы с темами дополнительно укажите ID темы. +4. Отметьте «Отправить тестовое уведомление» и сохраните — на странице будет видно, дошло ли сообщение в каждый канал. + +Если `api.telegram.org` недоступен с сервера бэкапов, укажите в поле «Адрес Bot API» свой [Bot API сервер](https://github.com/tdlib/telegram-bot-api) или прокси. + +## Добавление клиента + +1. В веб-морде нажмите «Добавить клиента» и укажите домен сервера. +2. Выполните на сервере выданную команду: + ```bash + curl -fsSL https://backup.example.com/agent.sh | sudo bash -s -- --token bm_... --now + ``` + Команда ставит `backupctl`, конфиг `/etc/backup-agent/agent.yaml` и таймер `backup-agent.timer` (03:00 ± 30 мин), показывает план (`backupctl plan`) и запускает первый бэкап. +3. В карточке клиента видно, что попадает в бэкап, версии софта и предупреждения. Например, cron запускает скрипт, который не попадает ни в одну категорию. + +Полезные команды на клиенте: + +```bash +sudo backupctl plan # что будет в бэкапе (дампы реально выполняются во временный каталог) +sudo systemctl start backup-agent # бэкап сейчас +journalctl -u backup-agent -f +sudo backupctl backup --heavy # с heavy-частями вне расписания +``` + +## Восстановление + +В карточке клиента нажмите «Команда восстановления». Токен живёт 24 часа и даёт доступ только на чтение бэкапов этого клиента. Если нужен конкретный бэкап, откройте его и нажмите «Восстановить из этого бэкапа». На чистой Ubuntu 24.04: + +```bash +curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_... +``` + +Что происходит: + +1. Показывается сводка бэкапа и запрашивается подтверждение. +2. Базовая подготовка системы (`internal/restore/provision.sh`): пользователь с sudo, hostname, fail2ban, UFW, blocklist, SSH hardening. Docker, Caddy и Telegraf ставятся **тех же версий apt-пакетов**, если такие версии ещё есть в репозитории. Спрашиваются только логин и пароль пользователя. +3. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома. +4. Категории восстанавливаются по порядку: + - 3x-ui, Nebula и sing-box ставятся той версии, что была на старом сервере. Если скачать не получилось, используется копия бинарника из бэкапа; + - база x-ui кладётся на место; + - compose-проекты: образы закрепляются по digest (`compose.restore.yml`), базы поднимаются, в них заливаются дампы, затем запускается весь проект; + - systemd-сервисы включаются и запускаются так, как было на старом сервере. +5. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка. + +Флаги: +- `--backup ID` — конкретный бэкап; +- `--skip-heavy` — без MinIO Stoat; +- `--skip-provision` — повторный прогон без базовой подготовки; +- `--user NAME`, `--yes`, `--keep-staging`. + +## Что бэкапится + +Встроенный каталог — [internal/catalog/default.yaml](internal/catalog/default.yaml): + +| Категория | Что входит | +|---|---| +| system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` | +| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, свои geo-файлы `/usr/local/x-ui/bin/*.dat` (ipcheck, discord и т.п., кроме штатных), версия 3x-ui | +| fail2ban | `jail.local`, `jail.d/` (в т.ч. `3x-ipl.local`), IP-лимит 3x-ui (`filter.d`/`action.d/3x-ipl.conf`), свои `*.local`; при восстановлении создаются логи `3xipl.log` | +| nebula | `/etc/nebula`, юнит, версия | +| caddy | `/etc/caddy`, `/var/www`, сертификаты | +| telegraf | `/etc/telegraf`, sudoers | +| sing-box-warp | `/opt/sing-box-warp`, `/etc/sing-box-warp`, юнит, sysctl, версия sing-box-extended | +| scripts | `/var/scripts`, `update-geosite.sh` | +| pnvpanel | `/opt/PnvPanel` целиком, кроме `pgdata`; `pg_dump`; том `ticket_uploads` | +| stoat | `/opt/stoat`, кроме `data/db` и `data/rabbit`; `mongodump`; `data/minio` идёт отдельной heavy-частью раз в неделю | +| stoat-mbot | `/opt/stoat-mbot` целиком, восстанавливается после stoat | +| psiphon | отключён | + +Compose-проекты, которых нет в каталоге, находятся автоматически (`docker compose ls`). Они бэкапятся с настройками по умолчанию и помечаются в морде как «авто». Базы распознаются по образу (postgres, mongo, mysql, mariadb) и дампятся без остановки. + +Каталог для конкретного клиента можно переопределить в его карточке (YAML): + +```yaml +categories: + - {name: scripts, disabled: true} # отключить встроенную + - name: hostdb # своя категория с дампом + type: files + paths: [/etc/mysql] + dumps: + - name: full_dump.sql + cmd: mysqldump --all-databases --single-transaction + restore_cmd: mysql < "$DUMP_FILE" +``` + +## Сборка из исходников + +```bash +make build # dist/backupctl-linux-amd64, dist/backupctl-linux-arm64 +make test +``` + +Без make: + +```bash +CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" -o dist/backupctl-linux-amd64 ./cmd/backupctl +``` + +CI (Gitea Actions): +- `.gitea/workflows/ci.yml` на каждый push и PR проверяет форматирование, запускает vet и тесты и собирает бинарники; +- `release.yml` на тег `v*` публикует релиз с бинарниками, `checksums.txt` и файлами из `deploy/`. + +Новый релиз: + +```bash +git tag v0.2.0 && git push origin v0.2.0 +``` + +## Хранение + +Бэкапы лежат в `/var/lib/backup-master/backups/<домен>/<дата>-/`: `main.tar.zst`, heavy-части и `manifest.json`. Архив — обычный tar+zstd, его можно разобрать и без backupctl: + +```bash +zstd -dc main.tar.zst | tar -tv +``` + +Ротация: +- обычные бэкапы — по схеме GFS: последний всегда + N дневных, недельных и месячных (по умолчанию 7/4/6); +- heavy-части — только последние `heavy_keep` (по умолчанию 1). diff --git a/internal/agent/collect.go b/internal/agent/collect.go index 603caf4..4e06ed7 100644 --- a/internal/agent/collect.go +++ b/internal/agent/collect.go @@ -155,7 +155,7 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) { RestoreAfter: s.RestoreAfter, } skip := archive.NewMatcher(c.cat.Exclude, s.Exclude) - for _, p := range s.Paths { + for _, p := range expandPaths(s.Paths) { if !sysx.Exists(p) { continue } @@ -177,7 +177,7 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) { return nil, nil } - for _, b := range s.KeepBinaries { + for _, b := range expandPaths(s.KeepBinaries) { if sysx.Exists(b) { mc.Binaries = append(mc.Binaries, b) c.add(manifest.MainPart, binItem(s.Name, b)) @@ -236,6 +236,20 @@ func (c *collector) cmdDump(cat string, d catalog.CmdDump, mc *manifest.Category return nil } +// expandPaths раскрывает маски (*, ?, [...]) в путях категории; пути без масок — как есть. +func expandPaths(paths []string) []string { + var out []string + for _, p := range paths { + if !strings.ContainsAny(p, "*?[") { + out = append(out, p) + continue + } + m, _ := filepath.Glob(p) + out = append(out, m...) + } + return out +} + func anyExists(paths []string) bool { for _, p := range paths { if sysx.Exists(p) { diff --git a/internal/agent/collect_test.go b/internal/agent/collect_test.go new file mode 100644 index 0000000..06c93f7 --- /dev/null +++ b/internal/agent/collect_test.go @@ -0,0 +1,53 @@ +package agent + +import ( + "os" + "path/filepath" + "slices" + "testing" + + "gitea.hsrv.site/mrleo1nid/backup-master/internal/archive" + "gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog" +) + +func TestExpandPaths(t *testing.T) { + dir := t.TempDir() + for _, n := range []string{"ipcheck.dat", "geoip.dat", "x.txt"} { + if err := os.WriteFile(filepath.Join(dir, n), nil, 0o644); err != nil { + t.Fatal(err) + } + } + got := expandPaths([]string{filepath.Join(dir, "*.dat"), "/etc/x-ui", filepath.Join(dir, "*.none")}) + want := []string{filepath.Join(dir, "geoip.dat"), filepath.Join(dir, "ipcheck.dat"), "/etc/x-ui"} + if !slices.Equal(got, want) { + t.Fatalf("expandPaths = %v, want %v", got, want) + } +} + +// Свои geo-файлы попадают в бэкап, штатные из релиза 3x-ui — нет. +func TestXUIGeoExcludes(t *testing.T) { + cat, err := catalog.Default() + if err != nil { + t.Fatal(err) + } + s := cat.Find("xui") + skip := archive.NewMatcher(cat.Exclude, s.Exclude) + cases := map[string]bool{ + "/usr/local/x-ui/bin/ipcheck.dat": false, + "/usr/local/x-ui/bin/discord-geosite.dat": false, + "/usr/local/x-ui/bin/geoip.dat": true, + "/usr/local/x-ui/bin/geosite_RU.dat": true, + "/usr/local/x-ui/bin/geoip_IR.dat": true, + "/usr/local/x-ui/bin/ipcheck.dat.bak": true, + "/etc/x-ui/x-ui.db": true, + } + for p, want := range cases { + if got := skip.Match(p); got != want { + t.Errorf("exclude(%s) = %v, want %v", p, got, want) + } + } + f2b := cat.Find("fail2ban") + if f2b == nil || !slices.Contains(f2b.Paths, "/etc/fail2ban/jail.d") || !slices.Contains(f2b.Paths, "/etc/fail2ban/filter.d/3x-ipl.conf") { + t.Fatalf("категория fail2ban: %+v", f2b) + } +} diff --git a/internal/catalog/default.yaml b/internal/catalog/default.yaml index 5d199aa..3034b95 100644 --- a/internal/catalog/default.yaml +++ b/internal/catalog/default.yaml @@ -23,13 +23,44 @@ categories: - name: xui type: xui detect: [/usr/local/x-ui/x-ui] - paths: [/etc/x-ui, /root/cert] - exclude: ["/etc/x-ui/x-ui.db*"] + paths: + - /etc/x-ui + - /root/cert + # свои geo-файлы (ipcheck.dat, discord-*.dat и т.п.): на них ссылается роутинг, + # без них Xray не стартует; штатные geo*.dat приходят с релизом 3x-ui + - /usr/local/x-ui/bin/*.dat + exclude: + - "/etc/x-ui/x-ui.db*" + - "/usr/local/x-ui/bin/geoip.dat" + - "/usr/local/x-ui/bin/geosite.dat" + - "/usr/local/x-ui/bin/geo*_IR.dat" + - "/usr/local/x-ui/bin/geo*_RU.dat" + - "*.bak" service: x-ui version_cmd: [/usr/local/x-ui/x-ui, -v] install: xui keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service] + # fail2ban: свои jail'ы (jail.local, jail.d/*.local) и IP-лимит 3x-ui (3x-ipl). + # Штатные filter.d/action.d ставит пакет — берём только файлы 3x-ui и свои *.local. + - name: fail2ban + type: systemd + detect: [/etc/fail2ban] + paths: + - /etc/fail2ban/jail.local + - /etc/fail2ban/jail.d + - /etc/fail2ban/fail2ban.local + - /etc/fail2ban/fail2ban.conf # 3x-ui включает в нём allowipv6 + - /etc/fail2ban/filter.d/3x-ipl.conf + - /etc/fail2ban/action.d/3x-ipl.conf + - /etc/fail2ban/filter.d/*.local + - /etc/fail2ban/action.d/*.local + service: fail2ban + restore_after: [system, xui] + post_restore: + # jail 3x-ipl читает лог x-ui: без файла fail2ban не поднимет jail + - "if ls /etc/fail2ban/jail.d/3x-ipl* >/dev/null 2>&1; then mkdir -p /var/log/x-ui && touch /var/log/x-ui/3xipl.log /var/log/x-ui/3xipl-banned.log; fi" + - name: nebula type: systemd detect: [/etc/nebula] diff --git a/internal/restore/provision.sh b/internal/restore/provision.sh index 62a1c17..37ae2ab 100644 --- a/internal/restore/provision.sh +++ b/internal/restore/provision.sh @@ -189,7 +189,8 @@ ok "$(iptables --version)" # ---------- 5. Fail2ban ---------- step "5. Fail2ban" -apt_install fail2ban python3-systemd +# nftables: штатный banaction fail2ban в Ubuntu 24.04 — nftables, без nft jail sshd не банит +apt_install fail2ban python3-systemd nftables IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8" if [[ -n $CLIENT_IP ]]; then IGNORE_IP+=" $CLIENT_IP" diff --git a/internal/restore/recipes.go b/internal/restore/recipes.go index 4058931..127202b 100644 --- a/internal/restore/recipes.go +++ b/internal/restore/recipes.go @@ -44,7 +44,8 @@ func installXUI(ctx context.Context, version, arch string) error { v = "v" + v } url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch) - _ = os.RemoveAll("/usr/local/x-ui") + // каталог не очищаем: в нём уже лежат восстановленные свои geo-файлы (ipcheck.dat и т.п.), + // архив релиза перезапишет только свои файлы if err := fetchTarGz(ctx, url, func(name string) (string, bool) { name = strings.TrimPrefix(name, "./") if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" { diff --git a/internal/server/static/style.css b/internal/server/static/style.css index 8323822..7237817 100644 --- a/internal/server/static/style.css +++ b/internal/server/static/style.css @@ -1,159 +1,159 @@ -:root { - --bg: #f6f7f9; - --panel: #ffffff; - --text: #1c2128; - --muted: #6b7280; - --border: #dfe3e8; - --accent: #2f6fde; - --accent-text: #ffffff; - --ok: #1f8a4c; - --ok-bg: #e3f4ea; - --warn: #9a6400; - --warn-bg: #fdf1d8; - --fail: #c0362c; - --fail-bg: #fbe5e3; - --code-bg: #eef1f5; -} -@media (prefers-color-scheme: dark) { - :root { - --bg: #14171c; - --panel: #1c2027; - --text: #e4e7eb; - --muted: #9aa3ae; - --border: #2e343d; - --accent: #5b8ff0; - --ok: #4cc27f; - --ok-bg: #18342a; - --warn: #e0ad4a; - --warn-bg: #3a2f17; - --fail: #f07167; - --fail-bg: #3d1f1d; - --code-bg: #232831; - } -} -* { box-sizing: border-box; } -body { - margin: 0; - background: var(--bg); - color: var(--text); - font: 15px/1.5 system-ui, -apple-system, "Segoe UI", Roboto, sans-serif; -} -a { color: var(--accent); text-decoration: none; } -a:hover { text-decoration: underline; } -code, pre { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; } -code { background: var(--code-bg); padding: 1px 5px; border-radius: 4px; } - -.top { background: var(--panel); border-bottom: 1px solid var(--border); } -/* шапка выровнена по той же колонке, что и контент */ -.top .wrap { - max-width: 1200px; margin: 0 auto; padding: 10px 24px; - display: flex; align-items: center; justify-content: space-between; gap: 16px; -} -.brand { font-weight: 600; color: var(--text); } -.top nav { display: flex; align-items: center; gap: 18px; } -.top nav a { color: var(--muted); } -.top nav a.active { color: var(--text); font-weight: 500; } - -main { max-width: 1200px; margin: 0 auto; padding: 24px; } -h1 { font-size: 24px; margin: 0 0 8px; display: flex; align-items: center; gap: 10px; flex-wrap: wrap; } -h2 { font-size: 18px; margin: 32px 0 12px; } -.head { display: flex; justify-content: space-between; align-items: flex-start; gap: 16px; flex-wrap: wrap; margin-bottom: 16px; } -.actions { display: flex; gap: 8px; flex-wrap: wrap; } -.muted { color: var(--muted); } -.small { font-size: 13px; } -.right { text-align: right; } -.empty { color: var(--muted); padding: 24px 0; } -.hint { color: var(--muted); font-size: 13px; margin: 4px 0 12px; } - -.table-wrap { overflow-x: auto; background: var(--panel); border: 1px solid var(--border); border-radius: 8px; } -table { width: 100%; border-collapse: collapse; } -th, td { padding: 9px 12px; text-align: left; border-bottom: 1px solid var(--border); vertical-align: top; } -th { font-size: 13px; font-weight: 500; color: var(--muted); } -tr:last-child td { border-bottom: none; } -td.num, th.num { text-align: right; font-variant-numeric: tabular-nums; white-space: nowrap; } - -.badge { display: inline-block; padding: 1px 8px; border-radius: 10px; font-size: 12px; font-weight: 500; white-space: nowrap; } -.badge.ok { background: var(--ok-bg); color: var(--ok); } -.badge.stale, .badge.never { background: var(--warn-bg); color: var(--warn); } -.badge.fail { background: var(--fail-bg); color: var(--fail); } -.badge.off { background: var(--code-bg); color: var(--muted); } -.ok-text { color: var(--ok); } -.fail-text { color: var(--fail); } -ul.results { list-style: none; padding: 0; margin: 0 0 16px; } - -.facts { display: flex; flex-wrap: wrap; gap: 12px 32px; margin: 16px 0; } -.facts dt { font-size: 12px; color: var(--muted); } -.facts dd { margin: 0; } - -.card { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; } -.card.narrow, .login { max-width: 520px; } -.card h2:first-of-type { margin-top: 0; } -label { display: block; margin-bottom: 12px; font-size: 14px; } -label.check { display: flex; align-items: center; gap: 8px; } -input, textarea { - display: block; width: 100%; margin-top: 4px; padding: 7px 10px; - background: var(--bg); color: var(--text); border: 1px solid var(--border); border-radius: 6px; font: inherit; -} -input[type=checkbox] { display: inline; width: auto; margin: 0; } -textarea { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; } -.settings { display: flex; flex-direction: column; gap: 16px; } -.cards { display: grid; grid-template-columns: repeat(auto-fit, minmax(340px, 1fr)); gap: 16px; align-items: start; } -.cards .card { height: 100%; } - -.toolbar { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin-bottom: 12px; } -.toolbar input[type=search] { flex: 1 1 260px; width: auto; margin: 0; } -.toolbar select { margin: 0; } -select { - padding: 7px 10px; background: var(--bg); color: var(--text); - border: 1px solid var(--border); border-radius: 6px; font: inherit; -} -.chips { display: flex; flex-wrap: wrap; gap: 6px; } -.chip { - display: inline-flex; align-items: center; gap: 6px; padding: 4px 10px; border-radius: 14px; - border: 1px solid var(--border); color: var(--muted); font-size: 13px; white-space: nowrap; -} -.chip:hover { text-decoration: none; color: var(--text); } -.chip.active { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } -.chip .count { opacity: 0.75; font-variant-numeric: tabular-nums; } -th a { color: inherit; } -th a.sorted { color: var(--text); } -.pager { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 12px; margin-top: 12px; color: var(--muted); font-size: 13px; } -.pager .pages { display: flex; gap: 4px; flex-wrap: wrap; } -.pager .pages a, .pager .pages span { min-width: 32px; text-align: center; padding: 4px 8px; border-radius: 6px; border: 1px solid var(--border); } -.pager .pages span.current { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } -.pager .pages span.gap { border: none; } - -.grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(150px, 1fr)); gap: 0 16px; } - -button, .button { - display: inline-block; padding: 7px 14px; border-radius: 6px; border: 1px solid var(--border); - background: var(--panel); color: var(--text); font: inherit; cursor: pointer; -} -button:hover, .button:hover { text-decoration: none; filter: brightness(0.97); } -button.primary, .button.primary { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } -button:disabled { opacity: 0.5; cursor: not-allowed; } -button.link { background: none; border: none; padding: 0; color: var(--muted); } -button.danger { background: var(--fail-bg); border-color: var(--fail-bg); color: var(--fail); } -button.link.danger { background: none; } -form.inline { display: inline; } - -.error { background: var(--fail-bg); color: var(--fail); padding: 10px 14px; border-radius: 6px; } -.warnings { background: var(--warn-bg); color: var(--warn); padding: 10px 14px; border-radius: 6px; margin: 12px 0; } -.warnings ul { margin: 8px 0 0; padding-left: 20px; font-size: 13px; } -.danger-zone { margin-top: 32px; color: var(--muted); } -.danger-zone form { margin-top: 12px; max-width: 420px; } -.danger-zone input { margin-bottom: 8px; } - -.cmd { display: flex; gap: 8px; align-items: flex-start; margin: 16px 0; } -.cmd pre { flex: 1; margin: 0; padding: 12px; background: var(--code-bg); border-radius: 6px; white-space: pre-wrap; word-break: break-all; } -pre.json { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 16px; overflow-x: auto; } - -.login { margin: 10vh auto; } -.login form { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; } - -@media (max-width: 640px) { - main { padding: 16px; } - .top .wrap { padding: 10px 16px; } - .cards { grid-template-columns: 1fr; } - .cmd { flex-direction: column; } -} +:root { + --bg: #f6f7f9; + --panel: #ffffff; + --text: #1c2128; + --muted: #6b7280; + --border: #dfe3e8; + --accent: #2f6fde; + --accent-text: #ffffff; + --ok: #1f8a4c; + --ok-bg: #e3f4ea; + --warn: #9a6400; + --warn-bg: #fdf1d8; + --fail: #c0362c; + --fail-bg: #fbe5e3; + --code-bg: #eef1f5; +} +@media (prefers-color-scheme: dark) { + :root { + --bg: #14171c; + --panel: #1c2027; + --text: #e4e7eb; + --muted: #9aa3ae; + --border: #2e343d; + --accent: #5b8ff0; + --ok: #4cc27f; + --ok-bg: #18342a; + --warn: #e0ad4a; + --warn-bg: #3a2f17; + --fail: #f07167; + --fail-bg: #3d1f1d; + --code-bg: #232831; + } +} +* { box-sizing: border-box; } +body { + margin: 0; + background: var(--bg); + color: var(--text); + font: 15px/1.5 system-ui, -apple-system, "Segoe UI", Roboto, sans-serif; +} +a { color: var(--accent); text-decoration: none; } +a:hover { text-decoration: underline; } +code, pre { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; } +code { background: var(--code-bg); padding: 1px 5px; border-radius: 4px; } + +.top { background: var(--panel); border-bottom: 1px solid var(--border); } +/* шапка выровнена по той же колонке, что и контент */ +.top .wrap { + max-width: 1200px; margin: 0 auto; padding: 10px 24px; + display: flex; align-items: center; justify-content: space-between; gap: 16px; +} +.brand { font-weight: 600; color: var(--text); } +.top nav { display: flex; align-items: center; gap: 18px; } +.top nav a { color: var(--muted); } +.top nav a.active { color: var(--text); font-weight: 500; } + +main { max-width: 1200px; margin: 0 auto; padding: 24px; } +h1 { font-size: 24px; margin: 0 0 8px; display: flex; align-items: center; gap: 10px; flex-wrap: wrap; } +h2 { font-size: 18px; margin: 32px 0 12px; } +.head { display: flex; justify-content: space-between; align-items: flex-start; gap: 16px; flex-wrap: wrap; margin-bottom: 16px; } +.actions { display: flex; gap: 8px; flex-wrap: wrap; } +.muted { color: var(--muted); } +.small { font-size: 13px; } +.right { text-align: right; } +.empty { color: var(--muted); padding: 24px 0; } +.hint { color: var(--muted); font-size: 13px; margin: 4px 0 12px; } + +.table-wrap { overflow-x: auto; background: var(--panel); border: 1px solid var(--border); border-radius: 8px; } +table { width: 100%; border-collapse: collapse; } +th, td { padding: 9px 12px; text-align: left; border-bottom: 1px solid var(--border); vertical-align: top; } +th { font-size: 13px; font-weight: 500; color: var(--muted); } +tr:last-child td { border-bottom: none; } +td.num, th.num { text-align: right; font-variant-numeric: tabular-nums; white-space: nowrap; } + +.badge { display: inline-block; padding: 1px 8px; border-radius: 10px; font-size: 12px; font-weight: 500; white-space: nowrap; } +.badge.ok { background: var(--ok-bg); color: var(--ok); } +.badge.stale, .badge.never { background: var(--warn-bg); color: var(--warn); } +.badge.fail { background: var(--fail-bg); color: var(--fail); } +.badge.off { background: var(--code-bg); color: var(--muted); } +.ok-text { color: var(--ok); } +.fail-text { color: var(--fail); } +ul.results { list-style: none; padding: 0; margin: 0 0 16px; } + +.facts { display: flex; flex-wrap: wrap; gap: 12px 32px; margin: 16px 0; } +.facts dt { font-size: 12px; color: var(--muted); } +.facts dd { margin: 0; } + +.card { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; } +.card.narrow, .login { max-width: 520px; } +.card h2:first-of-type { margin-top: 0; } +label { display: block; margin-bottom: 12px; font-size: 14px; } +label.check { display: flex; align-items: center; gap: 8px; } +input, textarea { + display: block; width: 100%; margin-top: 4px; padding: 7px 10px; + background: var(--bg); color: var(--text); border: 1px solid var(--border); border-radius: 6px; font: inherit; +} +input[type=checkbox] { display: inline; width: auto; margin: 0; } +textarea { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; } +.settings { display: flex; flex-direction: column; gap: 16px; } +.cards { display: grid; grid-template-columns: repeat(auto-fit, minmax(340px, 1fr)); gap: 16px; align-items: start; } +.cards .card { height: 100%; } + +.toolbar { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin-bottom: 12px; } +.toolbar input[type=search] { flex: 1 1 260px; width: auto; margin: 0; } +.toolbar select { margin: 0; } +select { + padding: 7px 10px; background: var(--bg); color: var(--text); + border: 1px solid var(--border); border-radius: 6px; font: inherit; +} +.chips { display: flex; flex-wrap: wrap; gap: 6px; } +.chip { + display: inline-flex; align-items: center; gap: 6px; padding: 4px 10px; border-radius: 14px; + border: 1px solid var(--border); color: var(--muted); font-size: 13px; white-space: nowrap; +} +.chip:hover { text-decoration: none; color: var(--text); } +.chip.active { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } +.chip .count { opacity: 0.75; font-variant-numeric: tabular-nums; } +th a { color: inherit; } +th a.sorted { color: var(--text); } +.pager { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 12px; margin-top: 12px; color: var(--muted); font-size: 13px; } +.pager .pages { display: flex; gap: 4px; flex-wrap: wrap; } +.pager .pages a, .pager .pages span { min-width: 32px; text-align: center; padding: 4px 8px; border-radius: 6px; border: 1px solid var(--border); } +.pager .pages span.current { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } +.pager .pages span.gap { border: none; } + +.grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(150px, 1fr)); gap: 0 16px; } + +button, .button { + display: inline-block; padding: 7px 14px; border-radius: 6px; border: 1px solid var(--border); + background: var(--panel); color: var(--text); font: inherit; cursor: pointer; +} +button:hover, .button:hover { text-decoration: none; filter: brightness(0.97); } +button.primary, .button.primary { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } +button:disabled { opacity: 0.5; cursor: not-allowed; } +button.link { background: none; border: none; padding: 0; color: var(--muted); } +button.danger { background: var(--fail-bg); border-color: var(--fail-bg); color: var(--fail); } +button.link.danger { background: none; } +form.inline { display: inline; } + +.error { background: var(--fail-bg); color: var(--fail); padding: 10px 14px; border-radius: 6px; } +.warnings { background: var(--warn-bg); color: var(--warn); padding: 10px 14px; border-radius: 6px; margin: 12px 0; } +.warnings ul { margin: 8px 0 0; padding-left: 20px; font-size: 13px; } +.danger-zone { margin-top: 32px; color: var(--muted); } +.danger-zone form { margin-top: 12px; max-width: 420px; } +.danger-zone input { margin-bottom: 8px; } + +.cmd { display: flex; gap: 8px; align-items: flex-start; margin: 16px 0; } +.cmd pre { flex: 1; margin: 0; padding: 12px; background: var(--code-bg); border-radius: 6px; white-space: pre-wrap; word-break: break-all; } +pre.json { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 16px; overflow-x: auto; } + +.login { margin: 10vh auto; } +.login form { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; } + +@media (max-width: 640px) { + main { padding: 16px; } + .top .wrap { padding: 10px 16px; } + .cards { grid-template-columns: 1fr; } + .cmd { flex-direction: column; } +}