Бэкап fail2ban и своих geo-файлов 3x-ui

- новая категория fail2ban: jail.local, jail.d (в т.ч. 3x-ipl.local),
  IP-лимит 3x-ui (filter.d/action.d/3x-ipl.conf), свои *.local;
  при восстановлении создаются логи 3xipl*.log, без которых jail не поднимается
- xui: свои *.dat из /usr/local/x-ui/bin (ipcheck, discord-*) — на них ссылается
  роутинг; штатные geo-файлы релиза не бэкапятся
- recipe 3x-ui больше не очищает /usr/local/x-ui и не стирает восстановленные файлы
- маски (*, ?) в paths и keep_binaries каталога
- provision ставит nftables вместе с fail2ban
- .gitattributes: LF во всех файлах

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

internal/catalog/default.yaml

@@ -23,13 +23,44 @@ categories:
   - name: xui
     type: xui
     detect: [/usr/local/x-ui/x-ui]
-    paths: [/etc/x-ui, /root/cert]
-    exclude: ["/etc/x-ui/x-ui.db*"]
+    paths:
+      - /etc/x-ui
+      - /root/cert
+      # свои geo-файлы (ipcheck.dat, discord-*.dat и т.п.): на них ссылается роутинг,
+      # без них Xray не стартует; штатные geo*.dat приходят с релизом 3x-ui
+      - /usr/local/x-ui/bin/*.dat
+    exclude:
+      - "/etc/x-ui/x-ui.db*"
+      - "/usr/local/x-ui/bin/geoip.dat"
+      - "/usr/local/x-ui/bin/geosite.dat"
+      - "/usr/local/x-ui/bin/geo*_IR.dat"
+      - "/usr/local/x-ui/bin/geo*_RU.dat"
+      - "*.bak"
     service: x-ui
     version_cmd: [/usr/local/x-ui/x-ui, -v]
     install: xui
     keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service]
 
+  # fail2ban: свои jail'ы (jail.local, jail.d/*.local) и IP-лимит 3x-ui (3x-ipl).
+  # Штатные filter.d/action.d ставит пакет — берём только файлы 3x-ui и свои *.local.
+  - name: fail2ban
+    type: systemd
+    detect: [/etc/fail2ban]
+    paths:
+      - /etc/fail2ban/jail.local
+      - /etc/fail2ban/jail.d
+      - /etc/fail2ban/fail2ban.local
+      - /etc/fail2ban/fail2ban.conf # 3x-ui включает в нём allowipv6
+      - /etc/fail2ban/filter.d/3x-ipl.conf
+      - /etc/fail2ban/action.d/3x-ipl.conf
+      - /etc/fail2ban/filter.d/*.local
+      - /etc/fail2ban/action.d/*.local
+    service: fail2ban
+    restore_after: [system, xui]
+    post_restore:
+      # jail 3x-ipl читает лог x-ui: без файла fail2ban не поднимет jail
+      - "if ls /etc/fail2ban/jail.d/3x-ipl* >/dev/null 2>&1; then mkdir -p /var/log/x-ui && touch /var/log/x-ui/3xipl.log /var/log/x-ui/3xipl-banned.log; fi"
+
   - name: nebula
     type: systemd
     detect: [/etc/nebula]