Бэкап fail2ban и своих geo-файлов 3x-ui

- новая категория fail2ban: jail.local, jail.d (в т.ч. 3x-ipl.local),
  IP-лимит 3x-ui (filter.d/action.d/3x-ipl.conf), свои *.local;
  при восстановлении создаются логи 3xipl*.log, без которых jail не поднимается
- xui: свои *.dat из /usr/local/x-ui/bin (ipcheck, discord-*) — на них ссылается
  роутинг; штатные geo-файлы релиза не бэкапятся
- recipe 3x-ui больше не очищает /usr/local/x-ui и не стирает восстановленные файлы
- маски (*, ?) в paths и keep_binaries каталога
- provision ставит nftables вместе с fail2ban
- .gitattributes: LF во всех файлах

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

internal/restore/provision.sh

@@ -189,7 +189,8 @@ ok "$(iptables --version)"
 
 # ---------- 5. Fail2ban ----------
 step "5. Fail2ban"
-apt_install fail2ban python3-systemd
+# nftables: штатный banaction fail2ban в Ubuntu 24.04 — nftables, без nft jail sshd не банит
+apt_install fail2ban python3-systemd nftables
 IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8"
 if [[ -n $CLIENT_IP ]]; then
   IGNORE_IP+=" $CLIENT_IP"

internal/restore/recipes.go

@@ -44,7 +44,8 @@ func installXUI(ctx context.Context, version, arch string) error {
 		v = "v" + v
 	}
 	url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch)
-	_ = os.RemoveAll("/usr/local/x-ui")
+	// каталог не очищаем: в нём уже лежат восстановленные свои geo-файлы (ipcheck.dat и т.п.),
+	// архив релиза перезапишет только свои файлы
 	if err := fetchTarGz(ctx, url, func(name string) (string, bool) {
 		name = strings.TrimPrefix(name, "./")
 		if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" {