Бэкап fail2ban и своих geo-файлов 3x-ui

- новая категория fail2ban: jail.local, jail.d (в т.ч. 3x-ipl.local),
  IP-лимит 3x-ui (filter.d/action.d/3x-ipl.conf), свои *.local;
  при восстановлении создаются логи 3xipl*.log, без которых jail не поднимается
- xui: свои *.dat из /usr/local/x-ui/bin (ipcheck, discord-*) — на них ссылается
  роутинг; штатные geo-файлы релиза не бэкапятся
- recipe 3x-ui больше не очищает /usr/local/x-ui и не стирает восстановленные файлы
- маски (*, ?) в paths и keep_binaries каталога
- provision ставит nftables вместе с fail2ban
- .gitattributes: LF во всех файлах

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.gitattributes

@@ -0,0 +1,2 @@
+* text=auto eol=lf
+*.sh text eol=lf

README.md

@@ -172,7 +172,8 @@ curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_..
 | Категория | Что входит |
 |---|---|
 | system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` |
-| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, версия 3x-ui |
+| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, свои geo-файлы `/usr/local/x-ui/bin/*.dat` (ipcheck, discord и т.п., кроме штатных), версия 3x-ui |
+| fail2ban | `jail.local`, `jail.d/` (в т.ч. `3x-ipl.local`), IP-лимит 3x-ui (`filter.d`/`action.d/3x-ipl.conf`), свои `*.local`; при восстановлении создаются логи `3xipl.log` |
 | nebula | `/etc/nebula`, юнит, версия |
 | caddy | `/etc/caddy`, `/var/www`, сертификаты |
 | telegraf | `/etc/telegraf`, sudoers |

internal/agent/collect.go

@@ -155,7 +155,7 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 		RestoreAfter: s.RestoreAfter,
 	}
 	skip := archive.NewMatcher(c.cat.Exclude, s.Exclude)
-	for _, p := range s.Paths {
+	for _, p := range expandPaths(s.Paths) {
 		if !sysx.Exists(p) {
 			continue
 		}
@@ -177,7 +177,7 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 		return nil, nil
 	}
 
-	for _, b := range s.KeepBinaries {
+	for _, b := range expandPaths(s.KeepBinaries) {
 		if sysx.Exists(b) {
 			mc.Binaries = append(mc.Binaries, b)
 			c.add(manifest.MainPart, binItem(s.Name, b))
@@ -236,6 +236,20 @@ func (c *collector) cmdDump(cat string, d catalog.CmdDump, mc *manifest.Category
 	return nil
 }
 
+// expandPaths раскрывает маски (*, ?, [...]) в путях категории; пути без масок — как есть.
+func expandPaths(paths []string) []string {
+	var out []string
+	for _, p := range paths {
+		if !strings.ContainsAny(p, "*?[") {
+			out = append(out, p)
+			continue
+		}
+		m, _ := filepath.Glob(p)
+		out = append(out, m...)
+	}
+	return out
+}
+
 func anyExists(paths []string) bool {
 	for _, p := range paths {
 		if sysx.Exists(p) {

internal/agent/collect_test.go

@@ -0,0 +1,53 @@
+package agent
+
+import (
+	"os"
+	"path/filepath"
+	"slices"
+	"testing"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog"
+)
+
+func TestExpandPaths(t *testing.T) {
+	dir := t.TempDir()
+	for _, n := range []string{"ipcheck.dat", "geoip.dat", "x.txt"} {
+		if err := os.WriteFile(filepath.Join(dir, n), nil, 0o644); err != nil {
+			t.Fatal(err)
+		}
+	}
+	got := expandPaths([]string{filepath.Join(dir, "*.dat"), "/etc/x-ui", filepath.Join(dir, "*.none")})
+	want := []string{filepath.Join(dir, "geoip.dat"), filepath.Join(dir, "ipcheck.dat"), "/etc/x-ui"}
+	if !slices.Equal(got, want) {
+		t.Fatalf("expandPaths = %v, want %v", got, want)
+	}
+}
+
+// Свои geo-файлы попадают в бэкап, штатные из релиза 3x-ui — нет.
+func TestXUIGeoExcludes(t *testing.T) {
+	cat, err := catalog.Default()
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := cat.Find("xui")
+	skip := archive.NewMatcher(cat.Exclude, s.Exclude)
+	cases := map[string]bool{
+		"/usr/local/x-ui/bin/ipcheck.dat":         false,
+		"/usr/local/x-ui/bin/discord-geosite.dat": false,
+		"/usr/local/x-ui/bin/geoip.dat":           true,
+		"/usr/local/x-ui/bin/geosite_RU.dat":      true,
+		"/usr/local/x-ui/bin/geoip_IR.dat":        true,
+		"/usr/local/x-ui/bin/ipcheck.dat.bak":     true,
+		"/etc/x-ui/x-ui.db":                       true,
+	}
+	for p, want := range cases {
+		if got := skip.Match(p); got != want {
+			t.Errorf("exclude(%s) = %v, want %v", p, got, want)
+		}
+	}
+	f2b := cat.Find("fail2ban")
+	if f2b == nil || !slices.Contains(f2b.Paths, "/etc/fail2ban/jail.d") || !slices.Contains(f2b.Paths, "/etc/fail2ban/filter.d/3x-ipl.conf") {
+		t.Fatalf("категория fail2ban: %+v", f2b)
+	}
+}

internal/catalog/default.yaml

@@ -23,13 +23,44 @@ categories:
   - name: xui
     type: xui
     detect: [/usr/local/x-ui/x-ui]
-    paths: [/etc/x-ui, /root/cert]
+    paths:
-    exclude: ["/etc/x-ui/x-ui.db*"]
+      - /etc/x-ui
+      - /root/cert
+      # свои geo-файлы (ipcheck.dat, discord-*.dat и т.п.): на них ссылается роутинг,
+      # без них Xray не стартует; штатные geo*.dat приходят с релизом 3x-ui
+      - /usr/local/x-ui/bin/*.dat
+    exclude:
+      - "/etc/x-ui/x-ui.db*"
+      - "/usr/local/x-ui/bin/geoip.dat"
+      - "/usr/local/x-ui/bin/geosite.dat"
+      - "/usr/local/x-ui/bin/geo*_IR.dat"
+      - "/usr/local/x-ui/bin/geo*_RU.dat"
+      - "*.bak"
     service: x-ui
     version_cmd: [/usr/local/x-ui/x-ui, -v]
     install: xui
     keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service]
 
+  # fail2ban: свои jail'ы (jail.local, jail.d/*.local) и IP-лимит 3x-ui (3x-ipl).
+  # Штатные filter.d/action.d ставит пакет — берём только файлы 3x-ui и свои *.local.
+  - name: fail2ban
+    type: systemd
+    detect: [/etc/fail2ban]
+    paths:
+      - /etc/fail2ban/jail.local
+      - /etc/fail2ban/jail.d
+      - /etc/fail2ban/fail2ban.local
+      - /etc/fail2ban/fail2ban.conf # 3x-ui включает в нём allowipv6
+      - /etc/fail2ban/filter.d/3x-ipl.conf
+      - /etc/fail2ban/action.d/3x-ipl.conf
+      - /etc/fail2ban/filter.d/*.local
+      - /etc/fail2ban/action.d/*.local
+    service: fail2ban
+    restore_after: [system, xui]
+    post_restore:
+      # jail 3x-ipl читает лог x-ui: без файла fail2ban не поднимет jail
+      - "if ls /etc/fail2ban/jail.d/3x-ipl* >/dev/null 2>&1; then mkdir -p /var/log/x-ui && touch /var/log/x-ui/3xipl.log /var/log/x-ui/3xipl-banned.log; fi"
+
   - name: nebula
     type: systemd
     detect: [/etc/nebula]

internal/restore/provision.sh

@@ -189,7 +189,8 @@ ok "$(iptables --version)"
 
 # ---------- 5. Fail2ban ----------
 step "5. Fail2ban"
-apt_install fail2ban python3-systemd
+# nftables: штатный banaction fail2ban в Ubuntu 24.04 — nftables, без nft jail sshd не банит
+apt_install fail2ban python3-systemd nftables
 IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8"
 if [[ -n $CLIENT_IP ]]; then
   IGNORE_IP+=" $CLIENT_IP"

internal/restore/recipes.go

@@ -44,7 +44,8 @@ func installXUI(ctx context.Context, version, arch string) error {
 		v = "v" + v
 	}
 	url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch)
-	_ = os.RemoveAll("/usr/local/x-ui")
+	// каталог не очищаем: в нём уже лежат восстановленные свои geo-файлы (ipcheck.dat и т.п.),
+	// архив релиза перезапишет только свои файлы
 	if err := fetchTarGz(ctx, url, func(name string) (string, bool) {
 		name = strings.TrimPrefix(name, "./")
 		if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" {