mrleo1nid/backup-master
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 5 Wiki Activity

Бэкап fail2ban и своих geo-файлов 3x-ui
CI / test (push) Successful in 1m48s
Details

Browse Source 
- новая категория fail2ban: jail.local, jail.d (в т.ч. 3x-ipl.local),
  IP-лимит 3x-ui (filter.d/action.d/3x-ipl.conf), свои *.local;
  при восстановлении создаются логи 3xipl*.log, без которых jail не поднимается
- xui: свои *.dat из /usr/local/x-ui/bin (ipcheck, discord-*) — на них ссылается
  роутинг; штатные geo-файлы релиза не бэкапятся
- recipe 3x-ui больше не очищает /usr/local/x-ui и не стирает восстановленные файлы
- маски (*, ?) в paths и keep_binaries каталога
- provision ставит nftables вместе с fail2ban
- .gitattributes: LF во всех файлах

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
mrleo1nidandClaude Opus 5.5 committed 2026-10-17 14:24:21 +03:00
1 parent 83832fc734
commit cbd3cde01d
8 files changed
+503 -400
Download Patch File Download Diff File Expand all files Collapse all files

No files matched your search

.gitattributes
+2
View File
@@ -0,0 +1,2 @@
* text=auto eol=lf
*.sh text eol=lf
README.md
+236 -235
View File
@@ -1,235 +1,236 @@
# backup-master # backup-master
Сервис бэкапов для VPS. Делает три вещи: Сервис бэкапов для VPS. Делает три вещи:
- принимает и хранит бэкапы, у него есть простая веб-морда для одного админа; - принимает и хранит бэкапы, у него есть простая веб-морда для одного админа;
- агент на каждом сервере раз в сутки собирает бэкап по категориям, корректно дампит базы и записывает, какие версии софта стоят; - агент на каждом сервере раз в сутки собирает бэкап по категориям, корректно дампит базы и записывает, какие версии софта стоят;
- восстанавливает бэкап **на новом сервере**: готовит систему (на основе [vps_installer](https://gitea.hsrv.site/mrleo1nid/vps_installer)), ставит **те же версии** утилит, раскладывает конфиги и данные, запускает сервисы. - восстанавливает бэкап **на новом сервере**: готовит систему (на основе [vps_installer](https://gitea.hsrv.site/mrleo1nid/vps_installer)), ставит **те же версии** утилит, раскладывает конфиги и данные, запускает сервисы.
Всё это делает один бинарник `backupctl`. Как он устроен внутри — в [docs/DESIGN.md](docs/DESIGN.md). Всё это делает один бинарник `backupctl`. Как он устроен внутри — в [docs/DESIGN.md](docs/DESIGN.md).
## Установка сервера ## Установка сервера
Ставим из [последнего релиза](https://gitea.hsrv.site/mrleo1nid/backup-master/releases/latest). Ссылка `releases/download/latest/...` всегда ведёт на свежую версию. Чтобы поставить конкретную версию, замените `latest` на тег, например `v0.1.0`. Ставим из [последнего релиза](https://gitea.hsrv.site/mrleo1nid/backup-master/releases/latest). Ссылка `releases/download/latest/...` всегда ведёт на свежую версию. Чтобы поставить конкретную версию, замените `latest` на тег, например `v0.1.0`.
```bash ```bash
REL=https://gitea.hsrv.site/mrleo1nid/backup-master/releases/download/latest REL=https://gitea.hsrv.site/mrleo1nid/backup-master/releases/download/latest
ARCH=$(dpkg --print-architecture) # amd64 или arm64 ARCH=$(dpkg --print-architecture) # amd64 или arm64
# пользователь и каталоги # пользователь и каталоги
sudo useradd -r -s /usr/sbin/nologin -d /var/lib/backup-master backup-master sudo useradd -r -s /usr/sbin/nologin -d /var/lib/backup-master backup-master
sudo install -d -o backup-master -g backup-master -m 700 /var/lib/backup-master sudo install -d -o backup-master -g backup-master -m 700 /var/lib/backup-master
sudo install -d /opt/backup-master/dist sudo install -d /opt/backup-master/dist
# бинарники: свой — в /usr/local/bin, оба — в dist для раздачи агентам # бинарники: свой — в /usr/local/bin, оба — в dist для раздачи агентам
for a in amd64 arm64; do sudo curl -fsSL "$REL/backupctl-linux-$a" -o "/opt/backup-master/dist/backupctl-linux-$a"; done for a in amd64 arm64; do sudo curl -fsSL "$REL/backupctl-linux-$a" -o "/opt/backup-master/dist/backupctl-linux-$a"; done
sudo curl -fsSL "$REL/checksums.txt" -o /tmp/backupctl-checksums.txt sudo curl -fsSL "$REL/checksums.txt" -o /tmp/backupctl-checksums.txt
(cd /opt/backup-master/dist && grep backupctl-linux /tmp/backupctl-checksums.txt | sha256sum -c -) (cd /opt/backup-master/dist && grep backupctl-linux /tmp/backupctl-checksums.txt | sha256sum -c -)
# через .new + mv: запущенный бинарник напрямую не перезаписать (Text file busy) # через .new + mv: запущенный бинарник напрямую не перезаписать (Text file busy)
sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl.new sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl.new
sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl
backupctl version backupctl version
# администратор веб-морды # администратор веб-морды
sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd admin sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd admin
# systemd: поправьте BM_PUBLIC_URL на внешний адрес сервера # systemd: поправьте BM_PUBLIC_URL на внешний адрес сервера
sudo curl -fsSL "$REL/backup-master.service" -o /etc/systemd/system/backup-master.service sudo curl -fsSL "$REL/backup-master.service" -o /etc/systemd/system/backup-master.service
sudo sed -i 's|https://backup.example.com|https://backup.ВАШ-ДОМЕН|' /etc/systemd/system/backup-master.service sudo sed -i 's|https://backup.example.com|https://backup.ВАШ-ДОМЕН|' /etc/systemd/system/backup-master.service
sudo systemctl daemon-reload sudo systemctl daemon-reload
sudo systemctl enable --now backup-master sudo systemctl enable --now backup-master
``` ```
Сервер слушает `127.0.0.1:8080`, TLS даёт Caddy: Сервер слушает `127.0.0.1:8080`, TLS даёт Caddy:
```bash ```bash
curl -fsSL "$REL/Caddyfile.example" # блок для /etc/caddy/Caddyfile, замените домен curl -fsSL "$REL/Caddyfile.example" # блок для /etc/caddy/Caddyfile, замените домен
sudo systemctl reload caddy sudo systemctl reload caddy
``` ```
Агентам сервер раздаёт бинарники из `BM_DIST` (`/opt/backup-master/dist`). Агентам сервер раздаёт бинарники из `BM_DIST` (`/opt/backup-master/dist`).
### Caddy на другом хосте (например, сервер в VM Proxmox, Caddy на хосте) ### Caddy на другом хосте (например, сервер в VM Proxmox, Caddy на хосте)
Здесь Caddy проксирует не на `127.0.0.1`, а на IP виртуалки. В примере VM — `10.0.0.10`, хост Proxmox — `10.0.0.1`. Здесь Caddy проксирует не на `127.0.0.1`, а на IP виртуалки. В примере VM — `10.0.0.10`, хост Proxmox — `10.0.0.1`.
На VM сервис должен слушать сеть, а порт должен быть открыт только хосту с Caddy: На VM сервис должен слушать сеть, а порт должен быть открыт только хосту с Caddy:
```bash ```bash
sudo sed -i 's|BM_LISTEN=127.0.0.1:8080|BM_LISTEN=0.0.0.0:8080|' /etc/systemd/system/backup-master.service sudo sed -i 's|BM_LISTEN=127.0.0.1:8080|BM_LISTEN=0.0.0.0:8080|' /etc/systemd/system/backup-master.service
sudo systemctl daemon-reload && sudo systemctl restart backup-master sudo systemctl daemon-reload && sudo systemctl restart backup-master
sudo ufw allow from 10.0.0.1 to any port 8080 proto tcp # если на VM включён UFW sudo ufw allow from 10.0.0.1 to any port 8080 proto tcp # если на VM включён UFW
``` ```
На хосте с Caddy сначала проверьте доступ — должно вернуться `ok`: На хосте с Caddy сначала проверьте доступ — должно вернуться `ok`:
```bash ```bash
curl -s http://10.0.0.10:8080/healthz curl -s http://10.0.0.10:8080/healthz
``` ```
Затем укажите в Caddyfile адрес VM: Затем укажите в Caddyfile адрес VM:
``` ```
backup.example.com { backup.example.com {
request_body { request_body {
max_size 200GB max_size 200GB
} }
reverse_proxy 10.0.0.10:8080 { reverse_proxy 10.0.0.10:8080 {
transport http { transport http {
read_timeout 6h read_timeout 6h
write_timeout 6h write_timeout 6h
} }
} }
} }
``` ```
```bash ```bash
sudo systemctl reload caddy sudo systemctl reload caddy
``` ```
`BM_TRUST_PROXY=1` (включён в юните) говорит серверу брать IP клиента из `X-Forwarded-For` от Caddy — по нему ограничивается перебор пароля. Поэтому порт 8080 должен быть доступен **только** с хоста Caddy, иначе заголовок можно подделать. Если включён файрвол Proxmox для VM, разрешите 8080 и там. `BM_TRUST_PROXY=1` (включён в юните) говорит серверу брать IP клиента из `X-Forwarded-For` от Caddy — по нему ограничивается перебор пароля. Поэтому порт 8080 должен быть доступен **только** с хоста Caddy, иначе заголовок можно подделать. Если включён файрвол Proxmox для VM, разрешите 8080 и там.
Если Caddy с хоста получает 502, а на VM `curl http://127.0.0.1:8080/healthz` отвечает `ok`, проблема в `BM_LISTEN` или в файрволе. Если Caddy с хоста получает 502, а на VM `curl http://127.0.0.1:8080/healthz` отвечает `ok`, проблема в `BM_LISTEN` или в файрволе.
### Администратор ### Администратор
Логин и пароль задаёт одна команда. Её же используют, чтобы сменить логин, пароль или оба сразу. Перезапуск сервиса не нужен, все открытые сессии сбрасываются: Логин и пароль задаёт одна команда. Её же используют, чтобы сменить логин, пароль или оба сразу. Перезапуск сервиса не нужен, все открытые сессии сбрасываются:
```bash ```bash
sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd новый_логин sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd новый_логин
``` ```
**Обновление сервера:** снова выполните блок «бинарники», затем `sudo systemctl restart backup-master`. Агенты обновляются командой `curl -fsSL https://backup.ВАШ-ДОМЕН/agent.sh | sudo bash` без `--token`, конфиг при этом сохраняется. **Обновление сервера:** снова выполните блок «бинарники», затем `sudo systemctl restart backup-master`. Агенты обновляются командой `curl -fsSL https://backup.ВАШ-ДОМЕН/agent.sh | sudo bash` без `--token`, конфиг при этом сохраняется.
### Уведомления ### Уведомления
В «Настройках» включаются каналы: **ntfy** и/или **Telegram**. Оба необязательные, уведомления уходят во все настроенные. В «Настройках» включаются каналы: **ntfy** и/или **Telegram**. Оба необязательные, уведомления уходят во все настроенные.
Уведомления приходят: Уведомления приходят:
- об ошибках бэкапа; - об ошибках бэкапа;
- когда от клиента нет бэкапа дольше заданного срока (по умолчанию 26 ч); - когда от клиента нет бэкапа дольше заданного срока (по умолчанию 26 ч);
- если включено — и об успешных бэкапах. В Telegram они приходят без звука. - если включено — и об успешных бэкапах. В Telegram они приходят без звука.
Каждое уведомление содержит ссылку на карточку клиента. Каждое уведомление содержит ссылку на карточку клиента.
Как подключить Telegram: Как подключить Telegram:
1. Создайте бота у [@BotFather](https://t.me/BotFather) и скопируйте токен. 1. Создайте бота у [@BotFather](https://t.me/BotFather) и скопируйте токен.
2. Напишите боту что-нибудь (или добавьте его в группу). Затем откройте `https://api.telegram.org/bot<токен>/getUpdates` и возьмите `chat.id`. У групп он вида `-100…`. 2. Напишите боту что-нибудь (или добавьте его в группу). Затем откройте `https://api.telegram.org/bot<токен>/getUpdates` и возьмите `chat.id`. У групп он вида `-100…`.
3. В «Настройках» укажите токен и chat id. Чатов можно несколько, через запятую. Для группы с темами дополнительно укажите ID темы. 3. В «Настройках» укажите токен и chat id. Чатов можно несколько, через запятую. Для группы с темами дополнительно укажите ID темы.
4. Отметьте «Отправить тестовое уведомление» и сохраните — на странице будет видно, дошло ли сообщение в каждый канал. 4. Отметьте «Отправить тестовое уведомление» и сохраните — на странице будет видно, дошло ли сообщение в каждый канал.
Если `api.telegram.org` недоступен с сервера бэкапов, укажите в поле «Адрес Bot API» свой [Bot API сервер](https://github.com/tdlib/telegram-bot-api) или прокси. Если `api.telegram.org` недоступен с сервера бэкапов, укажите в поле «Адрес Bot API» свой [Bot API сервер](https://github.com/tdlib/telegram-bot-api) или прокси.
## Добавление клиента ## Добавление клиента
1. В веб-морде нажмите «Добавить клиента» и укажите домен сервера. 1. В веб-морде нажмите «Добавить клиента» и укажите домен сервера.
2. Выполните на сервере выданную команду: 2. Выполните на сервере выданную команду:
```bash ```bash
curl -fsSL https://backup.example.com/agent.sh | sudo bash -s -- --token bm_... --now curl -fsSL https://backup.example.com/agent.sh | sudo bash -s -- --token bm_... --now
``` ```
Команда ставит `backupctl`, конфиг `/etc/backup-agent/agent.yaml` и таймер `backup-agent.timer` (03:00 ± 30 мин), показывает план (`backupctl plan`) и запускает первый бэкап. Команда ставит `backupctl`, конфиг `/etc/backup-agent/agent.yaml` и таймер `backup-agent.timer` (03:00 ± 30 мин), показывает план (`backupctl plan`) и запускает первый бэкап.
3. В карточке клиента видно, что попадает в бэкап, версии софта и предупреждения. Например, cron запускает скрипт, который не попадает ни в одну категорию. 3. В карточке клиента видно, что попадает в бэкап, версии софта и предупреждения. Например, cron запускает скрипт, который не попадает ни в одну категорию.
Полезные команды на клиенте: Полезные команды на клиенте:
```bash ```bash
sudo backupctl plan # что будет в бэкапе (дампы реально выполняются во временный каталог) sudo backupctl plan # что будет в бэкапе (дампы реально выполняются во временный каталог)
sudo systemctl start backup-agent # бэкап сейчас sudo systemctl start backup-agent # бэкап сейчас
journalctl -u backup-agent -f journalctl -u backup-agent -f
sudo backupctl backup --heavy # с heavy-частями вне расписания sudo backupctl backup --heavy # с heavy-частями вне расписания
``` ```
## Восстановление ## Восстановление
В карточке клиента нажмите «Команда восстановления». Токен живёт 24 часа и даёт доступ только на чтение бэкапов этого клиента. Если нужен конкретный бэкап, откройте его и нажмите «Восстановить из этого бэкапа». На чистой Ubuntu 24.04: В карточке клиента нажмите «Команда восстановления». Токен живёт 24 часа и даёт доступ только на чтение бэкапов этого клиента. Если нужен конкретный бэкап, откройте его и нажмите «Восстановить из этого бэкапа». На чистой Ubuntu 24.04:
```bash ```bash
curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_... curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_...
``` ```
Что происходит: Что происходит:
1. Показывается сводка бэкапа и запрашивается подтверждение. 1. Показывается сводка бэкапа и запрашивается подтверждение.
2. Базовая подготовка системы (`internal/restore/provision.sh`): пользователь с sudo, hostname, fail2ban, UFW, blocklist, SSH hardening. Docker, Caddy и Telegraf ставятся **тех же версий apt-пакетов**, если такие версии ещё есть в репозитории. Спрашиваются только логин и пароль пользователя. 2. Базовая подготовка системы (`internal/restore/provision.sh`): пользователь с sudo, hostname, fail2ban, UFW, blocklist, SSH hardening. Docker, Caddy и Telegraf ставятся **тех же версий apt-пакетов**, если такие версии ещё есть в репозитории. Спрашиваются только логин и пароль пользователя.
3. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома. 3. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома.
4. Категории восстанавливаются по порядку: 4. Категории восстанавливаются по порядку:
- 3x-ui, Nebula и sing-box ставятся той версии, что была на старом сервере. Если скачать не получилось, используется копия бинарника из бэкапа; - 3x-ui, Nebula и sing-box ставятся той версии, что была на старом сервере. Если скачать не получилось, используется копия бинарника из бэкапа;
- база x-ui кладётся на место; - база x-ui кладётся на место;
- compose-проекты: образы закрепляются по digest (`compose.restore.yml`), базы поднимаются, в них заливаются дампы, затем запускается весь проект; - compose-проекты: образы закрепляются по digest (`compose.restore.yml`), базы поднимаются, в них заливаются дампы, затем запускается весь проект;
- systemd-сервисы включаются и запускаются так, как было на старом сервере. - systemd-сервисы включаются и запускаются так, как было на старом сервере.
5. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка. 5. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка.
Флаги: Флаги:
- `--backup ID` — конкретный бэкап; - `--backup ID` — конкретный бэкап;
- `--skip-heavy` — без MinIO Stoat; - `--skip-heavy` — без MinIO Stoat;
- `--skip-provision` — повторный прогон без базовой подготовки; - `--skip-provision` — повторный прогон без базовой подготовки;
- `--user NAME`, `--yes`, `--keep-staging`. - `--user NAME`, `--yes`, `--keep-staging`.
## Что бэкапится ## Что бэкапится
Встроенный каталог — [internal/catalog/default.yaml](internal/catalog/default.yaml): Встроенный каталог — [internal/catalog/default.yaml](internal/catalog/default.yaml):
| Категория | Что входит | | Категория | Что входит |
|---|---| |---|---|
| system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` | | system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` |
| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, версия 3x-ui | | xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, свои geo-файлы `/usr/local/x-ui/bin/*.dat` (ipcheck, discord и т.п., кроме штатных), версия 3x-ui |
| nebula | `/etc/nebula`, юнит, версия | | fail2ban | `jail.local`, `jail.d/` (в т.ч. `3x-ipl.local`), IP-лимит 3x-ui (`filter.d`/`action.d/3x-ipl.conf`), свои `*.local`; при восстановлении создаются логи `3xipl.log` |
| caddy | `/etc/caddy`, `/var/www`, сертификаты | | nebula | `/etc/nebula`, юнит, версия |
| telegraf | `/etc/telegraf`, sudoers | | caddy | `/etc/caddy`, `/var/www`, сертификаты |
| sing-box-warp | `/opt/sing-box-warp`, `/etc/sing-box-warp`, юнит, sysctl, версия sing-box-extended | | telegraf | `/etc/telegraf`, sudoers |
| scripts | `/var/scripts`, `update-geosite.sh` | | sing-box-warp | `/opt/sing-box-warp`, `/etc/sing-box-warp`, юнит, sysctl, версия sing-box-extended |
| pnvpanel | `/opt/PnvPanel` целиком, кроме `pgdata`; `pg_dump`; том `ticket_uploads` | | scripts | `/var/scripts`, `update-geosite.sh` |
| stoat | `/opt/stoat`, кроме `data/db` и `data/rabbit`; `mongodump`; `data/minio` идёт отдельной heavy-частью раз в неделю | | pnvpanel | `/opt/PnvPanel` целиком, кроме `pgdata`; `pg_dump`; том `ticket_uploads` |
| stoat-mbot | `/opt/stoat-mbot` целиком, восстанавливается после stoat | | stoat | `/opt/stoat`, кроме `data/db` и `data/rabbit`; `mongodump`; `data/minio` идёт отдельной heavy-частью раз в неделю |
| psiphon | отключён | | stoat-mbot | `/opt/stoat-mbot` целиком, восстанавливается после stoat |
| psiphon | отключён |
Compose-проекты, которых нет в каталоге, находятся автоматически (`docker compose ls`). Они бэкапятся с настройками по умолчанию и помечаются в морде как «авто». Базы распознаются по образу (postgres, mongo, mysql, mariadb) и дампятся без остановки.
Compose-проекты, которых нет в каталоге, находятся автоматически (`docker compose ls`). Они бэкапятся с настройками по умолчанию и помечаются в морде как «авто». Базы распознаются по образу (postgres, mongo, mysql, mariadb) и дампятся без остановки.
Каталог для конкретного клиента можно переопределить в его карточке (YAML):
Каталог для конкретного клиента можно переопределить в его карточке (YAML):
```yaml
categories: ```yaml
- {name: scripts, disabled: true} # отключить встроенную categories:
- name: hostdb # своя категория с дампом - {name: scripts, disabled: true} # отключить встроенную
type: files - name: hostdb # своя категория с дампом
paths: [/etc/mysql] type: files
dumps: paths: [/etc/mysql]
- name: full_dump.sql dumps:
cmd: mysqldump --all-databases --single-transaction - name: full_dump.sql
restore_cmd: mysql < "$DUMP_FILE" cmd: mysqldump --all-databases --single-transaction
``` restore_cmd: mysql < "$DUMP_FILE"
```
## Сборка из исходников
## Сборка из исходников
```bash
make build # dist/backupctl-linux-amd64, dist/backupctl-linux-arm64 ```bash
make test make build # dist/backupctl-linux-amd64, dist/backupctl-linux-arm64
``` make test
```
Без make:
Без make:
```bash
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" -o dist/backupctl-linux-amd64 ./cmd/backupctl ```bash
``` CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" -o dist/backupctl-linux-amd64 ./cmd/backupctl
```
CI (Gitea Actions):
- `.gitea/workflows/ci.yml` на каждый push и PR проверяет форматирование, запускает vet и тесты и собирает бинарники; CI (Gitea Actions):
- `release.yml` на тег `v*` публикует релиз с бинарниками, `checksums.txt` и файлами из `deploy/`. - `.gitea/workflows/ci.yml` на каждый push и PR проверяет форматирование, запускает vet и тесты и собирает бинарники;
- `release.yml` на тег `v*` публикует релиз с бинарниками, `checksums.txt` и файлами из `deploy/`.
Новый релиз:
Новый релиз:
```bash
git tag v0.2.0 && git push origin v0.2.0 ```bash
``` git tag v0.2.0 && git push origin v0.2.0
```
## Хранение
## Хранение
Бэкапы лежат в `/var/lib/backup-master/backups/<домен>/<дата>-<id>/`: `main.tar.zst`, heavy-части и `manifest.json`. Архив — обычный tar+zstd, его можно разобрать и без backupctl:
Бэкапы лежат в `/var/lib/backup-master/backups/<домен>/<дата>-<id>/`: `main.tar.zst`, heavy-части и `manifest.json`. Архив — обычный tar+zstd, его можно разобрать и без backupctl:
```bash
zstd -dc main.tar.zst | tar -tv ```bash
``` zstd -dc main.tar.zst | tar -tv
```
Ротация:
- обычные бэкапы — по схеме GFS: последний всегда + N дневных, недельных и месячных (по умолчанию 7/4/6); Ротация:
- heavy-части — только последние `heavy_keep` (по умолчанию 1). - обычные бэкапы — по схеме GFS: последний всегда + N дневных, недельных и месячных (по умолчанию 7/4/6);
- heavy-части — только последние `heavy_keep` (по умолчанию 1).
internal/agent/collect.go
+16 -2
View File
@@ -155,7 +155,7 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
RestoreAfter: s.RestoreAfter, RestoreAfter: s.RestoreAfter,
} }
skip := archive.NewMatcher(c.cat.Exclude, s.Exclude) skip := archive.NewMatcher(c.cat.Exclude, s.Exclude)
for _, p := range s.Paths { for _, p := range expandPaths(s.Paths) {
if !sysx.Exists(p) { if !sysx.Exists(p) {
continue continue
} }
@@ -177,7 +177,7 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
return nil, nil return nil, nil
} }
for _, b := range s.KeepBinaries { for _, b := range expandPaths(s.KeepBinaries) {
if sysx.Exists(b) { if sysx.Exists(b) {
mc.Binaries = append(mc.Binaries, b) mc.Binaries = append(mc.Binaries, b)
c.add(manifest.MainPart, binItem(s.Name, b)) c.add(manifest.MainPart, binItem(s.Name, b))
@@ -236,6 +236,20 @@ func (c *collector) cmdDump(cat string, d catalog.CmdDump, mc *manifest.Category
return nil return nil
} }
// expandPaths раскрывает маски (*, ?, [...]) в путях категории; пути без масок — как есть.
func expandPaths(paths []string) []string {
var out []string
for _, p := range paths {
if !strings.ContainsAny(p, "*?[") {
out = append(out, p)
continue
}
m, _ := filepath.Glob(p)
out = append(out, m...)
}
return out
}
func anyExists(paths []string) bool { func anyExists(paths []string) bool {
for _, p := range paths { for _, p := range paths {
if sysx.Exists(p) { if sysx.Exists(p) {
internal/agent/collect_test.go
+53
View File
@@ -0,0 +1,53 @@
package agent
import (
"os"
"path/filepath"
"slices"
"testing"
"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
"gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog"
)
func TestExpandPaths(t *testing.T) {
dir := t.TempDir()
for _, n := range []string{"ipcheck.dat", "geoip.dat", "x.txt"} {
if err := os.WriteFile(filepath.Join(dir, n), nil, 0o644); err != nil {
t.Fatal(err)
}
}
got := expandPaths([]string{filepath.Join(dir, "*.dat"), "/etc/x-ui", filepath.Join(dir, "*.none")})
want := []string{filepath.Join(dir, "geoip.dat"), filepath.Join(dir, "ipcheck.dat"), "/etc/x-ui"}
if !slices.Equal(got, want) {
t.Fatalf("expandPaths = %v, want %v", got, want)
}
}
// Свои geo-файлы попадают в бэкап, штатные из релиза 3x-ui — нет.
func TestXUIGeoExcludes(t *testing.T) {
cat, err := catalog.Default()
if err != nil {
t.Fatal(err)
}
s := cat.Find("xui")
skip := archive.NewMatcher(cat.Exclude, s.Exclude)
cases := map[string]bool{
"/usr/local/x-ui/bin/ipcheck.dat": false,
"/usr/local/x-ui/bin/discord-geosite.dat": false,
"/usr/local/x-ui/bin/geoip.dat": true,
"/usr/local/x-ui/bin/geosite_RU.dat": true,
"/usr/local/x-ui/bin/geoip_IR.dat": true,
"/usr/local/x-ui/bin/ipcheck.dat.bak": true,
"/etc/x-ui/x-ui.db": true,
}
for p, want := range cases {
if got := skip.Match(p); got != want {
t.Errorf("exclude(%s) = %v, want %v", p, got, want)
}
}
f2b := cat.Find("fail2ban")
if f2b == nil || !slices.Contains(f2b.Paths, "/etc/fail2ban/jail.d") || !slices.Contains(f2b.Paths, "/etc/fail2ban/filter.d/3x-ipl.conf") {
t.Fatalf("категория fail2ban: %+v", f2b)
}
}
internal/catalog/default.yaml
+33 -2
View File
@@ -23,13 +23,44 @@ categories:
- name: xui - name: xui
type: xui type: xui
detect: [/usr/local/x-ui/x-ui] detect: [/usr/local/x-ui/x-ui]
paths: [/etc/x-ui, /root/cert] paths:
exclude: ["/etc/x-ui/x-ui.db*"] - /etc/x-ui
- /root/cert
# свои geo-файлы (ipcheck.dat, discord-*.dat и т.п.): на них ссылается роутинг,
# без них Xray не стартует; штатные geo*.dat приходят с релизом 3x-ui
- /usr/local/x-ui/bin/*.dat
exclude:
- "/etc/x-ui/x-ui.db*"
- "/usr/local/x-ui/bin/geoip.dat"
- "/usr/local/x-ui/bin/geosite.dat"
- "/usr/local/x-ui/bin/geo*_IR.dat"
- "/usr/local/x-ui/bin/geo*_RU.dat"
- "*.bak"
service: x-ui service: x-ui
version_cmd: [/usr/local/x-ui/x-ui, -v] version_cmd: [/usr/local/x-ui/x-ui, -v]
install: xui install: xui
keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service] keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service]
# fail2ban: свои jail'ы (jail.local, jail.d/*.local) и IP-лимит 3x-ui (3x-ipl).
# Штатные filter.d/action.d ставит пакет — берём только файлы 3x-ui и свои *.local.
- name: fail2ban
type: systemd
detect: [/etc/fail2ban]
paths:
- /etc/fail2ban/jail.local
- /etc/fail2ban/jail.d
- /etc/fail2ban/fail2ban.local
- /etc/fail2ban/fail2ban.conf # 3x-ui включает в нём allowipv6
- /etc/fail2ban/filter.d/3x-ipl.conf
- /etc/fail2ban/action.d/3x-ipl.conf
- /etc/fail2ban/filter.d/*.local
- /etc/fail2ban/action.d/*.local
service: fail2ban
restore_after: [system, xui]
post_restore:
# jail 3x-ipl читает лог x-ui: без файла fail2ban не поднимет jail
- "if ls /etc/fail2ban/jail.d/3x-ipl* >/dev/null 2>&1; then mkdir -p /var/log/x-ui && touch /var/log/x-ui/3xipl.log /var/log/x-ui/3xipl-banned.log; fi"
- name: nebula - name: nebula
type: systemd type: systemd
detect: [/etc/nebula] detect: [/etc/nebula]
internal/restore/provision.sh
+2 -1
View File
@@ -189,7 +189,8 @@ ok "$(iptables --version)"
# ---------- 5. Fail2ban ---------- # ---------- 5. Fail2ban ----------
step "5. Fail2ban" step "5. Fail2ban"
apt_install fail2ban python3-systemd # nftables: штатный banaction fail2ban в Ubuntu 24.04 — nftables, без nft jail sshd не банит
apt_install fail2ban python3-systemd nftables
IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8" IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8"
if [[ -n $CLIENT_IP ]]; then if [[ -n $CLIENT_IP ]]; then
IGNORE_IP+=" $CLIENT_IP" IGNORE_IP+=" $CLIENT_IP"
internal/restore/recipes.go
+2 -1
View File
@@ -44,7 +44,8 @@ func installXUI(ctx context.Context, version, arch string) error {
v = "v" + v v = "v" + v
} }
url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch) url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch)
_ = os.RemoveAll("/usr/local/x-ui") // каталог не очищаем: в нём уже лежат восстановленные свои geo-файлы (ipcheck.dat и т.п.),
// архив релиза перезапишет только свои файлы
if err := fetchTarGz(ctx, url, func(name string) (string, bool) { if err := fetchTarGz(ctx, url, func(name string) (string, bool) {
name = strings.TrimPrefix(name, "./") name = strings.TrimPrefix(name, "./")
if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" { if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" {
internal/server/static/style.css
+159 -159
View File
@@ -1,159 +1,159 @@
:root { :root {
--bg: #f6f7f9; --bg: #f6f7f9;
--panel: #ffffff; --panel: #ffffff;
--text: #1c2128; --text: #1c2128;
--muted: #6b7280; --muted: #6b7280;
--border: #dfe3e8; --border: #dfe3e8;
--accent: #2f6fde; --accent: #2f6fde;
--accent-text: #ffffff; --accent-text: #ffffff;
--ok: #1f8a4c; --ok: #1f8a4c;
--ok-bg: #e3f4ea; --ok-bg: #e3f4ea;
--warn: #9a6400; --warn: #9a6400;
--warn-bg: #fdf1d8; --warn-bg: #fdf1d8;
--fail: #c0362c; --fail: #c0362c;
--fail-bg: #fbe5e3; --fail-bg: #fbe5e3;
--code-bg: #eef1f5; --code-bg: #eef1f5;
} }
@media (prefers-color-scheme: dark) { @media (prefers-color-scheme: dark) {
:root { :root {
--bg: #14171c; --bg: #14171c;
--panel: #1c2027; --panel: #1c2027;
--text: #e4e7eb; --text: #e4e7eb;
--muted: #9aa3ae; --muted: #9aa3ae;
--border: #2e343d; --border: #2e343d;
--accent: #5b8ff0; --accent: #5b8ff0;
--ok: #4cc27f; --ok: #4cc27f;
--ok-bg: #18342a; --ok-bg: #18342a;
--warn: #e0ad4a; --warn: #e0ad4a;
--warn-bg: #3a2f17; --warn-bg: #3a2f17;
--fail: #f07167; --fail: #f07167;
--fail-bg: #3d1f1d; --fail-bg: #3d1f1d;
--code-bg: #232831; --code-bg: #232831;
} }
} }
* { box-sizing: border-box; } * { box-sizing: border-box; }
body { body {
margin: 0; margin: 0;
background: var(--bg); background: var(--bg);
color: var(--text); color: var(--text);
font: 15px/1.5 system-ui, -apple-system, "Segoe UI", Roboto, sans-serif; font: 15px/1.5 system-ui, -apple-system, "Segoe UI", Roboto, sans-serif;
} }
a { color: var(--accent); text-decoration: none; } a { color: var(--accent); text-decoration: none; }
a:hover { text-decoration: underline; } a:hover { text-decoration: underline; }
code, pre { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; } code, pre { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; }
code { background: var(--code-bg); padding: 1px 5px; border-radius: 4px; } code { background: var(--code-bg); padding: 1px 5px; border-radius: 4px; }
.top { background: var(--panel); border-bottom: 1px solid var(--border); } .top { background: var(--panel); border-bottom: 1px solid var(--border); }
/* шапка выровнена по той же колонке, что и контент */ /* шапка выровнена по той же колонке, что и контент */
.top .wrap { .top .wrap {
max-width: 1200px; margin: 0 auto; padding: 10px 24px; max-width: 1200px; margin: 0 auto; padding: 10px 24px;
display: flex; align-items: center; justify-content: space-between; gap: 16px; display: flex; align-items: center; justify-content: space-between; gap: 16px;
} }
.brand { font-weight: 600; color: var(--text); } .brand { font-weight: 600; color: var(--text); }
.top nav { display: flex; align-items: center; gap: 18px; } .top nav { display: flex; align-items: center; gap: 18px; }
.top nav a { color: var(--muted); } .top nav a { color: var(--muted); }
.top nav a.active { color: var(--text); font-weight: 500; } .top nav a.active { color: var(--text); font-weight: 500; }
main { max-width: 1200px; margin: 0 auto; padding: 24px; } main { max-width: 1200px; margin: 0 auto; padding: 24px; }
h1 { font-size: 24px; margin: 0 0 8px; display: flex; align-items: center; gap: 10px; flex-wrap: wrap; } h1 { font-size: 24px; margin: 0 0 8px; display: flex; align-items: center; gap: 10px; flex-wrap: wrap; }
h2 { font-size: 18px; margin: 32px 0 12px; } h2 { font-size: 18px; margin: 32px 0 12px; }
.head { display: flex; justify-content: space-between; align-items: flex-start; gap: 16px; flex-wrap: wrap; margin-bottom: 16px; } .head { display: flex; justify-content: space-between; align-items: flex-start; gap: 16px; flex-wrap: wrap; margin-bottom: 16px; }
.actions { display: flex; gap: 8px; flex-wrap: wrap; } .actions { display: flex; gap: 8px; flex-wrap: wrap; }
.muted { color: var(--muted); } .muted { color: var(--muted); }
.small { font-size: 13px; } .small { font-size: 13px; }
.right { text-align: right; } .right { text-align: right; }
.empty { color: var(--muted); padding: 24px 0; } .empty { color: var(--muted); padding: 24px 0; }
.hint { color: var(--muted); font-size: 13px; margin: 4px 0 12px; } .hint { color: var(--muted); font-size: 13px; margin: 4px 0 12px; }
.table-wrap { overflow-x: auto; background: var(--panel); border: 1px solid var(--border); border-radius: 8px; } .table-wrap { overflow-x: auto; background: var(--panel); border: 1px solid var(--border); border-radius: 8px; }
table { width: 100%; border-collapse: collapse; } table { width: 100%; border-collapse: collapse; }
th, td { padding: 9px 12px; text-align: left; border-bottom: 1px solid var(--border); vertical-align: top; } th, td { padding: 9px 12px; text-align: left; border-bottom: 1px solid var(--border); vertical-align: top; }
th { font-size: 13px; font-weight: 500; color: var(--muted); } th { font-size: 13px; font-weight: 500; color: var(--muted); }
tr:last-child td { border-bottom: none; } tr:last-child td { border-bottom: none; }
td.num, th.num { text-align: right; font-variant-numeric: tabular-nums; white-space: nowrap; } td.num, th.num { text-align: right; font-variant-numeric: tabular-nums; white-space: nowrap; }
.badge { display: inline-block; padding: 1px 8px; border-radius: 10px; font-size: 12px; font-weight: 500; white-space: nowrap; } .badge { display: inline-block; padding: 1px 8px; border-radius: 10px; font-size: 12px; font-weight: 500; white-space: nowrap; }
.badge.ok { background: var(--ok-bg); color: var(--ok); } .badge.ok { background: var(--ok-bg); color: var(--ok); }
.badge.stale, .badge.never { background: var(--warn-bg); color: var(--warn); } .badge.stale, .badge.never { background: var(--warn-bg); color: var(--warn); }
.badge.fail { background: var(--fail-bg); color: var(--fail); } .badge.fail { background: var(--fail-bg); color: var(--fail); }
.badge.off { background: var(--code-bg); color: var(--muted); } .badge.off { background: var(--code-bg); color: var(--muted); }
.ok-text { color: var(--ok); } .ok-text { color: var(--ok); }
.fail-text { color: var(--fail); } .fail-text { color: var(--fail); }
ul.results { list-style: none; padding: 0; margin: 0 0 16px; } ul.results { list-style: none; padding: 0; margin: 0 0 16px; }
.facts { display: flex; flex-wrap: wrap; gap: 12px 32px; margin: 16px 0; } .facts { display: flex; flex-wrap: wrap; gap: 12px 32px; margin: 16px 0; }
.facts dt { font-size: 12px; color: var(--muted); } .facts dt { font-size: 12px; color: var(--muted); }
.facts dd { margin: 0; } .facts dd { margin: 0; }
.card { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; } .card { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; }
.card.narrow, .login { max-width: 520px; } .card.narrow, .login { max-width: 520px; }
.card h2:first-of-type { margin-top: 0; } .card h2:first-of-type { margin-top: 0; }
label { display: block; margin-bottom: 12px; font-size: 14px; } label { display: block; margin-bottom: 12px; font-size: 14px; }
label.check { display: flex; align-items: center; gap: 8px; } label.check { display: flex; align-items: center; gap: 8px; }
input, textarea { input, textarea {
display: block; width: 100%; margin-top: 4px; padding: 7px 10px; display: block; width: 100%; margin-top: 4px; padding: 7px 10px;
background: var(--bg); color: var(--text); border: 1px solid var(--border); border-radius: 6px; font: inherit; background: var(--bg); color: var(--text); border: 1px solid var(--border); border-radius: 6px; font: inherit;
} }
input[type=checkbox] { display: inline; width: auto; margin: 0; } input[type=checkbox] { display: inline; width: auto; margin: 0; }
textarea { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; } textarea { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; }
.settings { display: flex; flex-direction: column; gap: 16px; } .settings { display: flex; flex-direction: column; gap: 16px; }
.cards { display: grid; grid-template-columns: repeat(auto-fit, minmax(340px, 1fr)); gap: 16px; align-items: start; } .cards { display: grid; grid-template-columns: repeat(auto-fit, minmax(340px, 1fr)); gap: 16px; align-items: start; }
.cards .card { height: 100%; } .cards .card { height: 100%; }
.toolbar { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin-bottom: 12px; } .toolbar { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin-bottom: 12px; }
.toolbar input[type=search] { flex: 1 1 260px; width: auto; margin: 0; } .toolbar input[type=search] { flex: 1 1 260px; width: auto; margin: 0; }
.toolbar select { margin: 0; } .toolbar select { margin: 0; }
select { select {
padding: 7px 10px; background: var(--bg); color: var(--text); padding: 7px 10px; background: var(--bg); color: var(--text);
border: 1px solid var(--border); border-radius: 6px; font: inherit; border: 1px solid var(--border); border-radius: 6px; font: inherit;
} }
.chips { display: flex; flex-wrap: wrap; gap: 6px; } .chips { display: flex; flex-wrap: wrap; gap: 6px; }
.chip { .chip {
display: inline-flex; align-items: center; gap: 6px; padding: 4px 10px; border-radius: 14px; display: inline-flex; align-items: center; gap: 6px; padding: 4px 10px; border-radius: 14px;
border: 1px solid var(--border); color: var(--muted); font-size: 13px; white-space: nowrap; border: 1px solid var(--border); color: var(--muted); font-size: 13px; white-space: nowrap;
} }
.chip:hover { text-decoration: none; color: var(--text); } .chip:hover { text-decoration: none; color: var(--text); }
.chip.active { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } .chip.active { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
.chip .count { opacity: 0.75; font-variant-numeric: tabular-nums; } .chip .count { opacity: 0.75; font-variant-numeric: tabular-nums; }
th a { color: inherit; } th a { color: inherit; }
th a.sorted { color: var(--text); } th a.sorted { color: var(--text); }
.pager { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 12px; margin-top: 12px; color: var(--muted); font-size: 13px; } .pager { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 12px; margin-top: 12px; color: var(--muted); font-size: 13px; }
.pager .pages { display: flex; gap: 4px; flex-wrap: wrap; } .pager .pages { display: flex; gap: 4px; flex-wrap: wrap; }
.pager .pages a, .pager .pages span { min-width: 32px; text-align: center; padding: 4px 8px; border-radius: 6px; border: 1px solid var(--border); } .pager .pages a, .pager .pages span { min-width: 32px; text-align: center; padding: 4px 8px; border-radius: 6px; border: 1px solid var(--border); }
.pager .pages span.current { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } .pager .pages span.current { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
.pager .pages span.gap { border: none; } .pager .pages span.gap { border: none; }
.grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(150px, 1fr)); gap: 0 16px; } .grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(150px, 1fr)); gap: 0 16px; }
button, .button { button, .button {
display: inline-block; padding: 7px 14px; border-radius: 6px; border: 1px solid var(--border); display: inline-block; padding: 7px 14px; border-radius: 6px; border: 1px solid var(--border);
background: var(--panel); color: var(--text); font: inherit; cursor: pointer; background: var(--panel); color: var(--text); font: inherit; cursor: pointer;
} }
button:hover, .button:hover { text-decoration: none; filter: brightness(0.97); } button:hover, .button:hover { text-decoration: none; filter: brightness(0.97); }
button.primary, .button.primary { background: var(--accent); border-color: var(--accent); color: var(--accent-text); } button.primary, .button.primary { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
button:disabled { opacity: 0.5; cursor: not-allowed; } button:disabled { opacity: 0.5; cursor: not-allowed; }
button.link { background: none; border: none; padding: 0; color: var(--muted); } button.link { background: none; border: none; padding: 0; color: var(--muted); }
button.danger { background: var(--fail-bg); border-color: var(--fail-bg); color: var(--fail); } button.danger { background: var(--fail-bg); border-color: var(--fail-bg); color: var(--fail); }
button.link.danger { background: none; } button.link.danger { background: none; }
form.inline { display: inline; } form.inline { display: inline; }
.error { background: var(--fail-bg); color: var(--fail); padding: 10px 14px; border-radius: 6px; } .error { background: var(--fail-bg); color: var(--fail); padding: 10px 14px; border-radius: 6px; }
.warnings { background: var(--warn-bg); color: var(--warn); padding: 10px 14px; border-radius: 6px; margin: 12px 0; } .warnings { background: var(--warn-bg); color: var(--warn); padding: 10px 14px; border-radius: 6px; margin: 12px 0; }
.warnings ul { margin: 8px 0 0; padding-left: 20px; font-size: 13px; } .warnings ul { margin: 8px 0 0; padding-left: 20px; font-size: 13px; }
.danger-zone { margin-top: 32px; color: var(--muted); } .danger-zone { margin-top: 32px; color: var(--muted); }
.danger-zone form { margin-top: 12px; max-width: 420px; } .danger-zone form { margin-top: 12px; max-width: 420px; }
.danger-zone input { margin-bottom: 8px; } .danger-zone input { margin-bottom: 8px; }
.cmd { display: flex; gap: 8px; align-items: flex-start; margin: 16px 0; } .cmd { display: flex; gap: 8px; align-items: flex-start; margin: 16px 0; }
.cmd pre { flex: 1; margin: 0; padding: 12px; background: var(--code-bg); border-radius: 6px; white-space: pre-wrap; word-break: break-all; } .cmd pre { flex: 1; margin: 0; padding: 12px; background: var(--code-bg); border-radius: 6px; white-space: pre-wrap; word-break: break-all; }
pre.json { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 16px; overflow-x: auto; } pre.json { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 16px; overflow-x: auto; }
.login { margin: 10vh auto; } .login { margin: 10vh auto; }
.login form { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; } .login form { background: var(--panel); border: 1px solid var(--border); border-radius: 8px; padding: 20px; }
@media (max-width: 640px) { @media (max-width: 640px) {
main { padding: 16px; } main { padding: 16px; }
.top .wrap { padding: 10px 16px; } .top .wrap { padding: 10px 16px; }
.cards { grid-template-columns: 1fr; } .cards { grid-template-columns: 1fr; }
.cmd { flex-direction: column; } .cmd { flex-direction: column; }
} }