Полнота бэкапа: SSH, весь UFW, свои юниты, конфиги пакетов, системные параметры

Агент: - ssh: sshd_config(.d), ключи хоста, authorized_keys root и пользователей - system: весь /etc/ufw и /etc/default/ufw, /etc/sysctl.conf, /etc/hosts, свои файлы в /etc/cron.d (пакетные отсекаются через dpkg -S) - certs: /etc/letsencrypt, /root/.acme.sh; xui: сертификаты по путям из базы - docker: daemon.json и логины в registry; telegraf: /etc/default/telegraf - caddy: бинарник бэкапится, если Caddy собран с плагинами - units: свои systemd-юниты с состоянием enabled/active и drop-in *.service.d - etc: изменённые конфиги любых пакетов (dpkg conffiles) и свои файлы в /etc, кроме привязанного к железу и облаку - в манифесте: часовой пояс, swap, вручную поставленные пакеты; версия apt-пакета в строке категории - предупреждения: программы юнитов вне бэкапа, каталоги /opt и /usr/local/bin без категории, контейнеры без compose Restore: - часовой пояс, swap-файл, доустановка вручную поставленных пакетов - свои юниты включаются и запускаются как на старом сервере Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Бэкап fail2ban и своих geo-файлов 3x-ui
2026-10-17 15:19:34 +03:00 · 2026-10-17 14:24:21 +03:00 · 2026-10-06 22:42:32 +03:00 · 2026-10-06 22:34:59 +03:00 · 2026-10-06 22:29:26 +03:00 · 2026-10-06 22:18:01 +03:00
29 changed files with 1776 additions and 107 deletions
@@ -0,0 +1,2 @@
+* text=auto eol=lf
+*.sh text eol=lf
@@ -74,8 +74,27 @@ jobs:

          PUBLIC="${PUBLIC_URL:-https://gitea.hsrv.site}"
          DL="${PUBLIC%/}/${GITHUB_REPOSITORY}/releases/download/${TAG}"
-          NOTES="$(printf '## Обновление сервера\n\n```bash\nsudo curl -fsSL %s/backupctl-linux-amd64 -o /usr/local/bin/backupctl\nsudo chmod 755 /usr/local/bin/backupctl\nsudo install -d /opt/backup-master/dist\nfor a in amd64 arm64; do sudo curl -fsSL %s/backupctl-linux-$a -o /opt/backup-master/dist/backupctl-linux-$a; done\nsudo systemctl restart backup-master\n```\n\nАгенты обновляются той же командой `agent.sh` без `--token`: конфиг сохраняется.\n\n## Изменения\n\n%s\n' \
-            "${DL}" "${DL}" "${CHANGES}")"
+          # Работающий бинарник нельзя перезаписать (Text file busy) — качаем
+          # во временный файл и подменяем через mv.
+          NOTES="$(cat <<EOF
+          ## Обновление сервера
+
+          \`\`\`bash
+          REL=${DL}
+          sudo install -d /opt/backup-master/dist
+          for a in amd64 arm64; do sudo curl -fsSL "\$REL/backupctl-linux-\$a" -o "/opt/backup-master/dist/backupctl-linux-\$a"; done
+          sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-\$(dpkg --print-architecture)" /usr/local/bin/backupctl.new
+          sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl
+          sudo systemctl restart backup-master && backupctl version
+          \`\`\`
+
+          Агенты обновляются той же командой \`agent.sh\` без \`--token\`: конфиг сохраняется.
+
+          ## Изменения
+
+          ${CHANGES}
+          EOF
+          )"

          PAYLOAD="$(jq -n --arg tag "$TAG" --arg body "$NOTES" \
            '{tag_name: $tag, name: $tag, body: $body, draft: false, prerelease: false}')"
@@ -8,44 +8,117 @@

 Всё это делает один бинарник `backupctl`. Как он устроен внутри — в [docs/DESIGN.md](docs/DESIGN.md).

-## Сборка
-
-```bash
-make build      # dist/backupctl-linux-amd64, dist/backupctl-linux-arm64
-make test
-```
-
-Готовые бинарники собирает Gitea Actions. `.gitea/workflows/ci.yml` на каждый push и PR проверяет форматирование, запускает vet и тесты и собирает бинарники. `release.yml` на тег `v*` публикует релиз с `backupctl-linux-{amd64,arm64}`, `checksums.txt` и файлами из `deploy/`:
-
-```bash
-git tag v0.1.0 && git push origin v0.1.0
-```
-
-Без make:
-
-```bash
-CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" -o dist/backupctl-linux-amd64 ./cmd/backupctl
-```
-
 ## Установка сервера

+Ставим из [последнего релиза](https://gitea.hsrv.site/mrleo1nid/backup-master/releases/latest). Ссылка `releases/download/latest/...` всегда ведёт на свежую версию. Чтобы поставить конкретную версию, замените `latest` на тег, например `v0.1.0`.
+
 ```bash
+REL=https://gitea.hsrv.site/mrleo1nid/backup-master/releases/download/latest
+ARCH=$(dpkg --print-architecture)   # amd64 или arm64
+
+# пользователь и каталоги
 sudo useradd -r -s /usr/sbin/nologin -d /var/lib/backup-master backup-master
 sudo install -d -o backup-master -g backup-master -m 700 /var/lib/backup-master
 sudo install -d /opt/backup-master/dist
-sudo cp dist/backupctl-linux-* /opt/backup-master/dist/
-sudo cp dist/backupctl-linux-amd64 /usr/local/bin/backupctl
+
+# бинарники: свой — в /usr/local/bin, оба — в dist для раздачи агентам
+for a in amd64 arm64; do sudo curl -fsSL "$REL/backupctl-linux-$a" -o "/opt/backup-master/dist/backupctl-linux-$a"; done
+sudo curl -fsSL "$REL/checksums.txt" -o /tmp/backupctl-checksums.txt
+(cd /opt/backup-master/dist && grep backupctl-linux /tmp/backupctl-checksums.txt | sha256sum -c -)
+# через .new + mv: запущенный бинарник напрямую не перезаписать (Text file busy)
+sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl.new
+sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl
+backupctl version
+
+# администратор веб-морды
 sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd admin
-sudo cp deploy/backup-master.service /etc/systemd/system/   # поправьте BM_PUBLIC_URL
+
+# systemd: поправьте BM_PUBLIC_URL на внешний адрес сервера
+sudo curl -fsSL "$REL/backup-master.service" -o /etc/systemd/system/backup-master.service
+sudo sed -i 's|https://backup.example.com|https://backup.ВАШ-ДОМЕН|' /etc/systemd/system/backup-master.service
+sudo systemctl daemon-reload
 sudo systemctl enable --now backup-master
 ```

-Сервер слушает `127.0.0.1:8080`, TLS даёт Caddy (пример — `deploy/Caddyfile.example`). Агентам сервер раздаёт бинарники из `BM_DIST`. Для своей архитектуры сервер раздаёт сам себя.
+Сервер слушает `127.0.0.1:8080`, TLS даёт Caddy:

-В «Настройках» укажите топик ntfy. Уведомления приходят:
+```bash
+curl -fsSL "$REL/Caddyfile.example"   # блок для /etc/caddy/Caddyfile, замените домен
+sudo systemctl reload caddy
+```
+
+Агентам сервер раздаёт бинарники из `BM_DIST` (`/opt/backup-master/dist`).
+
+### Caddy на другом хосте (например, сервер в VM Proxmox, Caddy на хосте)
+
+Здесь Caddy проксирует не на `127.0.0.1`, а на IP виртуалки. В примере VM — `10.0.0.10`, хост Proxmox — `10.0.0.1`.
+
+На VM сервис должен слушать сеть, а порт должен быть открыт только хосту с Caddy:
+
+```bash
+sudo sed -i 's|BM_LISTEN=127.0.0.1:8080|BM_LISTEN=0.0.0.0:8080|' /etc/systemd/system/backup-master.service
+sudo systemctl daemon-reload && sudo systemctl restart backup-master
+sudo ufw allow from 10.0.0.1 to any port 8080 proto tcp   # если на VM включён UFW
+```
+
+На хосте с Caddy сначала проверьте доступ — должно вернуться `ok`:
+
+```bash
+curl -s http://10.0.0.10:8080/healthz
+```
+
+Затем укажите в Caddyfile адрес VM:
+
+```
+backup.example.com {
+	request_body {
+		max_size 200GB
+	}
+	reverse_proxy 10.0.0.10:8080 {
+		transport http {
+			read_timeout 6h
+			write_timeout 6h
+		}
+	}
+}
+```
+
+```bash
+sudo systemctl reload caddy
+```
+
+`BM_TRUST_PROXY=1` (включён в юните) говорит серверу брать IP клиента из `X-Forwarded-For` от Caddy — по нему ограничивается перебор пароля. Поэтому порт 8080 должен быть доступен **только** с хоста Caddy, иначе заголовок можно подделать. Если включён файрвол Proxmox для VM, разрешите 8080 и там.
+
+Если Caddy с хоста получает 502, а на VM `curl http://127.0.0.1:8080/healthz` отвечает `ok`, проблема в `BM_LISTEN` или в файрволе.
+
+### Администратор
+
+Логин и пароль задаёт одна команда. Её же используют, чтобы сменить логин, пароль или оба сразу. Перезапуск сервиса не нужен, все открытые сессии сбрасываются:
+
+```bash
+sudo -u backup-master BM_DATA=/var/lib/backup-master backupctl admin-passwd новый_логин
+```
+
+**Обновление сервера:** снова выполните блок «бинарники», затем `sudo systemctl restart backup-master`. Агенты обновляются командой `curl -fsSL https://backup.ВАШ-ДОМЕН/agent.sh | sudo bash` без `--token`, конфиг при этом сохраняется.
+
+### Уведомления
+
+В «Настройках» включаются каналы: **ntfy** и/или **Telegram**. Оба необязательные, уведомления уходят во все настроенные.
+
+Уведомления приходят:
 - об ошибках бэкапа;
 - когда от клиента нет бэкапа дольше заданного срока (по умолчанию 26 ч);
- если включено — и об успешных бэкапах.
+- если включено — и об успешных бэкапах. В Telegram они приходят без звука.
+
+Каждое уведомление содержит ссылку на карточку клиента.
+
+Как подключить Telegram:
+1. Создайте бота у [@BotFather](https://t.me/BotFather) и скопируйте токен.
+2. Напишите боту что-нибудь (или добавьте его в группу). Затем откройте `https://api.telegram.org/bot<токен>/getUpdates` и возьмите `chat.id`. У групп он вида `-100…`.
+3. В «Настройках» укажите токен и chat id. Чатов можно несколько, через запятую. Для группы с темами дополнительно укажите ID темы.
+4. Отметьте «Отправить тестовое уведомление» и сохраните — на странице будет видно, дошло ли сообщение в каждый канал.
+
+Если `api.telegram.org` недоступен с сервера бэкапов, укажите в поле «Адрес Bot API» свой [Bot API сервер](https://github.com/tdlib/telegram-bot-api) или прокси.

 ## Добавление клиента

@@ -78,13 +151,16 @@ curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_..

 1. Показывается сводка бэкапа и запрашивается подтверждение.
 2. Базовая подготовка системы (`internal/restore/provision.sh`): пользователь с sudo, hostname, fail2ban, UFW, blocklist, SSH hardening. Docker, Caddy и Telegraf ставятся **тех же версий apt-пакетов**, если такие версии ещё есть в репозитории. Спрашиваются только логин и пароль пользователя.
-3. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома.
-4. Категории восстанавливаются по порядку:
+3. Системные параметры старого сервера: часовой пояс (от него зависит время cron-заданий), swap-файл того же размера, вручную поставленные пакеты (`apt-mark showmanual`), если они есть в репозиториях.
+4. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома.
+5. Категории восстанавливаются по порядку:
   - 3x-ui, Nebula и sing-box ставятся той версии, что была на старом сервере. Если скачать не получилось, используется копия бинарника из бэкапа;
   - база x-ui кладётся на место;
   - compose-проекты: образы закрепляются по digest (`compose.restore.yml`), базы поднимаются, в них заливаются дампы, затем запускается весь проект;
-   - systemd-сервисы включаются и запускаются так, как было на старом сервере.
-5. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка.
+   - systemd-сервисы включаются и запускаются так, как было на старом сервере;
+   - sshd проверяется (`sshd -t`) и перезапускается со старым конфигом и ключами хоста;
+   - свои systemd-юниты включаются и запускаются как на старом сервере.
+6. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка. Перезагрузка нужна в том числе для того, чтобы все сервисы перечитали восстановленные конфиги.

 Флаги:
 - `--backup ID` — конкретный бэкап;
@@ -98,17 +174,32 @@ curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_..

 | Категория | Что входит |
 |---|---|
-| system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` |
-| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, версия 3x-ui |
+| system | весь `/etc/ufw` и `/etc/default/ufw`, все crontab (`/var/spool/cron/crontabs`) и свои файлы `/etc/cron.d`, `/etc/sysctl.conf`, `/etc/sysctl.d`, `/etc/hosts`, `ban.sh` |
+| ssh | `sshd_config`, `sshd_config.d`, ключи хоста, `authorized_keys` root и пользователей |
+| certs | `/etc/letsencrypt`, `/root/.acme.sh` |
+| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, свои geo-файлы `/usr/local/x-ui/bin/*.dat` (ipcheck, discord и т.п., кроме штатных), сертификаты по путям из базы (панель, подписка, инбаунды), версия 3x-ui |
+| fail2ban | `jail.local`, `jail.d/` (в т.ч. `3x-ipl.local`), IP-лимит 3x-ui (`filter.d`/`action.d/3x-ipl.conf`), свои `*.local`; при восстановлении создаются логи `3xipl.log` |
 | nebula | `/etc/nebula`, юнит, версия |
-| caddy | `/etc/caddy`, `/var/www`, сертификаты |
-| telegraf | `/etc/telegraf`, sudoers |
+| caddy | `/etc/caddy`, `/var/www`, сертификаты; бинарник — если Caddy собран с плагинами |
+| telegraf | `/etc/telegraf`, sudoers, `/etc/default/telegraf` |
+| docker | `/etc/docker/daemon.json`, логины в registry (`/root/.docker/config.json`) |
 | sing-box-warp | `/opt/sing-box-warp`, `/etc/sing-box-warp`, юнит, sysctl, версия sing-box-extended |
 | scripts | `/var/scripts`, `update-geosite.sh` |
 | pnvpanel | `/opt/PnvPanel` целиком, кроме `pgdata`; `pg_dump`; том `ticket_uploads` |
 | stoat | `/opt/stoat`, кроме `data/db` и `data/rabbit`; `mongodump`; `data/minio` идёт отдельной heavy-частью раз в неделю |
 | stoat-mbot | `/opt/stoat-mbot` целиком, восстанавливается после stoat |
+| etc | страховка: изменённые конфиги любых пакетов (`dpkg` conffiles) и свои файлы в `/etc`, кроме привязанного к железу и облаку (сеть, диски, cloud-init, apt, загрузчик) |
 | psiphon | отключён |
+| units | свои systemd-юниты (не из пакетов) с состоянием enabled/active и drop-in переопределения `*.service.d` |
+
+Кроме файлов, в манифест записываются часовой пояс, swap и список вручную поставленных пакетов.
+
+Агент ищет то, что могло не попасть в бэкап, и показывает это в карточке клиента как предупреждения:
+- скрипты из crontab и программы из юнитов, которые не покрыты ни одной категорией;
+- каталоги в `/opt` и программы в `/usr/local/bin` и `/usr/local/sbin` без категории;
+- контейнеры, запущенные через `docker run`, а не через compose.
+
+Ненужное убирается глобальным `exclude` в конфиге клиента.

 Compose-проекты, которых нет в каталоге, находятся автоматически (`docker compose ls`). Они бэкапятся с настройками по умолчанию и помечаются в морде как «авто». Базы распознаются по образу (postgres, mongo, mysql, mariadb) и дампятся без остановки.

@@ -126,6 +217,29 @@ categories:
        restore_cmd: mysql < "$DUMP_FILE"
 ```

+## Сборка из исходников
+
+```bash
+make build      # dist/backupctl-linux-amd64, dist/backupctl-linux-arm64
+make test
+```
+
+Без make:
+
+```bash
+CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" -o dist/backupctl-linux-amd64 ./cmd/backupctl
+```
+
+CI (Gitea Actions):
+- `.gitea/workflows/ci.yml` на каждый push и PR проверяет форматирование, запускает vet и тесты и собирает бинарники;
+- `release.yml` на тег `v*` публикует релиз с бинарниками, `checksums.txt` и файлами из `deploy/`.
+
+Новый релиз:
+
+```bash
+git tag v0.2.0 && git push origin v0.2.0
+```
+
 ## Хранение

 Бэкапы лежат в `/var/lib/backup-master/backups/<домен>/<дата>-<id>/`: `main.tar.zst`, heavy-части и `manifest.json`. Архив — обычный tar+zstd, его можно разобрать и без backupctl:
@@ -93,14 +93,18 @@ func Collect(ctx context.Context, cat *catalog.Config, spool string, heavyDue bo
 	c.plan.Manifest.Parts = []string{manifest.MainPart}
 	c.fillSystem()

-	var composeSpecs []catalog.Spec
+	var composeSpecs, unitSpecs []catalog.Spec
 	for _, s := range cat.Categories {
 		if s.Disabled {
 			continue
 		}
-		if s.Type == catalog.TypeCompose {
+		switch s.Type {
+		case catalog.TypeCompose:
 			composeSpecs = append(composeSpecs, s)
 			continue
+		case catalog.TypeUnits:
+			unitSpecs = append(unitSpecs, s) // после остальных: им нужно знать, что уже покрыто
+			continue
 		}
 		mc, err := c.collectSpec(s)
 		if err != nil {
@@ -113,7 +117,13 @@ func Collect(ctx context.Context, cat *catalog.Config, spool string, heavyDue bo
 	if err := c.collectCompose(composeSpecs); err != nil {
 		return nil, err
 	}
+	for _, s := range unitSpecs {
+		if mc := c.collectUnits(s); mc != nil {
+			c.plan.Manifest.Categories = append(c.plan.Manifest.Categories, *mc)
+		}
+	}
 	c.checkCron()
+	c.checkCoverage()
 	return c.plan, nil
 }

@@ -139,6 +149,11 @@ func (c *collector) fillSystem() {
 		SSHHardened: sysx.Exists("/etc/ssh/sshd_config.d/00-hardening.conf"),
 	}
 	m.SudoUsers = sysx.GroupMembers("sudo")
+	m.Timezone = sysx.Timezone(c.ctx)
+	for p, size := range sysx.SwapFiles() {
+		m.Swap = append(m.Swap, manifest.SwapFile{Path: p, Size: size})
+	}
+	m.ManualPackages = sysx.ManualPackages(c.ctx)
 }

 // collectSpec обрабатывает категории files/systemd/xui. nil — категория неактивна.
@@ -155,13 +170,28 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 		RestoreAfter: s.RestoreAfter,
 	}
 	skip := archive.NewMatcher(c.cat.Exclude, s.Exclude)
-	for _, p := range s.Paths {
+	for _, p := range expandPaths(s.Paths) {
 		if !sysx.Exists(p) {
 			continue
 		}
 		mc.Paths = append(mc.Paths, p)
 		c.add(manifest.MainPart, filesItem(s.Name, p, skip))
 	}
+	extra := c.unowned(s.Unowned)
+	if s.ModifiedConffiles {
+		extra = append(extra, sysx.ModifiedConffiles(c.ctx)...)
+	}
+	if len(extra) > 0 {
+		covered := c.covered() // то, что уже взяли другие категории, не дублируем
+		for _, p := range extra {
+			ps := filepath.ToSlash(p)
+			if archive.Covers(mc.Paths, ps) || archive.Covers(covered, ps) || skip.Match(ps) {
+				continue
+			}
+			mc.Paths = append(mc.Paths, p)
+			c.add(manifest.MainPart, filesItem(s.Name, p, skip))
+		}
+	}

 	if s.Type == catalog.TypeXUI {
 		if err := c.snapshotXUI(mc); err != nil {
@@ -177,7 +207,11 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 		return nil, nil
 	}

-	for _, b := range s.KeepBinaries {
+	keepBins := s.KeepBinaries
+	if s.KeepBinariesIf != "" && sysx.Shell(c.ctx, s.KeepBinariesIf) != nil {
+		keepBins = nil
+	}
+	for _, b := range expandPaths(keepBins) {
 		if sysx.Exists(b) {
 			mc.Binaries = append(mc.Binaries, b)
 			c.add(manifest.MainPart, binItem(s.Name, b))
@@ -186,6 +220,15 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 	if len(s.VersionCmd) > 0 && sysx.Exists(s.VersionCmd[0]) {
 		mc.Version = c.version(s)
 	}
+	if mc.Version == "" && s.Service != "" {
+		// сервис из apt-пакета с тем же именем (caddy, telegraf, docker → docker-ce)
+		for _, pkg := range []string{s.Service, s.Service + "-ce"} {
+			if v := c.plan.Manifest.Packages[pkg]; v != "" {
+				mc.Version = v
+				break
+			}
+		}
+	}
 	if s.Service != "" && sysx.UnitLoaded(c.ctx, s.Service) {
 		en, ac := sysx.UnitState(c.ctx, s.Service)
 		mc.Service = &manifest.ServiceState{Unit: s.Service, Enabled: en, Active: ac}
@@ -236,6 +279,52 @@ func (c *collector) cmdDump(cat string, d catalog.CmdDump, mc *manifest.Category
 	return nil
 }

+// expandPaths раскрывает маски (*, ?, [...]) в путях категории; пути без масок — как есть.
+func expandPaths(paths []string) []string {
+	var out []string
+	for _, p := range paths {
+		if !strings.ContainsAny(p, "*?[") {
+			out = append(out, p)
+			continue
+		}
+		m, _ := filepath.Glob(p)
+		out = append(out, m...)
+	}
+	return out
+}
+
+// unowned раскрывает маски и оставляет только обычные файлы, не принадлежащие пакетам.
+func (c *collector) unowned(patterns []string) []string {
+	var files []string
+	for _, p := range expandPaths(patterns) {
+		if fi, err := os.Lstat(p); err == nil && fi.Mode().IsRegular() {
+			files = append(files, p)
+		}
+	}
+	owned := sysx.DpkgOwned(c.ctx, files)
+	var out []string
+	for _, f := range files {
+		if !owned[f] {
+			out = append(out, f)
+		}
+	}
+	return out
+}
+
+// covered — все пути, которые уже попадают в бэкап (для проверок покрытия).
+func (c *collector) covered() []string {
+	var out []string
+	for _, mc := range c.plan.Manifest.Categories {
+		for _, p := range mc.Paths {
+			out = append(out, filepath.ToSlash(p))
+		}
+		for _, p := range mc.Binaries {
+			out = append(out, filepath.ToSlash(p))
+		}
+	}
+	return out
+}
+
 func anyExists(paths []string) bool {
 	for _, p := range paths {
 		if sysx.Exists(p) {
@@ -0,0 +1,95 @@
+package agent
+
+import (
+	"os"
+	"path/filepath"
+	"slices"
+	"testing"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog"
+)
+
+func TestExpandPaths(t *testing.T) {
+	dir := t.TempDir()
+	for _, n := range []string{"ipcheck.dat", "geoip.dat", "x.txt"} {
+		if err := os.WriteFile(filepath.Join(dir, n), nil, 0o644); err != nil {
+			t.Fatal(err)
+		}
+	}
+	got := expandPaths([]string{filepath.Join(dir, "*.dat"), "/etc/x-ui", filepath.Join(dir, "*.none")})
+	want := []string{filepath.Join(dir, "geoip.dat"), filepath.Join(dir, "ipcheck.dat"), "/etc/x-ui"}
+	if !slices.Equal(got, want) {
+		t.Fatalf("expandPaths = %v, want %v", got, want)
+	}
+}
+
+// Свои geo-файлы попадают в бэкап, штатные из релиза 3x-ui — нет.
+func TestXUIGeoExcludes(t *testing.T) {
+	cat, err := catalog.Default()
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := cat.Find("xui")
+	skip := archive.NewMatcher(cat.Exclude, s.Exclude)
+	cases := map[string]bool{
+		"/usr/local/x-ui/bin/ipcheck.dat":         false,
+		"/usr/local/x-ui/bin/discord-geosite.dat": false,
+		"/usr/local/x-ui/bin/geoip.dat":           true,
+		"/usr/local/x-ui/bin/geosite_RU.dat":      true,
+		"/usr/local/x-ui/bin/geoip_IR.dat":        true,
+		"/usr/local/x-ui/bin/ipcheck.dat.bak":     true,
+		"/etc/x-ui/x-ui.db":                       true,
+	}
+	for p, want := range cases {
+		if got := skip.Match(p); got != want {
+			t.Errorf("exclude(%s) = %v, want %v", p, got, want)
+		}
+	}
+	f2b := cat.Find("fail2ban")
+	if f2b == nil || !slices.Contains(f2b.Paths, "/etc/fail2ban/jail.d") || !slices.Contains(f2b.Paths, "/etc/fail2ban/filter.d/3x-ipl.conf") {
+		t.Fatalf("категория fail2ban: %+v", f2b)
+	}
+}
+
+func TestUnitExecPaths(t *testing.T) {
+	f := filepath.Join(t.TempDir(), "x.service")
+	unit := "[Service]\nExecStartPre=-/opt/app/prepare.sh --x\nExecStart=/usr/local/bin/app run\nExecReload=/bin/kill -HUP $MAINPID\nEnvironment=A=/tmp/x\n"
+	if err := os.WriteFile(f, []byte(unit), 0o644); err != nil {
+		t.Fatal(err)
+	}
+	got := unitExecPaths(f)
+	want := []string{"/opt/app/prepare.sh", "/usr/local/bin/app", "/bin/kill"}
+	if !slices.Equal(got, want) {
+		t.Fatalf("unitExecPaths = %v, want %v", got, want)
+	}
+}
+
+func TestEtcCategoryExcludes(t *testing.T) {
+	cat, err := catalog.Default()
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := cat.Find("etc")
+	if s == nil || !s.ModifiedConffiles {
+		t.Fatal("нет категории etc")
+	}
+	skip := archive.NewMatcher(cat.Exclude, s.Exclude)
+	for p, want := range map[string]bool{
+		"/etc/netplan/50-cloud-init.yaml":        true,
+		"/etc/apt/sources.list.d/ubuntu.sources": true,
+		"/etc/systemd/system/my.service":         true,
+		"/etc/fstab":                             true,
+		"/etc/wireguard/wg0.conf":                false,
+		"/etc/nginx/sites-available/site":        false,
+		"/etc/security/limits.conf":              false,
+		"/etc/systemd/journald.conf":             false,
+	} {
+		if got := skip.Match(p); got != want {
+			t.Errorf("etc exclude(%s) = %v, want %v", p, got, want)
+		}
+	}
+	if cat.Find("units") == nil || cat.Find("ssh") == nil || cat.Find("docker") == nil {
+		t.Fatal("нет категорий units/ssh/docker")
+	}
+}
@@ -0,0 +1,137 @@
+package agent
+
+import (
+	"bufio"
+	"os"
+	"path/filepath"
+	"slices"
+	"strings"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/manifest"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/sysx"
+)
+
+// collectUnits собирает свои systemd-юниты (не из пакетов и не описанные другими
+// категориями) вместе с состоянием enabled/active, а также drop-in каталоги *.d —
+// переопределения пакетных юнитов (например, docker.service.d/override.conf).
+func (c *collector) collectUnits(s catalog.Spec) *manifest.Category {
+	mc := &manifest.Category{Name: s.Name, Type: catalog.TypeUnits, PostRestore: s.PostRestore, RestoreAfter: s.RestoreAfter}
+	covered := c.covered()
+	services := map[string]bool{}
+	for _, cat := range c.plan.Manifest.Categories {
+		if cat.Service != nil {
+			services[cat.Service.Unit] = true
+		}
+	}
+	skip := archive.NewMatcher(c.cat.Exclude, s.Exclude)
+
+	for _, f := range c.unowned(s.Unowned) {
+		unit := filepath.Base(f)
+		name := strings.TrimSuffix(strings.TrimSuffix(unit, ".service"), ".timer")
+		if archive.Covers(covered, filepath.ToSlash(f)) || services[name] || services[unit] {
+			continue
+		}
+		mc.Paths = append(mc.Paths, f)
+		c.add(manifest.MainPart, filesItem(s.Name, f, skip))
+		st := manifest.ServiceState{Unit: unit}
+		if sysx.UnitLoaded(c.ctx, unit) {
+			st.Enabled, st.Active = sysx.UnitState(c.ctx, unit)
+		}
+		mc.Units = append(mc.Units, st)
+		c.checkExec(unit, f, covered)
+	}
+	for _, d := range expandPaths(s.Paths) {
+		if fi, err := os.Stat(d); err != nil || !fi.IsDir() || archive.Covers(covered, filepath.ToSlash(d)) {
+			continue
+		}
+		mc.Paths = append(mc.Paths, d)
+		c.add(manifest.MainPart, filesItem(s.Name, d, skip))
+	}
+	if len(mc.Paths) == 0 {
+		return nil
+	}
+	return mc
+}
+
+// checkExec предупреждает, если юнит запускает программу, которая не попадает в бэкап
+// и не ставится пакетом: после восстановления такой сервис не стартует.
+func (c *collector) checkExec(unit, file string, covered []string) {
+	var missing []string
+	for _, p := range unitExecPaths(file) {
+		if archive.Covers(covered, p) || archive.Covers(systemBinDirs, p) || slices.Contains(missing, p) {
+			continue
+		}
+		if !sysx.Exists(p) {
+			continue
+		}
+		if sysx.DpkgOwned(c.ctx, []string{p})[p] {
+			continue
+		}
+		missing = append(missing, p)
+	}
+	for _, p := range missing {
+		c.warn("юнит %s запускает %s, но он не попадает в бэкап — добавьте путь в категорию", unit, p)
+	}
+}
+
+// unitExecPaths извлекает пути программ из Exec*= строк unit-файла.
+func unitExecPaths(file string) []string {
+	f, err := os.Open(file)
+	if err != nil {
+		return nil
+	}
+	defer f.Close()
+	var out []string
+	sc := bufio.NewScanner(f)
+	for sc.Scan() {
+		k, v, ok := strings.Cut(strings.TrimSpace(sc.Text()), "=")
+		if !ok || !strings.HasPrefix(k, "Exec") {
+			continue
+		}
+		// префиксы systemd: -, @, :, +, !
+		v = strings.TrimLeft(strings.TrimSpace(v), "-@:+!")
+		if fields := strings.Fields(v); len(fields) > 0 && strings.HasPrefix(fields[0], "/") {
+			out = append(out, fields[0])
+		}
+	}
+	return out
+}
+
+// checkCoverage ищет типичные места, где лежит что-то своё, не попавшее в бэкап:
+// каталоги в /opt, программы в /usr/local/bin и sbin, контейнеры без compose.
+func (c *collector) checkCoverage() {
+	covered := c.covered()
+	ignore := []string{"/opt/containerd", "/usr/local/bin/backupctl"}
+	for _, s := range c.cat.Categories {
+		if s.Disabled && s.Dir != "" {
+			ignore = append(ignore, filepath.ToSlash(s.Dir)) // отключено сознательно
+		}
+	}
+	check := func(pattern, what string) {
+		matches, _ := filepath.Glob(pattern)
+		for _, p := range matches {
+			ps := filepath.ToSlash(p)
+			if archive.Covers(covered, ps) || slices.Contains(ignore, ps) || c.global.Match(ps) {
+				continue
+			}
+			c.warn("%s %s не попадает в бэкап — добавьте его в категорию или в глобальный exclude, если он не нужен", what, p)
+		}
+	}
+	check("/opt/*", "каталог")
+	check("/usr/local/bin/*", "программа")
+	check("/usr/local/sbin/*", "программа")
+
+	if sysx.HasCommand("docker") {
+		out, err := sysx.Output(c.ctx, "docker", "ps", "--format", `{{.Names}}	{{.Label "com.docker.compose.project"}}`)
+		if err == nil {
+			for _, line := range strings.Split(out, "\n") {
+				name, project, _ := strings.Cut(line, "\t")
+				if name != "" && project == "" {
+					c.warn("контейнер %s запущен без docker compose (docker run) — его настройки и данные не бэкапятся", name)
+				}
+			}
+		}
+	}
+}
@@ -5,9 +5,12 @@ import (
 	"fmt"
 	"os"
 	"path/filepath"
+	"regexp"
 	"strings"

+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
 	"gitea.hsrv.site/mrleo1nid/backup-master/internal/manifest"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/sysx"

 	_ "modernc.org/sqlite"
 )
@@ -32,9 +35,63 @@ func (c *collector) snapshotXUI(mc *manifest.Category) error {
 	}
 	mc.Dumps = append(mc.Dumps, manifest.Dump{Name: "x-ui.db", Kind: "sqlite", Target: xuiDB})
 	c.add(manifest.MainPart, dumpItem(mc.Name, out, "x-ui.db"))
+
+	// сертификаты панели, подписки и инбаундов могут лежать где угодно — берём пути из базы
+	for _, p := range xuiCertPaths(out) {
+		if !sysx.Exists(p) {
+			c.warn("xui: в настройках указан %s, но файла нет", p)
+			continue
+		}
+		if archive.Covers(mc.Paths, filepath.ToSlash(p)) {
+			continue
+		}
+		mc.Paths = append(mc.Paths, p)
+		c.add(manifest.MainPart, filesItem(mc.Name, p, nil))
+	}
 	return nil
 }

+var certFileRe = regexp.MustCompile(`"(?:certificateFile|keyFile)"\s*:\s*"([^"]+)"`)
+
+// xuiCertPaths читает из снимка базы 3x-ui пути к сертификатам и ключам.
+func xuiCertPaths(dbPath string) []string {
+	db, err := sql.Open("sqlite", "file:"+dbPath+"?mode=ro")
+	if err != nil {
+		return nil
+	}
+	defer db.Close()
+	seen := map[string]bool{}
+	var out []string
+	addPath := func(p string) {
+		p = strings.TrimSpace(p)
+		if strings.HasPrefix(p, "/") && !seen[p] {
+			seen[p] = true
+			out = append(out, p)
+		}
+	}
+	if rows, err := db.Query(`SELECT value FROM settings WHERE key IN ('webCertFile','webKeyFile','subCertFile','subKeyFile')`); err == nil {
+		for rows.Next() {
+			var v string
+			if rows.Scan(&v) == nil {
+				addPath(v)
+			}
+		}
+		rows.Close()
+	}
+	if rows, err := db.Query(`SELECT stream_settings FROM inbounds`); err == nil {
+		for rows.Next() {
+			var v string
+			if rows.Scan(&v) == nil {
+				for _, m := range certFileRe.FindAllStringSubmatch(v, -1) {
+					addPath(m[1])
+				}
+			}
+		}
+		rows.Close()
+	}
+	return out
+}
+
 func vacuumInto(src, dst string) error {
 	_ = os.Remove(dst)
 	db, err := sql.Open("sqlite", "file:"+src+"?_pragma=busy_timeout(10000)")
@@ -17,6 +17,8 @@ const (
 	TypeSystemd = "systemd"
 	TypeXUI     = "xui"
 	TypeCompose = "compose"
+	// TypeUnits — свои systemd-юниты (не из пакетов) с состоянием enabled/active.
+	TypeUnits = "units"
 )

 type Config struct {
@@ -33,12 +35,20 @@ type Spec struct {
 	Detect   []string `yaml:"detect,omitempty"` // категория активна, если существует хоть один путь
 	Paths    []string `yaml:"paths,omitempty"`
 	Exclude  []string `yaml:"exclude,omitempty"`
+	// Unowned — маски файлов, которые берутся, только если они не принадлежат
+	// ни одному пакету (dpkg -S): свои файлы в /etc/cron.d, /etc/systemd/system и т.п.
+	Unowned []string `yaml:"unowned,omitempty"`
+	// ModifiedConffiles — добавить конфиги пакетов, изменённые относительно поставки.
+	ModifiedConffiles bool `yaml:"modified_conffiles,omitempty"`

 	Service      string   `yaml:"service,omitempty"`
 	VersionCmd   []string `yaml:"version_cmd,omitempty"`
 	VersionRegex string   `yaml:"version_regex,omitempty"`
 	Install      string   `yaml:"install,omitempty"`       // recipe: nebula, xui, sing-box-extended
 	KeepBinaries []string `yaml:"keep_binaries,omitempty"` // fallback-копии бинарников
+	// KeepBinariesIf — shell-условие: keep_binaries берутся, только если оно истинно
+	// (например, Caddy собран с плагинами и из apt его не вернуть).
+	KeepBinariesIf string    `yaml:"keep_binaries_if,omitempty"`
 	EnsureDirs     []string  `yaml:"ensure_dirs,omitempty"`
 	PostRestore    []string  `yaml:"post_restore,omitempty"`
 	Dumps          []CmdDump `yaml:"dumps,omitempty"`
@@ -127,7 +137,7 @@ func (c *Config) Validate() error {
 			continue
 		}
 		switch s.Type {
-		case TypeFiles, TypeSystemd, TypeXUI:
+		case TypeFiles, TypeSystemd, TypeXUI, TypeUnits:
 		case TypeCompose:
 			if s.Dir == "" && s.Project == "" {
 				return fmt.Errorf("категория %q: для compose нужен dir или project", s.Name)
@@ -10,26 +10,79 @@ categories:
  - name: system
    type: files
    paths:
-      - /etc/ufw/user.rules
-      - /etc/ufw/user6.rules
-      - /var/spool/cron/crontabs
-      - /etc/cron.d/ban-blacklist
+      - /etc/ufw # правила, before/after.rules (NAT, форвардинг), /etc/ufw/sysctl.conf
+      - /etc/default/ufw
+      - /var/spool/cron/crontabs # crontab root (sudo crontab -e) и пользователей
      - /usr/local/sbin/ban.sh
+      - /etc/sysctl.conf # BBR, форвардинг и прочие правки ядра
      - /etc/sysctl.d
+      - /etc/hosts
+    # свои задания в /etc/cron.d (пакетные пропускаются)
+    unowned: ["/etc/cron.d/*"]
    post_restore:
      - "ufw reload || true"
      - "sysctl --system >/dev/null || true"

+  # SSH: ключи входа, ключи хоста (клиенты не увидят «host key changed») и конфиг sshd
+  # (порт, запрет паролей). После распаковки sshd проверяется и перезапускается.
+  - name: ssh
+    type: files
+    paths:
+      - /etc/ssh/sshd_config
+      - /etc/ssh/sshd_config.d
+      - /etc/ssh/ssh_host_*
+      - /root/.ssh/authorized_keys
+      - /home/*/.ssh/authorized_keys
+    restore_after: [system]
+    post_restore:
+      - "sshd -t && systemctl daemon-reload && (systemctl restart ssh.socket 2>/dev/null; systemctl restart ssh) || echo '!!! sshd: конфиг не прошёл проверку, оставлен старый процесс — проверьте sshd -t'"
+
+  # сертификаты, выпущенные вне Caddy: certbot и acme.sh (его использует x-ui для SSL панели)
+  - name: certs
+    type: files
+    paths: [/etc/letsencrypt, /root/.acme.sh]
+
  - name: xui
    type: xui
    detect: [/usr/local/x-ui/x-ui]
-    paths: [/etc/x-ui, /root/cert]
-    exclude: ["/etc/x-ui/x-ui.db*"]
+    paths:
+      - /etc/x-ui
+      - /root/cert
+      # свои geo-файлы (ipcheck.dat, discord-*.dat и т.п.): на них ссылается роутинг,
+      # без них Xray не стартует; штатные geo*.dat приходят с релизом 3x-ui
+      - /usr/local/x-ui/bin/*.dat
+    exclude:
+      - "/etc/x-ui/x-ui.db*"
+      - "/usr/local/x-ui/bin/geoip.dat"
+      - "/usr/local/x-ui/bin/geosite.dat"
+      - "/usr/local/x-ui/bin/geo*_IR.dat"
+      - "/usr/local/x-ui/bin/geo*_RU.dat"
+      - "*.bak"
    service: x-ui
    version_cmd: [/usr/local/x-ui/x-ui, -v]
    install: xui
    keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service]

+  # fail2ban: свои jail'ы (jail.local, jail.d/*.local) и IP-лимит 3x-ui (3x-ipl).
+  # Штатные filter.d/action.d ставит пакет — берём только файлы 3x-ui и свои *.local.
+  - name: fail2ban
+    type: systemd
+    detect: [/etc/fail2ban]
+    paths:
+      - /etc/fail2ban/jail.local
+      - /etc/fail2ban/jail.d
+      - /etc/fail2ban/fail2ban.local
+      - /etc/fail2ban/fail2ban.conf # 3x-ui включает в нём allowipv6
+      - /etc/fail2ban/filter.d/3x-ipl.conf
+      - /etc/fail2ban/action.d/3x-ipl.conf
+      - /etc/fail2ban/filter.d/*.local
+      - /etc/fail2ban/action.d/*.local
+    service: fail2ban
+    restore_after: [system, xui]
+    post_restore:
+      # jail 3x-ipl читает лог x-ui: без файла fail2ban не поднимет jail
+      - "if ls /etc/fail2ban/jail.d/3x-ipl* >/dev/null 2>&1; then mkdir -p /var/log/x-ui && touch /var/log/x-ui/3xipl.log /var/log/x-ui/3xipl-banned.log; fi"
+
  - name: nebula
    type: systemd
    detect: [/etc/nebula]
@@ -44,13 +97,22 @@ categories:
    detect: [/etc/caddy/Caddyfile]
    paths: [/etc/caddy, /var/www, /var/lib/caddy/.local/share/caddy]
    service: caddy
+    # Caddy с плагинами (xcaddy, caddy add-package) из apt не вернуть — тогда бэкапим бинарник
+    keep_binaries: [/usr/bin/caddy]
+    keep_binaries_if: "caddy list-modules --packages 2>/dev/null | grep -Eq 'Non-standard modules: [1-9]'"

  - name: telegraf
    type: systemd
    detect: [/etc/telegraf]
-    paths: [/etc/telegraf, /etc/sudoers.d/telegraf]
+    paths: [/etc/telegraf, /etc/sudoers.d/telegraf, /etc/default/telegraf]
    service: telegraf

+  # настройки демона docker (логи, MTU, IPv6) и логины в приватные registry
+  - name: docker
+    type: systemd
+    paths: [/etc/docker/daemon.json, /root/.docker/config.json]
+    service: docker
+
  - name: sing-box-warp
    type: systemd
    detect: [/opt/sing-box-warp]
@@ -70,6 +132,43 @@ categories:
    type: files
    paths: [/var/scripts, /usr/local/bin/update-geosite.sh]

+  # Страховка: всё своё в /etc, не описанное выше, — изменённые конфиги любых пакетов
+  # (dpkg conffiles: nginx, limits.conf, journald и т.п.) и файлы, не принадлежащие
+  # ни одному пакету (ключи wireguard, свои конфиги). Привязанное к железу и облаку
+  # (сеть, диски, cloud-init, зеркала apt, загрузчик) исключено — на новом VPS оно своё.
+  - name: etc
+    type: files
+    modified_conffiles: true
+    unowned: ["/etc/*/*", "/etc/*/*/*"]
+    exclude:
+      - /etc/netplan
+      - /etc/network
+      - /etc/NetworkManager
+      - /etc/systemd/network
+      - /etc/systemd/system # юниты собирает категория units
+      - /etc/cloud
+      - /etc/landscape
+      - /etc/ubuntu-advantage
+      - /etc/apt
+      - /etc/udev
+      - /etc/fstab
+      - /etc/default/grub
+      - /etc/default/grub.d
+      - /etc/initramfs-tools
+      - /etc/iscsi
+      - /etc/lvm
+      - /etc/mdadm
+      - /etc/multipath
+      - /etc/dhcp
+      - /etc/alternatives
+      - /etc/apparmor.d/cache
+      - /etc/ssl/certs
+      - /etc/ssl/private/ssl-cert-snakeoil.key
+      - /etc/sudoers.d/90-cloud-init-users
+      - /etc/machine-id
+      - /etc/hostname
+      - /etc/resolv.conf
+
  - name: pnvpanel
    type: compose
    dir: /opt/PnvPanel
@@ -89,3 +188,10 @@ categories:
    type: compose
    dir: /opt/psiphon
    disabled: true
+
+  # Свои systemd-юниты, не описанные выше и не из пакетов, — с состоянием enabled/active,
+  # и drop-in переопределения пакетных юнитов (*.service.d/override.conf).
+  - name: units
+    type: units
+    unowned: ["/etc/systemd/system/*.service", "/etc/systemd/system/*.timer"]
+    paths: ["/etc/systemd/system/*.service.d", "/etc/systemd/system/*.timer.d"]
@@ -20,6 +20,10 @@ type Manifest struct {
 	Packages      map[string]string `json:"packages,omitempty"` // apt-пакет → точная версия dpkg
 	Features      Features          `json:"features"`
 	SudoUsers     []string          `json:"sudo_users,omitempty"`
+	Timezone      string            `json:"timezone,omitempty"`
+	Swap          []SwapFile        `json:"swap,omitempty"`
+	// ManualPackages — пакеты, поставленные вручную (apt-mark showmanual): restore доставит недостающие.
+	ManualPackages []string   `json:"manual_packages,omitempty"`
 	Categories     []Category `json:"categories"`
 	Parts          []string   `json:"parts"` // main + heavy-части, вошедшие в этот бэкап
 	Warnings       []string   `json:"warnings,omitempty"`
@@ -45,6 +49,7 @@ type Category struct {
 	Version      string         `json:"version,omitempty"`
 	Install      string         `json:"install,omitempty"` // recipe установки бинарника
 	Service      *ServiceState  `json:"service,omitempty"`
+	Units        []ServiceState `json:"units,omitempty"`    // тип units: свои systemd-юниты и их состояние
 	Paths        []string       `json:"paths,omitempty"`    // абсолютные пути в <cat>/files/
 	Binaries     []string       `json:"binaries,omitempty"` // абсолютные пути в <cat>/bin/ (fallback)
 	Dumps        []Dump         `json:"dumps,omitempty"`
@@ -57,6 +62,11 @@ type Category struct {
 	RestoreAfter []string       `json:"restore_after,omitempty"`
 }

+type SwapFile struct {
+	Path string `json:"path"`
+	Size int64  `json:"size"` // байт
+}
+
 type ServiceState struct {
 	Unit    string `json:"unit"`
 	Enabled bool   `json:"enabled"`
@@ -189,7 +189,8 @@ ok "$(iptables --version)"

 # ---------- 5. Fail2ban ----------
 step "5. Fail2ban"
-apt_install fail2ban python3-systemd
+# nftables: штатный banaction fail2ban в Ubuntu 24.04 — nftables, без nft jail sshd не банит
+apt_install fail2ban python3-systemd nftables
 IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8"
 if [[ -n $CLIENT_IP ]]; then
  IGNORE_IP+=" $CLIENT_IP"
@@ -44,7 +44,8 @@ func installXUI(ctx context.Context, version, arch string) error {
 		v = "v" + v
 	}
 	url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch)
-	_ = os.RemoveAll("/usr/local/x-ui")
+	// каталог не очищаем: в нём уже лежат восстановленные свои geo-файлы (ipcheck.dat и т.п.),
+	// архив релиза перезапишет только свои файлы
 	if err := fetchTarGz(ctx, url, func(name string) (string, bool) {
 		name = strings.TrimPrefix(name, "./")
 		if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" {
@@ -106,6 +106,7 @@ func Run(ctx context.Context, opts Options) error {
 			return fmt.Errorf("подготовка сервера: %w", err)
 		}
 	}
+	r.restoreSystem()
 	if err := r.prepareVolumes(); err != nil {
 		return err
 	}
@@ -403,6 +404,13 @@ func (r *restorer) restoreCategory(c manifest.Category) error {
 		if err := r.restoreCompose(c); err != nil {
 			return err
 		}
+	case catalog.TypeUnits:
+		_ = sysx.Run(r.ctx, "systemctl", "daemon-reload")
+		for i := range c.Units {
+			if err := r.applyService(&c.Units[i]); err != nil {
+				r.warn("%s: %v", c.Name, err)
+			}
+		}
 	}
 	if c.Name == "system" {
 		r.fixCrontabs()
@@ -0,0 +1,113 @@
+package restore
+
+import (
+	"fmt"
+	"os"
+	"regexp"
+	"strings"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/sysx"
+)
+
+// restoreSystem повторяет системные параметры старого сервера: часовой пояс
+// (от него зависит время cron-заданий), swap-файл и вручную поставленные пакеты.
+func (r *restorer) restoreSystem() {
+	step("Системные параметры")
+	r.restoreTimezone()
+	r.restoreSwap()
+	r.restorePackages()
+}
+
+func (r *restorer) restoreTimezone() {
+	tz := r.m.Timezone
+	if tz == "" {
+		return
+	}
+	if cur := sysx.Timezone(r.ctx); cur == tz {
+		info("часовой пояс %s — как на старом сервере", tz)
+		return
+	}
+	if err := sysx.Run(r.ctx, "timedatectl", "set-timezone", tz); err != nil {
+		r.warn("часовой пояс %s не установлен: %v", tz, err)
+		return
+	}
+	info("часовой пояс: %s", tz)
+}
+
+func (r *restorer) restoreSwap() {
+	if len(r.m.Swap) == 0 {
+		return
+	}
+	if len(sysx.SwapFiles()) > 0 {
+		info("swap уже есть — не трогаю")
+		return
+	}
+	if out, _ := sysx.Output(r.ctx, "swapon", "--show", "--noheadings"); out != "" {
+		info("swap уже есть (раздел) — не трогаю")
+		return
+	}
+	for _, sw := range r.m.Swap {
+		if sysx.Exists(sw.Path) {
+			r.warn("swap: %s уже существует, но не подключён — пропускаю", sw.Path)
+			continue
+		}
+		mb := sw.Size / (1 << 20)
+		script := fmt.Sprintf(`set -e
+fallocate -l %dM %[2]q || dd if=/dev/zero of=%[2]q bs=1M count=%[1]d status=none
+chmod 600 %[2]q
+mkswap %[2]q >/dev/null
+swapon %[2]q
+grep -qF %[2]q /etc/fstab || echo %[3]q >> /etc/fstab`, mb, sw.Path, sw.Path+" none swap sw 0 0")
+		if err := sysx.Shell(r.ctx, script); err != nil {
+			r.warn("swap %s: %v", sw.Path, err)
+			continue
+		}
+		info("swap %s, %d МБ", sw.Path, mb)
+	}
+}
+
+// Пакеты ядра конкретных версий и метапакеты облачных образов ставить не нужно.
+var skipPackageRe = regexp.MustCompile(`^linux-(image|headers|modules|tools|cloud-tools|hwe)-\d|^linux-(image|headers|modules)-extra`)
+
+func (r *restorer) restorePackages() {
+	if len(r.m.ManualPackages) == 0 {
+		return
+	}
+	installed := map[string]bool{}
+	if out, err := sysx.Output(r.ctx, "dpkg-query", "-W", "-f=${Package} ${db:Status-Status}\n"); err == nil {
+		for _, line := range strings.Split(out, "\n") {
+			if name, st, ok := strings.Cut(line, " "); ok && st == "installed" {
+				installed[name] = true
+			}
+		}
+	}
+	available := map[string]bool{}
+	if out, err := sysx.Output(r.ctx, "apt-cache", "pkgnames"); err == nil {
+		for _, n := range strings.Fields(out) {
+			available[n] = true
+		}
+	}
+	var install, missing []string
+	for _, p := range r.m.ManualPackages {
+		name, _, _ := strings.Cut(p, ":") // pkg:amd64
+		if installed[name] || skipPackageRe.MatchString(name) {
+			continue
+		}
+		if available[name] {
+			install = append(install, name)
+		} else {
+			missing = append(missing, name)
+		}
+	}
+	if len(install) > 0 {
+		info("доустанавливаю пакеты со старого сервера: %s", strings.Join(install, " "))
+		_ = os.Setenv("DEBIAN_FRONTEND", "noninteractive")
+		args := append([]string{"install", "-y", "-q", "-o", "Dpkg::Options::=--force-confdef", "-o", "Dpkg::Options::=--force-confold"}, install...)
+		if err := sysx.Run(r.ctx, "apt-get", args...); err != nil {
+			r.warn("часть пакетов не установилась: %v", err)
+		}
+	}
+	if len(missing) > 0 {
+		r.warn("пакетов нет в репозиториях этого сервера (ставились из своих репозиториев или .deb): %s", strings.Join(missing, " "))
+	}
+}
@@ -296,7 +296,7 @@ func (s *Server) apiComplete(w http.ResponseWriter, r *http.Request) {
 		if len(m.Warnings) > 0 {
 			msg += fmt.Sprintf(", предупреждений %d", len(m.Warnings))
 		}
-		s.notify("Бэкап готов: "+c.Domain, msg, "low", "white_check_mark")
+		s.notify(notification{Title: "Бэкап готов: " + c.Domain, Msg: msg, Priority: "low", Tags: "white_check_mark", Link: s.clientLink(c.ID)})
 	}
 	if c2, err := s.st.GetClient(c.ID); err == nil {
 		if err := s.applyRetention(c2); err != nil {
@@ -0,0 +1,280 @@
+package server
+
+import (
+	"cmp"
+	"net/http"
+	"net/url"
+	"slices"
+	"strconv"
+	"strings"
+)
+
+// Параметры списка клиентов живут в URL: ссылку на отфильтрованный вид можно сохранить.
+type clientsQuery struct {
+	Q      string
+	Status string // "" — все
+	Sort   string
+	Desc   bool
+	Page   int
+	Per    int
+}
+
+var (
+	sortColumns = []string{"domain", "name", "status", "last_backup", "size", "last_seen"}
+	perOptions  = []int{10, 25, 50, 100}
+	statusOrder = []struct{ Key, Title string }{
+		{"fail", "ошибка"}, {"stale", "просрочен"}, {"never", "нет бэкапов"}, {"ok", "ok"}, {"off", "отключён"},
+	}
+)
+
+// defaultDesc — направление по умолчанию при выборе колонки: даты и размеры — сначала большие.
+func defaultDesc(col string) bool {
+	switch col {
+	case "last_backup", "size", "last_seen":
+		return true
+	}
+	return false
+}
+
+func parseClientsQuery(r *http.Request) clientsQuery {
+	v := r.URL.Query()
+	q := clientsQuery{
+		Q:      strings.TrimSpace(v.Get("q")),
+		Status: v.Get("status"),
+		Sort:   v.Get("sort"),
+		Page:   1,
+		Per:    25,
+	}
+	if !slices.ContainsFunc(statusOrder, func(s struct{ Key, Title string }) bool { return s.Key == q.Status }) {
+		q.Status = ""
+	}
+	if !slices.Contains(sortColumns, q.Sort) {
+		q.Sort = "domain"
+	}
+	switch v.Get("dir") {
+	case "asc":
+		q.Desc = false
+	case "desc":
+		q.Desc = true
+	default:
+		q.Desc = defaultDesc(q.Sort)
+	}
+	if p, err := strconv.Atoi(v.Get("page")); err == nil && p > 0 {
+		q.Page = p
+	}
+	if p, err := strconv.Atoi(v.Get("per")); err == nil && slices.Contains(perOptions, p) {
+		q.Per = p
+	}
+	return q
+}
+
+func (q clientsQuery) values() url.Values {
+	v := url.Values{}
+	if q.Q != "" {
+		v.Set("q", q.Q)
+	}
+	if q.Status != "" {
+		v.Set("status", q.Status)
+	}
+	if q.Sort != "domain" || q.Desc {
+		v.Set("sort", q.Sort)
+		if q.Desc != defaultDesc(q.Sort) {
+			if q.Desc {
+				v.Set("dir", "desc")
+			} else {
+				v.Set("dir", "asc")
+			}
+		}
+	}
+	if q.Page > 1 {
+		v.Set("page", strconv.Itoa(q.Page))
+	}
+	if q.Per != 25 {
+		v.Set("per", strconv.Itoa(q.Per))
+	}
+	return v
+}
+
+func (q clientsQuery) url() string {
+	if enc := q.values().Encode(); enc != "" {
+		return "/?" + enc
+	}
+	return "/"
+}
+
+// StatusURL — ссылка на фильтр по статусу (с первой страницы).
+func (q clientsQuery) StatusURL(status string) string {
+	q.Status, q.Page = status, 1
+	return q.url()
+}
+
+// SortURL — ссылка для заголовка колонки: повторный клик меняет направление.
+func (q clientsQuery) SortURL(col string) string {
+	if q.Sort == col {
+		q.Desc = !q.Desc
+	} else {
+		q.Sort, q.Desc = col, defaultDesc(col)
+	}
+	q.Page = 1
+	return q.url()
+}
+
+func (q clientsQuery) SortMark(col string) string {
+	if q.Sort != col {
+		return ""
+	}
+	if q.Desc {
+		return "↓"
+	}
+	return "↑"
+}
+
+// DirParam — значение dir для формы поиска, если направление отличается от умолчания колонки.
+func (q clientsQuery) DirParam() string {
+	return q.values().Get("dir")
+}
+
+func (q clientsQuery) PageURL(p int) string {
+	q.Page = p
+	return q.url()
+}
+
+type statusChip struct {
+	Key, Title string
+	Count      int
+	URL        string
+	Active     bool
+}
+
+type pageLink struct {
+	N       int
+	URL     string
+	Current bool
+	Gap     bool
+}
+
+type clientsView struct {
+	Query    clientsQuery
+	Rows     []clientRow
+	Chips    []statusChip
+	Total    int // всего клиентов
+	Found    int // после поиска и фильтра
+	From, To int
+	Pages    []pageLink
+	Prev     string
+	Next     string
+	PerOpts  []int
+}
+
+func (s *Server) webClients(w http.ResponseWriter, r *http.Request) {
+	q := parseClientsQuery(r)
+	clients, err := s.st.ListClients()
+	if err != nil {
+		http.Error(w, err.Error(), http.StatusInternalServerError)
+		return
+	}
+	sizes, err := s.st.LastSizes()
+	if err != nil {
+		http.Error(w, err.Error(), http.StatusInternalServerError)
+		return
+	}
+	v := buildClientsView(q, clients, sizes)
+	s.render(w, r, "clients", map[string]any{"V": v})
+}
+
+func buildClientsView(q clientsQuery, clients []*Client, sizes map[int64]int64) *clientsView {
+	v := &clientsView{Query: q, Total: len(clients), PerOpts: perOptions}
+
+	// поиск
+	needle := strings.ToLower(q.Q)
+	var matched []clientRow
+	for _, c := range clients {
+		if needle != "" && !strings.Contains(strings.ToLower(c.Domain), needle) && !strings.Contains(strings.ToLower(c.Name), needle) {
+			continue
+		}
+		row := clientRow{Client: c, LastSize: sizes[c.ID]}
+		row.StatusClass, row.StatusText = clientStatus(c)
+		matched = append(matched, row)
+	}
+
+	// чипы статусов считаются по результату поиска, до фильтра по статусу
+	counts := map[string]int{}
+	for _, r := range matched {
+		counts[r.StatusClass]++
+	}
+	v.Chips = append(v.Chips, statusChip{Title: "все", Count: len(matched), URL: q.StatusURL(""), Active: q.Status == ""})
+	for _, st := range statusOrder {
+		if counts[st.Key] == 0 && q.Status != st.Key {
+			continue
+		}
+		v.Chips = append(v.Chips, statusChip{Key: st.Key, Title: st.Title, Count: counts[st.Key], URL: q.StatusURL(st.Key), Active: q.Status == st.Key})
+	}
+
+	rows := matched[:0:0]
+	for _, r := range matched {
+		if q.Status == "" || r.StatusClass == q.Status {
+			rows = append(rows, r)
+		}
+	}
+
+	rank := map[string]int{}
+	for i, st := range statusOrder {
+		rank[st.Key] = i
+	}
+	slices.SortStableFunc(rows, func(a, b clientRow) int {
+		var c int
+		switch q.Sort {
+		case "name":
+			c = cmp.Compare(strings.ToLower(a.Name), strings.ToLower(b.Name))
+		case "status":
+			c = cmp.Compare(rank[a.StatusClass], rank[b.StatusClass])
+		case "last_backup":
+			c = cmp.Compare(a.LastBackupAt, b.LastBackupAt)
+		case "size":
+			c = cmp.Compare(a.LastSize, b.LastSize)
+		case "last_seen":
+			c = cmp.Compare(a.LastSeenAt, b.LastSeenAt)
+		}
+		if q.Desc {
+			c = -c
+		}
+		if c == 0 { // стабильный вторичный порядок — по домену
+			c = cmp.Compare(a.Domain, b.Domain)
+		}
+		return c
+	})
+
+	// пагинация
+	v.Found = len(rows)
+	pages := max(1, (v.Found+q.Per-1)/q.Per)
+	if q.Page > pages {
+		q.Page = pages
+		v.Query = q
+	}
+	start := (q.Page - 1) * q.Per
+	end := min(start+q.Per, v.Found)
+	v.Rows = rows[start:end]
+	if v.Found > 0 {
+		v.From, v.To = start+1, end
+	}
+	if pages > 1 {
+		if q.Page > 1 {
+			v.Prev = q.PageURL(q.Page - 1)
+		}
+		if q.Page < pages {
+			v.Next = q.PageURL(q.Page + 1)
+		}
+		last := 0
+		for p := 1; p <= pages; p++ {
+			if p != 1 && p != pages && (p < q.Page-2 || p > q.Page+2) {
+				continue
+			}
+			if last != 0 && p > last+1 {
+				v.Pages = append(v.Pages, pageLink{Gap: true})
+			}
+			v.Pages = append(v.Pages, pageLink{N: p, URL: q.PageURL(p), Current: p == q.Page})
+			last = p
+		}
+	}
+	return v
+}
@@ -0,0 +1,87 @@
+package server
+
+import (
+	"fmt"
+	"net/http/httptest"
+	"strings"
+	"testing"
+	"time"
+)
+
+func testClients() ([]*Client, map[int64]int64) {
+	now := time.Now().Unix()
+	var cs []*Client
+	sizes := map[int64]int64{}
+	for i := 1; i <= 30; i++ {
+		c := &Client{ID: int64(i), Domain: fmt.Sprintf("srv%02d.example.com", i), Name: fmt.Sprintf("srv%02d", i),
+			StaleHours: 26, LastBackupAt: now - int64(i)*60, CreatedAt: now}
+		sizes[c.ID] = int64(i) * 1000
+		cs = append(cs, c)
+	}
+	cs[0].Name = "Нидерланды"           // srv01
+	cs[1].LastBackupAt = 0              // srv02 — never
+	cs[2].LastErrorAt = now             // srv03 — fail
+	cs[3].Disabled = true               // srv04 — off
+	cs[4].LastBackupAt = now - 100*3600 // srv05 — stale
+	return cs, sizes
+}
+
+func view(t *testing.T, rawQuery string) *clientsView {
+	t.Helper()
+	cs, sizes := testClients()
+	r := httptest.NewRequest("GET", "/?"+rawQuery, nil)
+	return buildClientsView(parseClientsQuery(r), cs, sizes)
+}
+
+func TestClientsSearchFilter(t *testing.T) {
+	v := view(t, "q=нидер")
+	if v.Found != 1 || v.Rows[0].Domain != "srv01.example.com" {
+		t.Fatalf("поиск по названию: %d", v.Found)
+	}
+	if v := view(t, "q=SRV1"); v.Found != 10 { // srv10..srv19
+		t.Fatalf("поиск без учёта регистра: %d", v.Found)
+	}
+	v = view(t, "status=fail")
+	if v.Found != 1 || v.Rows[0].Domain != "srv03.example.com" {
+		t.Fatalf("фильтр fail: %+v", v.Found)
+	}
+	chips := map[string]int{}
+	for _, c := range v.Chips {
+		chips[c.Key] = c.Count
+	}
+	if chips[""] != 30 || chips["never"] != 1 || chips["off"] != 1 || chips["stale"] != 1 || chips["ok"] != 26 {
+		t.Fatalf("счётчики: %v", chips)
+	}
+}
+
+func TestClientsSortAndPaging(t *testing.T) {
+	v := view(t, "")
+	if v.Found != 30 || len(v.Rows) != 25 || v.Rows[0].Domain != "srv01.example.com" || v.Next == "" {
+		t.Fatalf("первая страница: found=%d rows=%d", v.Found, len(v.Rows))
+	}
+	v = view(t, "page=2")
+	if len(v.Rows) != 5 || v.From != 26 || v.To != 30 || v.Prev == "" || v.Next != "" {
+		t.Fatalf("вторая страница: %+v", v)
+	}
+	if v := view(t, "page=99"); v.Query.Page != 2 {
+		t.Fatalf("страница за пределами: %d", v.Query.Page)
+	}
+	v = view(t, "sort=size&per=10")
+	if v.Rows[0].Domain != "srv30.example.com" || len(v.Rows) != 10 {
+		t.Fatalf("размер по убыванию по умолчанию: %s", v.Rows[0].Domain)
+	}
+	if v := view(t, "sort=size&dir=asc"); v.Rows[0].Domain != "srv01.example.com" {
+		t.Fatalf("размер по возрастанию: %s", v.Rows[0].Domain)
+	}
+	if v := view(t, "sort=status"); v.Rows[0].StatusClass != "fail" {
+		t.Fatalf("сортировка по статусу: %s", v.Rows[0].StatusClass)
+	}
+	// повторный клик по текущей колонке меняет направление
+	if u := view(t, "sort=size").Query.SortURL("size"); !strings.Contains(u, "dir=asc") {
+		t.Fatalf("SortURL: %s", u)
+	}
+	// фильтр сохраняется в ссылках пагинации
+	if u := view(t, "q=srv&status=ok").Query.PageURL(2); !strings.Contains(u, "q=srv") || !strings.Contains(u, "status=ok") {
+		t.Fatalf("PageURL: %s", u)
+	}
+}
@@ -1,11 +1,17 @@
 package server

 import (
+	"bytes"
 	"context"
+	"encoding/json"
+	"errors"
 	"fmt"
+	"html"
+	"io"
 	"log"
 	"mime"
 	"net/http"
+	"strconv"
 	"strings"
 	"time"
 )
@@ -16,36 +22,100 @@ const (
 	settingNtfyURL       = "ntfy_url"
 	settingNtfyAuth      = "ntfy_auth" // токен tk_... или "user:password"
 	settingNotifySuccess = "notify_success"
+
+	settingTGToken  = "tg_token"
+	settingTGChats  = "tg_chats"   // chat_id через запятую
+	settingTGThread = "tg_thread"  // id темы в группе-форуме, необязательно
+	settingTGAPIURL = "tg_api_url" // свой Bot API сервер или прокси, по умолчанию api.telegram.org
 )

-// notify отправляет уведомление в ntfy (асинхронно, ошибки только в лог).
-func (s *Server) notify(title, msg, priority, tags string) {
-	url := s.st.Setting(settingNtfyURL)
-	if url == "" {
-		return
+const defaultTGAPI = "https://api.telegram.org"
+
+type notification struct {
+	Title    string
+	Msg      string
+	Priority string // low, default, high — как в ntfy
+	Tags     string // теги ntfy, они же выбирают эмодзи в Telegram
+	Link     string // ссылка на страницу в морде
 }
+
+// channel — канал доставки уведомлений.
+type channel struct {
+	name string
+	send func(context.Context, notification) error
+}
+
+// channels возвращает настроенные каналы (ntfy, Telegram). Пустой список — уведомления выключены.
+func (s *Server) channels() []channel {
+	var out []channel
+	if url := s.st.Setting(settingNtfyURL); url != "" {
 		auth := s.st.Setting(settingNtfyAuth)
+		out = append(out, channel{"ntfy", func(ctx context.Context, n notification) error {
+			return sendNtfy(ctx, url, auth, n)
+		}})
+	}
+	token, chats := s.st.Setting(settingTGToken), s.st.Setting(settingTGChats)
+	if token != "" && chats != "" {
+		tg := telegram{
+			api:    strings.TrimRight(s.st.Setting(settingTGAPIURL), "/"),
+			token:  token,
+			chats:  splitList(chats),
+			thread: s.st.Setting(settingTGThread),
+		}
+		if tg.api == "" {
+			tg.api = defaultTGAPI
+		}
+		out = append(out, channel{"telegram", tg.send})
+	}
+	return out
+}
+
+// notify рассылает уведомление во все каналы асинхронно, ошибки — в лог.
+func (s *Server) notify(n notification) {
+	for _, ch := range s.channels() {
 		go func() {
-		if err := sendNtfy(url, auth, title, msg, priority, tags); err != nil {
-			log.Printf("ntfy: %v", err)
+			ctx, cancel := context.WithTimeout(context.Background(), 20*time.Second)
+			defer cancel()
+			if err := ch.send(ctx, n); err != nil {
+				log.Printf("уведомление %s: %v", ch.name, err)
 			}
 		}()
 	}
+}

-func sendNtfy(url, auth, title, msg, priority, tags string) error {
-	ctx, cancel := context.WithTimeout(context.Background(), 15*time.Second)
-	defer cancel()
-	req, err := http.NewRequestWithContext(ctx, http.MethodPost, url, strings.NewReader(msg))
+// notifySync рассылает уведомление и возвращает результат по каждому каналу (для теста в настройках).
+func (s *Server) notifySync(ctx context.Context, n notification) map[string]error {
+	res := map[string]error{}
+	for _, ch := range s.channels() {
+		cctx, cancel := context.WithTimeout(ctx, 20*time.Second)
+		res[ch.name] = ch.send(cctx, n)
+		cancel()
+	}
+	return res
+}
+
+func (s *Server) clientLink(id int64) string {
+	if s.cfg.PublicURL == "" {
+		return ""
+	}
+	return fmt.Sprintf("%s/clients/%d", s.cfg.PublicURL, id)
+}
+
+func sendNtfy(ctx context.Context, url, auth string, n notification) error {
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, url, strings.NewReader(n.Msg))
 	if err != nil {
 		return err
 	}
 	// заголовки должны быть ASCII — кириллицу кодируем по RFC 2047, ntfy это понимает
-	req.Header.Set("Title", mime.BEncoding.Encode("UTF-8", title))
-	if priority != "" {
-		req.Header.Set("Priority", priority)
+	req.Header.Set("Title", mime.BEncoding.Encode("UTF-8", n.Title))
+	if n.Priority != "" {
+		req.Header.Set("Priority", n.Priority)
 	}
-	if tags != "" {
-		req.Header.Set("Tags", tags)
+	if n.Tags != "" {
+		req.Header.Set("Tags", n.Tags)
+	}
+	if n.Link != "" {
+		req.Header.Set("Click", n.Link)
 	}
 	switch {
 	case auth == "":
@@ -66,6 +136,96 @@ func sendNtfy(url, auth, title, msg, priority, tags string) error {
 	return nil
 }

+type telegram struct {
+	api    string
+	token  string
+	chats  []string
+	thread string
+}
+
+var tgEmoji = map[string]string{
+	"white_check_mark": "✅",
+	"x":                "❌",
+	"warning":          "⚠️",
+	"test_tube":        "🧪",
+}
+
+func (t telegram) text(n notification) string {
+	var b strings.Builder
+	if e := tgEmoji[n.Tags]; e != "" {
+		b.WriteString(e + " ")
+	}
+	b.WriteString("<b>" + html.EscapeString(n.Title) + "</b>")
+	if n.Msg != "" {
+		b.WriteString("\n" + html.EscapeString(n.Msg))
+	}
+	if n.Link != "" {
+		b.WriteString("\n<a href=\"" + html.EscapeString(n.Link) + "\">Открыть в backup-master</a>")
+	}
+	return b.String()
+}
+
+func (t telegram) send(ctx context.Context, n notification) error {
+	var errs []error
+	for _, chat := range t.chats {
+		if err := t.sendOne(ctx, chat, n); err != nil {
+			errs = append(errs, fmt.Errorf("чат %s: %w", chat, err))
+		}
+	}
+	return errors.Join(errs...)
+}
+
+func (t telegram) sendOne(ctx context.Context, chat string, n notification) error {
+	body := map[string]any{
+		"chat_id":                  chat,
+		"text":                     t.text(n),
+		"parse_mode":               "HTML",
+		"disable_web_page_preview": true,
+		// успешные бэкапы — без звука, ошибки — со звуком
+		"disable_notification": n.Priority == "low",
+	}
+	if t.thread != "" {
+		if id, err := strconv.ParseInt(t.thread, 10, 64); err == nil {
+			body["message_thread_id"] = id
+		}
+	}
+	data, _ := json.Marshal(body)
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, t.api+"/bot"+t.token+"/sendMessage", bytes.NewReader(data))
+	if err != nil {
+		return err
+	}
+	req.Header.Set("Content-Type", "application/json")
+	resp, err := http.DefaultClient.Do(req)
+	if err != nil {
+		// в тексте ошибки net/http есть URL с токеном — не выносим его в лог
+		return errors.New(strings.ReplaceAll(err.Error(), t.token, "***"))
+	}
+	defer resp.Body.Close()
+	var r struct {
+		OK          bool   `json:"ok"`
+		Description string `json:"description"`
+	}
+	raw, _ := io.ReadAll(io.LimitReader(resp.Body, 64<<10))
+	_ = json.Unmarshal(raw, &r)
+	if !r.OK {
+		if r.Description == "" {
+			r.Description = resp.Status
+		}
+		return errors.New(r.Description)
+	}
+	return nil
+}
+
+func splitList(s string) []string {
+	var out []string
+	for _, p := range strings.FieldsFunc(s, func(r rune) bool { return r == ',' || r == ' ' || r == '\n' || r == ';' }) {
+		if p = strings.TrimSpace(p); p != "" {
+			out = append(out, p)
+		}
+	}
+	return out
+}
+
 func humanBytes(n int64) string {
 	const unit = 1024
 	if n < unit {
@@ -0,0 +1,76 @@
+package server
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"sync"
+	"testing"
+)
+
+func TestTelegramSend(t *testing.T) {
+	var mu sync.Mutex
+	var got []map[string]any
+	api := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		if r.URL.Path != "/botTOKEN/sendMessage" {
+			http.NotFound(w, r)
+			return
+		}
+		var body map[string]any
+		_ = json.NewDecoder(r.Body).Decode(&body)
+		mu.Lock()
+		got = append(got, body)
+		mu.Unlock()
+		if body["chat_id"] == "bad" {
+			w.WriteHeader(http.StatusBadRequest)
+			w.Write([]byte(`{"ok":false,"description":"Bad Request: chat not found"}`))
+			return
+		}
+		w.Write([]byte(`{"ok":true}`))
+	}))
+	defer api.Close()
+
+	tg := telegram{api: api.URL, token: "TOKEN", chats: []string{"1", "-1002"}, thread: "7"}
+	n := notification{Title: "Бэкап готов: a<b>.example", Msg: "1 ГБ", Priority: "low", Tags: "white_check_mark", Link: "https://bm.test/clients/1"}
+	if err := tg.send(context.Background(), n); err != nil {
+		t.Fatal(err)
+	}
+	if len(got) != 2 {
+		t.Fatalf("отправлено %d сообщений, ожидалось 2", len(got))
+	}
+	m := got[0]
+	text, _ := m["text"].(string)
+	if !strings.HasPrefix(text, "✅ <b>Бэкап готов: a&lt;b&gt;.example</b>") || !strings.Contains(text, `href="https://bm.test/clients/1"`) {
+		t.Errorf("текст: %q", text)
+	}
+	if m["parse_mode"] != "HTML" || m["disable_notification"] != true || m["message_thread_id"] != float64(7) {
+		t.Errorf("параметры: %v", m)
+	}
+
+	tg.chats = []string{"bad"}
+	err := tg.send(context.Background(), notification{Title: "x", Priority: "high"})
+	if err == nil || !strings.Contains(err.Error(), "chat not found") {
+		t.Fatalf("ошибка: %v", err)
+	}
+}
+
+func TestChannelsFromSettings(t *testing.T) {
+	s, _ := newTestServer(t)
+	if len(s.channels()) != 0 {
+		t.Fatal("без настроек каналов быть не должно")
+	}
+	_ = s.st.SetSetting(settingTGToken, "T")
+	if len(s.channels()) != 0 {
+		t.Fatal("Telegram без chat id включаться не должен")
+	}
+	_ = s.st.SetSetting(settingTGChats, "1")
+	_ = s.st.SetSetting(settingNtfyURL, "https://ntfy.test/x")
+	if n := len(s.channels()); n != 2 {
+		t.Fatalf("каналов %d, ожидалось 2", n)
+	}
+	if got := splitList("1, -100;2\n 3"); strings.Join(got, ",") != "1,-100,2,3" {
+		t.Fatalf("splitList: %v", got)
+	}
+}
@@ -181,7 +181,7 @@ func (s *Server) tick() {
 			if c.LastBackupAt == 0 {
 				msg = fmt.Sprintf("%s: от клиента ещё не пришло ни одного бэкапа", c.Domain)
 			}
-			s.notify("Бэкап просрочен: "+c.Domain, msg, "high", "warning")
+			s.notify(notification{Title: "Бэкап просрочен: " + c.Domain, Msg: msg, Priority: "high", Tags: "warning", Link: s.clientLink(c.ID)})
 			_ = s.st.SetStaleNotified(c.ID)
 		}
 	}
@@ -200,7 +200,7 @@ func (s *Server) failBackup(b *Backup, msg string) {
 		domain = c.Domain
 	}
 	log.Printf("бэкап #%d (%s) провален: %s", b.ID, domain, msg)
-	s.notify("Бэкап не удался: "+domain, msg, "high", "x")
+	s.notify(notification{Title: "Бэкап не удался: " + domain, Msg: msg, Priority: "high", Tags: "x", Link: s.clientLink(b.ClientID)})
 }

 // --- токены ---
@@ -43,9 +43,11 @@ a:hover { text-decoration: underline; }
 code, pre { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; }
 code { background: var(--code-bg); padding: 1px 5px; border-radius: 4px; }

-.top {
+.top { background: var(--panel); border-bottom: 1px solid var(--border); }
+/* шапка выровнена по той же колонке, что и контент */
+.top .wrap {
+  max-width: 1200px; margin: 0 auto; padding: 10px 24px;
  display: flex; align-items: center; justify-content: space-between; gap: 16px;
-  padding: 10px 24px; background: var(--panel); border-bottom: 1px solid var(--border);
 }
 .brand { font-weight: 600; color: var(--text); }
 .top nav { display: flex; align-items: center; gap: 18px; }
@@ -76,6 +78,8 @@ td.num, th.num { text-align: right; font-variant-numeric: tabular-nums; white-sp
 .badge.fail { background: var(--fail-bg); color: var(--fail); }
 .badge.off { background: var(--code-bg); color: var(--muted); }
 .ok-text { color: var(--ok); }
+.fail-text { color: var(--fail); }
+ul.results { list-style: none; padding: 0; margin: 0 0 16px; }

 .facts { display: flex; flex-wrap: wrap; gap: 12px 32px; margin: 16px 0; }
 .facts dt { font-size: 12px; color: var(--muted); }
@@ -92,6 +96,33 @@ input, textarea {
 }
 input[type=checkbox] { display: inline; width: auto; margin: 0; }
 textarea { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; }
+.settings { display: flex; flex-direction: column; gap: 16px; }
+.cards { display: grid; grid-template-columns: repeat(auto-fit, minmax(340px, 1fr)); gap: 16px; align-items: start; }
+.cards .card { height: 100%; }
+
+.toolbar { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin-bottom: 12px; }
+.toolbar input[type=search] { flex: 1 1 260px; width: auto; margin: 0; }
+.toolbar select { margin: 0; }
+select {
+  padding: 7px 10px; background: var(--bg); color: var(--text);
+  border: 1px solid var(--border); border-radius: 6px; font: inherit;
+}
+.chips { display: flex; flex-wrap: wrap; gap: 6px; }
+.chip {
+  display: inline-flex; align-items: center; gap: 6px; padding: 4px 10px; border-radius: 14px;
+  border: 1px solid var(--border); color: var(--muted); font-size: 13px; white-space: nowrap;
+}
+.chip:hover { text-decoration: none; color: var(--text); }
+.chip.active { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
+.chip .count { opacity: 0.75; font-variant-numeric: tabular-nums; }
+th a { color: inherit; }
+th a.sorted { color: var(--text); }
+.pager { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 12px; margin-top: 12px; color: var(--muted); font-size: 13px; }
+.pager .pages { display: flex; gap: 4px; flex-wrap: wrap; }
+.pager .pages a, .pager .pages span { min-width: 32px; text-align: center; padding: 4px 8px; border-radius: 6px; border: 1px solid var(--border); }
+.pager .pages span.current { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
+.pager .pages span.gap { border: none; }
+
 .grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(150px, 1fr)); gap: 0 16px; }

 button, .button {
@@ -122,6 +153,7 @@ pre.json { background: var(--panel); border: 1px solid var(--border); border-rad

@media (max-width: 640px) {
  main { padding: 16px; }
-  .top { padding: 10px 16px; }
+  .top .wrap { padding: 10px 16px; }
+  .cards { grid-template-columns: 1fr; }
  .cmd { flex-direction: column; }
 }
@@ -325,6 +325,25 @@ func (s *Store) ListBackups(clientID int64, status string) ([]*Backup, error) {
 	return out, nil
 }

+// LastSizes возвращает размер последнего успешного бэкапа по каждому клиенту одним запросом.
+func (s *Store) LastSizes() (map[int64]int64, error) {
+	rows, err := s.db.Query(`SELECT client_id, total_size FROM backups b WHERE status = ?1 AND id = (
+		SELECT id FROM backups WHERE client_id = b.client_id AND status = ?1 ORDER BY created_at DESC, id DESC LIMIT 1)`, StatusComplete)
+	if err != nil {
+		return nil, err
+	}
+	defer rows.Close()
+	out := map[int64]int64{}
+	for rows.Next() {
+		var id, size int64
+		if err := rows.Scan(&id, &size); err != nil {
+			return nil, err
+		}
+		out[id] = size
+	}
+	return out, rows.Err()
+}
+
 // LatestComplete возвращает последний успешный бэкап клиента.
 func (s *Store) LatestComplete(clientID int64) (*Backup, error) {
 	var id int64
@@ -40,7 +40,8 @@
    <td>{{.Version}}{{with .Compose}}{{with .Git}}<span class="muted small" title="{{.Remote}}">git {{printf "%.8s" .Commit}}{{if .Dirty}}*{{end}}</span>{{end}}{{end}}</td>
    <td>{{with .Service}}{{.Unit}} {{if .Active}}<span class="ok-text">active</span>{{else}}<span class="muted">inactive</span>{{end}}{{if not .Enabled}} <span class="muted">(disabled)</span>{{end}}{{end}}</td>
    <td class="small">
-      {{if .Paths}}{{join .Paths ", "}}{{end}}
+      {{if .Paths}}<span title="{{join .Paths ", "}}">{{short .Paths 8}}</span>{{end}}
+      {{range .Units}}<br>юнит {{.Unit}}{{if .Enabled}} <span class="muted">enabled</span>{{end}}{{if .Active}} <span class="ok-text">active</span>{{end}}{{end}}
      {{range .Dumps}}<br>дамп {{.Kind}}{{with .Service}} ({{.}}){{end}}{{end}}
      {{range .Volumes}}<br>том {{.Name}}{{end}}
      {{if .Heavy}}<br>heavy: {{join .Heavy ", "}}{{if .HeavySkipped}} <span class="muted">(не в этот раз)</span>{{end}}{{end}}
@@ -1,15 +1,39 @@
 {{define "title"}}Клиенты — backup-master{{end}}
 {{define "content"}}
+{{$v := .V}}{{$q := .V.Query}}
 <div class="head">
-  <h1>Клиенты</h1>
+  <h1>Клиенты <span class="muted small">{{$v.Total}}</span></h1>
  <a class="button primary" href="/clients/new">Добавить клиента</a>
 </div>
-{{if .Clients}}
+{{if $v.Total}}
+<form method="get" action="/" class="toolbar">
+  <input type="search" name="q" value="{{$q.Q}}" placeholder="Поиск по домену или названию" autofocus>
+  {{if $q.Status}}<input type="hidden" name="status" value="{{$q.Status}}">{{end}}
+  {{if ne $q.Sort "domain"}}<input type="hidden" name="sort" value="{{$q.Sort}}">{{end}}
+  {{with $q.DirParam}}<input type="hidden" name="dir" value="{{.}}">{{end}}
+  <select name="per" onchange="this.form.submit()" title="Строк на странице">
+    {{range $v.PerOpts}}<option value="{{.}}" {{if eq . $q.Per}}selected{{end}}>по {{.}}</option>{{end}}
+  </select>
+  <button>Найти</button>
+  {{if or $q.Q $q.Status}}<a class="button" href="/">Сбросить</a>{{end}}
+</form>
+<div class="chips toolbar">
+  {{range $v.Chips}}<a class="chip {{if .Active}}active{{end}}" href="{{.URL}}">{{.Title}} <span class="count">{{.Count}}</span></a>{{end}}
+</div>
+
+{{if $v.Rows}}
 <div class="table-wrap">
 <table>
-  <thead><tr><th>Домен</th><th>Название</th><th>Статус</th><th>Последний бэкап</th><th class="num">Размер</th><th>Агент на связи</th></tr></thead>
+  <thead><tr>
+    <th><a href="{{$q.SortURL "domain"}}" {{if eq $q.Sort "domain"}}class="sorted"{{end}}>Домен {{$q.SortMark "domain"}}</a></th>
+    <th><a href="{{$q.SortURL "name"}}" {{if eq $q.Sort "name"}}class="sorted"{{end}}>Название {{$q.SortMark "name"}}</a></th>
+    <th><a href="{{$q.SortURL "status"}}" {{if eq $q.Sort "status"}}class="sorted"{{end}}>Статус {{$q.SortMark "status"}}</a></th>
+    <th><a href="{{$q.SortURL "last_backup"}}" {{if eq $q.Sort "last_backup"}}class="sorted"{{end}}>Последний бэкап {{$q.SortMark "last_backup"}}</a></th>
+    <th class="num"><a href="{{$q.SortURL "size"}}" {{if eq $q.Sort "size"}}class="sorted"{{end}}>Размер {{$q.SortMark "size"}}</a></th>
+    <th><a href="{{$q.SortURL "last_seen"}}" {{if eq $q.Sort "last_seen"}}class="sorted"{{end}}>Агент на связи {{$q.SortMark "last_seen"}}</a></th>
+  </tr></thead>
  <tbody>
-  {{range .Clients}}
+  {{range $v.Rows}}
  <tr>
    <td><a href="/clients/{{.ID}}">{{.Domain}}</a></td>
    <td>{{if ne .Name .Domain}}{{.Name}}{{end}}</td>
@@ -22,6 +46,19 @@
  </tbody>
 </table>
 </div>
+<div class="pager">
+  <span>{{$v.From}}–{{$v.To}} из {{$v.Found}}{{if ne $v.Found $v.Total}} (всего {{$v.Total}}){{end}}</span>
+  {{if $v.Pages}}
+  <div class="pages">
+    {{if $v.Prev}}<a href="{{$v.Prev}}">←</a>{{end}}
+    {{range $v.Pages}}{{if .Gap}}<span class="gap">…</span>{{else if .Current}}<span class="current">{{.N}}</span>{{else}}<a href="{{.URL}}">{{.N}}</a>{{end}}{{end}}
+    {{if $v.Next}}<a href="{{$v.Next}}">→</a>{{end}}
+  </div>
+  {{end}}
+</div>
+{{else}}
+<p class="empty">Ничего не найдено. <a href="/">Сбросить фильтры</a></p>
+{{end}}
 {{else}}
 <p class="empty">Клиентов пока нет. Добавьте первый — получите команду установки агента.</p>
 {{end}}
@@ -9,6 +9,7 @@
 <body>
 {{if ne .Page "login"}}
 <header class="top">
+  <div class="wrap">
    <a class="brand" href="/">backup-master</a>
    <nav>
      <a href="/" {{if or (eq .Page "clients") (eq .Page "client") (eq .Page "backup")}}class="active"{{end}}>Клиенты</a>
@@ -18,6 +19,7 @@
        <button class="link">Выйти</button>
      </form>
    </nav>
+  </div>
 </header>
 {{end}}
 <main>
@@ -2,16 +2,50 @@
 {{define "content"}}
 <h1>Настройки</h1>
 {{if .Saved}}<p class="ok-text">Сохранено.</p>{{end}}
-<form method="post" action="/settings" class="card narrow">
+{{if .Tested}}
+  {{if .TestResults}}
+  <ul class="results">
+    {{range .TestResults}}
+    <li>{{.Channel}}: {{if .Err}}<span class="fail-text">ошибка — {{.Err}}</span>{{else}}<span class="ok-text">отправлено</span>{{end}}</li>
+    {{end}}
+  </ul>
+  {{else}}
+  <p class="error">Ни один канал уведомлений не настроен.</p>
+  {{end}}
+{{end}}
+<form method="post" action="/settings" class="settings">
  <input type="hidden" name="csrf" value="{{.CSRF}}">
-  <h2>Уведомления ntfy</h2>
+
+  <div class="cards">
+    <section class="card">
+      <h2>ntfy</h2>
      <label>URL топика <input name="ntfy_url" value="{{.NtfyURL}}" placeholder="https://ntfy.example.com/backups"></label>
      <label>Авторизация <input name="ntfy_auth" type="password" autocomplete="off" placeholder="{{if .NtfyAuthSet}}задана — оставьте пустым, чтобы не менять{{else}}tk_... или user:password{{end}}"></label>
      {{if .NtfyAuthSet}}<label class="check"><input type="checkbox" name="ntfy_auth_clear" value="1"> Удалить авторизацию</label>{{end}}
-  <label class="check"><input type="checkbox" name="notify_success" value="1" {{if .NotifySuccess}}checked{{end}}> Сообщать и об успешных бэкапах</label>
+      <p class="hint">Пустой URL — ntfy выключен.</p>
+    </section>
+
+    <section class="card">
+      <h2>Telegram</h2>
+      <label>Токен бота <input name="tg_token" type="password" autocomplete="off" placeholder="{{if .TGTokenSet}}задан — оставьте пустым, чтобы не менять{{else}}123456:ABC... от @BotFather{{end}}"></label>
+      {{if .TGTokenSet}}<label class="check"><input type="checkbox" name="tg_token_clear" value="1"> Удалить токен (выключить Telegram)</label>{{end}}
+      <label>Chat ID <input name="tg_chats" value="{{.TGChats}}" placeholder="123456789, -1001234567890"></label>
+      <p class="hint">Можно несколько через запятую. Личный чат — ваш числовой id (напишите боту и откройте <code>https://api.telegram.org/bot&lt;токен&gt;/getUpdates</code>), группа — id вида <code>-100…</code>, бот должен быть её участником.</p>
+      <div class="grid">
+        <label>ID темы <input name="tg_thread" value="{{.TGThread}}" placeholder="необязательно"></label>
+        <label>Адрес Bot API <input name="tg_api_url" value="{{.TGAPIURL}}" placeholder="https://api.telegram.org"></label>
+      </div>
+      <p class="hint">Тема — для группы с темами. Свой Bot API сервер или прокси — если api.telegram.org недоступен с сервера бэкапов.</p>
+    </section>
+  </div>
+
+  <section class="card">
+    <h2>Что отправлять</h2>
+    <label class="check"><input type="checkbox" name="notify_success" value="1" {{if .NotifySuccess}}checked{{end}}> Сообщать и об успешных бэкапах (в Telegram — без звука)</label>
+    <p class="hint">Ошибки бэкапа и отсутствие бэкапа дольше заданного у клиента срока приходят всегда, во все настроенные каналы.</p>
    <label class="check"><input type="checkbox" name="test" value="1"> Отправить тестовое уведомление после сохранения</label>
-  <p class="hint">Ошибки бэкапа и отсутствие бэкапа дольше заданного у клиента срока приходят всегда.</p>
    <button class="primary">Сохранить</button>
+  </section>
 </form>
 <p class="hint">Логин и пароль администратора меняются на сервере: <code>backupctl admin-passwd &lt;логин&gt;</code></p>
 {{end}}
@@ -54,6 +54,13 @@ var funcs = template.FuncMap{
 	},
 	"bytes": humanBytes,
 	"join":  strings.Join,
+	// short — первые n путей и «ещё N», чтобы категория etc не растягивала таблицу
+	"short": func(paths []string, n int) string {
+		if len(paths) <= n {
+			return strings.Join(paths, ", ")
+		}
+		return strings.Join(paths[:n], ", ") + fmt.Sprintf(" и ещё %d", len(paths)-n)
+	},
 }

 func loadPages() (map[string]*pageTemplate, error) {
@@ -122,24 +129,6 @@ type clientRow struct {
 	LastSize                int64
 }

-func (s *Server) webClients(w http.ResponseWriter, r *http.Request) {
-	clients, err := s.st.ListClients()
-	if err != nil {
-		http.Error(w, err.Error(), http.StatusInternalServerError)
-		return
-	}
-	var rows []clientRow
-	for _, c := range clients {
-		row := clientRow{Client: c}
-		row.StatusClass, row.StatusText = clientStatus(c)
-		if b, err := s.st.LatestComplete(c.ID); err == nil {
-			row.LastSize = b.TotalSize
-		}
-		rows = append(rows, row)
-	}
-	s.render(w, r, "clients", map[string]any{"Clients": rows})
-}
-
 func (s *Server) webClientNew(w http.ResponseWriter, r *http.Request) {
 	s.render(w, r, "client_new", nil)
 }
@@ -376,29 +365,69 @@ func (s *Server) webBackupDelete(w http.ResponseWriter, r *http.Request) {
 	http.Redirect(w, r, fmt.Sprintf("/clients/%d", c.ID), http.StatusSeeOther)
 }

-func (s *Server) webSettings(w http.ResponseWriter, r *http.Request) {
-	s.render(w, r, "settings", map[string]any{
+func (s *Server) settingsData(r *http.Request) map[string]any {
+	return map[string]any{
 		"NtfyURL":       s.st.Setting(settingNtfyURL),
 		"NtfyAuthSet":   s.st.Setting(settingNtfyAuth) != "",
+		"TGTokenSet":    s.st.Setting(settingTGToken) != "",
+		"TGChats":       s.st.Setting(settingTGChats),
+		"TGThread":      s.st.Setting(settingTGThread),
+		"TGAPIURL":      s.st.Setting(settingTGAPIURL),
 		"NotifySuccess": s.st.Setting(settingNotifySuccess) == "1",
 		"Saved":         r.URL.Query().Get("saved") != "",
-	})
+	}
+}
+
+func (s *Server) webSettings(w http.ResponseWriter, r *http.Request) {
+	s.render(w, r, "settings", s.settingsData(r))
+}
+
+// setSecret обновляет секретную настройку: пустое поле — не менять, галочка clear — удалить.
+func (s *Server) setSecret(r *http.Request, key, field string) {
+	if r.FormValue(field+"_clear") == "1" {
+		_ = s.st.SetSetting(key, "")
+	} else if v := strings.TrimSpace(r.FormValue(field)); v != "" {
+		_ = s.st.SetSetting(key, v)
+	}
+}
+
+type testResult struct {
+	Channel string
+	Err     string
 }

 func (s *Server) webSettingsSave(w http.ResponseWriter, r *http.Request) {
 	_ = s.st.SetSetting(settingNtfyURL, strings.TrimSpace(r.FormValue("ntfy_url")))
-	if r.FormValue("ntfy_auth_clear") == "1" {
-		_ = s.st.SetSetting(settingNtfyAuth, "")
-	} else if v := strings.TrimSpace(r.FormValue("ntfy_auth")); v != "" {
-		_ = s.st.SetSetting(settingNtfyAuth, v)
-	}
+	s.setSecret(r, settingNtfyAuth, "ntfy_auth")
+	s.setSecret(r, settingTGToken, "tg_token")
+	_ = s.st.SetSetting(settingTGChats, strings.Join(splitList(r.FormValue("tg_chats")), ","))
+	_ = s.st.SetSetting(settingTGThread, strings.TrimSpace(r.FormValue("tg_thread")))
+	_ = s.st.SetSetting(settingTGAPIURL, strings.TrimSpace(r.FormValue("tg_api_url")))
 	ns := "0"
 	if r.FormValue("notify_success") == "1" {
 		ns = "1"
 	}
 	_ = s.st.SetSetting(settingNotifySuccess, ns)
 	if r.FormValue("test") == "1" {
-		s.notify("backup-master: тест", "Тестовое уведомление", "default", "test_tube")
+		res := s.notifySync(r.Context(), notification{
+			Title: "backup-master: тест", Msg: "Тестовое уведомление", Priority: "default", Tags: "test_tube", Link: s.cfg.PublicURL,
+		})
+		var results []testResult
+		for _, name := range []string{"ntfy", "telegram"} {
+			if err, ok := res[name]; ok {
+				tr := testResult{Channel: name}
+				if err != nil {
+					tr.Err = err.Error()
+				}
+				results = append(results, tr)
+			}
+		}
+		data := s.settingsData(r)
+		data["Saved"] = true
+		data["Tested"] = true
+		data["TestResults"] = results
+		s.render(w, r, "settings", data)
+		return
 	}
 	http.Redirect(w, r, "/settings?saved=1", http.StatusSeeOther)
 }
@@ -5,6 +5,8 @@ import (
 	"bufio"
 	"bytes"
 	"context"
+	"crypto/md5"
+	"encoding/hex"
 	"fmt"
 	"io"
 	"os"
@@ -162,3 +164,117 @@ func GroupMembers(group string) []string {
 	}
 	return nil
 }
+
+// DpkgOwned возвращает множество путей, принадлежащих какому-либо пакету (dpkg -S).
+// Без dpkg (не Debian/Ubuntu) считает все пути своими — ничего не теряется.
+func DpkgOwned(ctx context.Context, paths []string) map[string]bool {
+	owned := map[string]bool{}
+	if len(paths) == 0 || !HasCommand("dpkg") {
+		return owned
+	}
+	cmd := exec.CommandContext(ctx, "dpkg", append([]string{"-S"}, paths...)...)
+	out, _ := cmd.Output() // код возврата 1, если хоть один путь ничей, — это нормально
+	return ParseDpkgS(string(out), paths)
+}
+
+// ParseDpkgS разбирает вывод `dpkg -S`: "pkg1, pkg2: /path" или "diversion by ...".
+func ParseDpkgS(out string, paths []string) map[string]bool {
+	want := map[string]bool{}
+	for _, p := range paths {
+		want[p] = true
+	}
+	owned := map[string]bool{}
+	for _, line := range strings.Split(out, "\n") {
+		if strings.HasPrefix(line, "diversion ") {
+			continue
+		}
+		_, p, ok := strings.Cut(line, ": ")
+		if p = strings.TrimSpace(p); ok && want[p] {
+			owned[p] = true
+		}
+	}
+	return owned
+}
+
+// Timezone возвращает часовой пояс системы (Europe/Moscow) или "".
+func Timezone(ctx context.Context) string {
+	if tz, err := Output(ctx, "timedatectl", "show", "-p", "Timezone", "--value"); err == nil && tz != "" {
+		return tz
+	}
+	if link, err := os.Readlink("/etc/localtime"); err == nil {
+		if _, tz, ok := strings.Cut(link, "zoneinfo/"); ok {
+			return tz
+		}
+	}
+	return ""
+}
+
+// SwapFiles возвращает swap-файлы (не разделы) из /proc/swaps: путь и размер в байтах.
+func SwapFiles() map[string]int64 {
+	out := map[string]int64{}
+	data, err := os.ReadFile("/proc/swaps")
+	if err != nil {
+		return out
+	}
+	for _, line := range strings.Split(string(data), "\n")[1:] {
+		f := strings.Fields(line)
+		if len(f) < 3 || f[1] != "file" {
+			continue
+		}
+		var kb int64
+		fmt.Sscan(f[2], &kb)
+		out[f[0]] = kb * 1024
+	}
+	return out
+}
+
+// ManualPackages — пакеты, поставленные вручную (apt-mark showmanual).
+func ManualPackages(ctx context.Context) []string {
+	out, err := Output(ctx, "apt-mark", "showmanual")
+	if err != nil {
+		return nil
+	}
+	return strings.Fields(out)
+}
+
+// ModifiedConffiles возвращает конфиги пакетов (conffiles), изменённые относительно
+// поставки: md5 файла не совпадает с записанным dpkg.
+func ModifiedConffiles(ctx context.Context) []string {
+	out, err := Output(ctx, "dpkg-query", "-W", `-f=${Conffiles}\n`)
+	if err != nil {
+		return nil
+	}
+	return modifiedConffiles(out, fileMD5)
+}
+
+func modifiedConffiles(out string, sum func(string) string) []string {
+	var res []string
+	seen := map[string]bool{}
+	for _, line := range strings.Split(out, "\n") {
+		f := strings.Fields(line)
+		if len(f) < 2 || !strings.HasPrefix(f[0], "/") || seen[f[0]] {
+			continue
+		}
+		if len(f) > 2 && (f[2] == "obsolete" || f[2] == "remove-on-upgrade") {
+			continue
+		}
+		seen[f[0]] = true
+		if s := sum(f[0]); s != "" && s != f[1] {
+			res = append(res, f[0])
+		}
+	}
+	return res
+}
+
+func fileMD5(p string) string {
+	f, err := os.Open(p)
+	if err != nil {
+		return ""
+	}
+	defer f.Close()
+	h := md5.New()
+	if _, err := io.Copy(h, f); err != nil {
+		return ""
+	}
+	return hex.EncodeToString(h.Sum(nil))
+}
@@ -0,0 +1,34 @@
+package sysx
+
+import (
+	"slices"
+	"testing"
+)
+
+func TestParseDpkgS(t *testing.T) {
+	out := "openssh-server: /etc/ssh/sshd_config\n" +
+		"diversion by foo from: /usr/bin/caddy\n" +
+		"cron, cron-daemon-common: /etc/cron.d/e2scrub_all\n"
+	paths := []string{"/etc/ssh/sshd_config", "/etc/cron.d/e2scrub_all", "/etc/cron.d/ban-blacklist"}
+	owned := ParseDpkgS(out, paths)
+	if !owned["/etc/ssh/sshd_config"] || !owned["/etc/cron.d/e2scrub_all"] || owned["/etc/cron.d/ban-blacklist"] {
+		t.Fatalf("owned = %v", owned)
+	}
+}
+
+func TestModifiedConffiles(t *testing.T) {
+	out := " /etc/ssh/sshd_config aaa\n" +
+		" /etc/fail2ban/fail2ban.conf bbb\n" +
+		" /etc/old.conf ccc obsolete\n" +
+		" /etc/missing.conf ddd\n" +
+		"\n"
+	sums := map[string]string{
+		"/etc/ssh/sshd_config":        "aaa",     // не менялся
+		"/etc/fail2ban/fail2ban.conf": "changed", // изменён
+		"/etc/old.conf":               "x",       // obsolete — пропускаем
+	}
+	got := modifiedConffiles(out, func(p string) string { return sums[p] })
+	if !slices.Equal(got, []string{"/etc/fail2ban/fail2ban.conf"}) {
+		t.Fatalf("modified = %v", got)
+	}
+}
Author	SHA1	Message	Date
mrleo1nidandClaude Opus 5.5	1947b26913	Полнота бэкапа: SSH, весь UFW, свои юниты, конфиги пакетов, системные параметры Release / release (push) Successful in 1m26s Details CI / test (push) Successful in 1m27s Details Агент: - ssh: sshd_config(.d), ключи хоста, authorized_keys root и пользователей - system: весь /etc/ufw и /etc/default/ufw, /etc/sysctl.conf, /etc/hosts, свои файлы в /etc/cron.d (пакетные отсекаются через dpkg -S) - certs: /etc/letsencrypt, /root/.acme.sh; xui: сертификаты по путям из базы - docker: daemon.json и логины в registry; telegraf: /etc/default/telegraf - caddy: бинарник бэкапится, если Caddy собран с плагинами - units: свои systemd-юниты с состоянием enabled/active и drop-in *.service.d - etc: изменённые конфиги любых пакетов (dpkg conffiles) и свои файлы в /etc, кроме привязанного к железу и облаку - в манифесте: часовой пояс, swap, вручную поставленные пакеты; версия apt-пакета в строке категории - предупреждения: программы юнитов вне бэкапа, каталоги /opt и /usr/local/bin без категории, контейнеры без compose Restore: - часовой пояс, swap-файл, доустановка вручную поставленных пакетов - свои юниты включаются и запускаются как на старом сервере Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-17 15:19:34 +03:00
mrleo1nidandClaude Opus 5.5	cbd3cde01d	Бэкап fail2ban и своих geo-файлов 3x-ui CI / test (push) Successful in 1m48s Details - новая категория fail2ban: jail.local, jail.d (в т.ч. 3x-ipl.local), IP-лимит 3x-ui (filter.d/action.d/3x-ipl.conf), свои .local; при восстановлении создаются логи 3xipl.log, без которых jail не поднимается - xui: свои .dat из /usr/local/x-ui/bin (ipcheck, discord-) — на них ссылается роутинг; штатные geo-файлы релиза не бэкапятся - recipe 3x-ui больше не очищает /usr/local/x-ui и не стирает восстановленные файлы - маски (*, ?) в paths и keep_binaries каталога - provision ставит nftables вместе с fail2ban - .gitattributes: LF во всех файлах Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-17 14:24:21 +03:00
mrleo1nidandClaude Opus 5.5	83832fc734	Веб-морда: поиск, фильтры, сортировка и пагинация клиентов; раскладка настроек Release / release (push) Successful in 1m18s Details CI / test (push) Successful in 1m19s Details - список клиентов: поиск по домену и названию, фильтр по статусу (чипы со счётчиками), сортировка по любой колонке, пагинация 10/25/50/100; состояние в URL — отфильтрованный вид можно сохранить ссылкой - размеры последних бэкапов одним запросом вместо запроса на клиента - шапка выровнена по колонке контента; настройки на всю ширину: ntfy и Telegram двумя карточками, на узком экране — друг под другом Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-06 22:42:32 +03:00
mrleo1nidandClaude Opus 5.5	c6942605c1	Обновление бинарника через .new + mv: запущенный файл нельзя перезаписать CI / test (push) Successful in 1m18s Details Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-06 22:34:59 +03:00
mrleo1nidandClaude Opus 5.5	897ad48a2d	Уведомления в Telegram CI / test (push) Successful in 2m45s Details Release / release (push) Successful in 1m17s Details - второй канал рядом с ntfy, оба необязательные: токен бота, несколько chat id, тема форума, свой адрес Bot API - успешные бэкапы приходят без звука, в сообщениях ссылка на карточку клиента - тестовая отправка синхронная: в настройках виден результат по каждому каналу - токен бота не попадает в тексты ошибок и логи Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-06 22:29:26 +03:00
mrleo1nidandClaude Opus 5.5	a488d2ea08	README: схема с Caddy на другом хосте и смена логина админа CI / test (push) Successful in 1m18s Details Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-06 22:18:01 +03:00
mrleo1nidandClaude Opus 5.5	fa1817e614	README: установка сервера из последнего релиза CI / test (push) Successful in 1m17s Details Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-06 22:04:45 +03:00