Полнота бэкапа: SSH, весь UFW, свои юниты, конфиги пакетов, системные параметры

Агент:
- ssh: sshd_config(.d), ключи хоста, authorized_keys root и пользователей
- system: весь /etc/ufw и /etc/default/ufw, /etc/sysctl.conf, /etc/hosts,
  свои файлы в /etc/cron.d (пакетные отсекаются через dpkg -S)
- certs: /etc/letsencrypt, /root/.acme.sh; xui: сертификаты по путям из базы
- docker: daemon.json и логины в registry; telegraf: /etc/default/telegraf
- caddy: бинарник бэкапится, если Caddy собран с плагинами
- units: свои systemd-юниты с состоянием enabled/active и drop-in *.service.d
- etc: изменённые конфиги любых пакетов (dpkg conffiles) и свои файлы в /etc,
  кроме привязанного к железу и облаку
- в манифесте: часовой пояс, swap, вручную поставленные пакеты; версия
  apt-пакета в строке категории
- предупреждения: программы юнитов вне бэкапа, каталоги /opt и /usr/local/bin
  без категории, контейнеры без compose

Restore:
- часовой пояс, swap-файл, доустановка вручную поставленных пакетов
- свои юниты включаются и запускаются как на старом сервере

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.gitattributes

@@ -0,0 +1,2 @@
+* text=auto eol=lf
+*.sh text eol=lf

.gitea/workflows/release.yml

@@ -74,8 +74,27 @@ jobs:
 
           PUBLIC="${PUBLIC_URL:-https://gitea.hsrv.site}"
           DL="${PUBLIC%/}/${GITHUB_REPOSITORY}/releases/download/${TAG}"
-          NOTES="$(printf '## Обновление сервера\n\n```bash\nsudo curl -fsSL %s/backupctl-linux-amd64 -o /usr/local/bin/backupctl\nsudo chmod 755 /usr/local/bin/backupctl\nsudo install -d /opt/backup-master/dist\nfor a in amd64 arm64; do sudo curl -fsSL %s/backupctl-linux-$a -o /opt/backup-master/dist/backupctl-linux-$a; done\nsudo systemctl restart backup-master\n```\n\nАгенты обновляются той же командой `agent.sh` без `--token`: конфиг сохраняется.\n\n## Изменения\n\n%s\n' \
+          # Работающий бинарник нельзя перезаписать (Text file busy) — качаем
-            "${DL}" "${DL}" "${CHANGES}")"
+          # во временный файл и подменяем через mv.
+          NOTES="$(cat <<EOF
+          ## Обновление сервера
+
+          \`\`\`bash
+          REL=${DL}
+          sudo install -d /opt/backup-master/dist
+          for a in amd64 arm64; do sudo curl -fsSL "\$REL/backupctl-linux-\$a" -o "/opt/backup-master/dist/backupctl-linux-\$a"; done
+          sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-\$(dpkg --print-architecture)" /usr/local/bin/backupctl.new
+          sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl
+          sudo systemctl restart backup-master && backupctl version
+          \`\`\`
+
+          Агенты обновляются той же командой \`agent.sh\` без \`--token\`: конфиг сохраняется.
+
+          ## Изменения
+
+          ${CHANGES}
+          EOF
+          )"
 
           PAYLOAD="$(jq -n --arg tag "$TAG" --arg body "$NOTES" \
             '{tag_name: $tag, name: $tag, body: $body, draft: false, prerelease: false}')"

README.md

@@ -25,7 +25,9 @@ sudo install -d /opt/backup-master/dist
 for a in amd64 arm64; do sudo curl -fsSL "$REL/backupctl-linux-$a" -o "/opt/backup-master/dist/backupctl-linux-$a"; done
 sudo curl -fsSL "$REL/checksums.txt" -o /tmp/backupctl-checksums.txt
 (cd /opt/backup-master/dist && grep backupctl-linux /tmp/backupctl-checksums.txt | sha256sum -c -)
-sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl
+# через .new + mv: запущенный бинарник напрямую не перезаписать (Text file busy)
+sudo install -m 755 "/opt/backup-master/dist/backupctl-linux-$ARCH" /usr/local/bin/backupctl.new
+sudo mv -f /usr/local/bin/backupctl.new /usr/local/bin/backupctl
 backupctl version
 
 # администратор веб-морды
@@ -149,13 +151,16 @@ curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_..
 
 1. Показывается сводка бэкапа и запрашивается подтверждение.
 2. Базовая подготовка системы (`internal/restore/provision.sh`): пользователь с sudo, hostname, fail2ban, UFW, blocklist, SSH hardening. Docker, Caddy и Telegraf ставятся **тех же версий apt-пакетов**, если такие версии ещё есть в репозитории. Спрашиваются только логин и пароль пользователя.
-3. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома.
+3. Системные параметры старого сервера: часовой пояс (от него зависит время cron-заданий), swap-файл того же размера, вручную поставленные пакеты (`apt-mark showmanual`), если они есть в репозиториях.
-4. Категории восстанавливаются по порядку:
+4. Распаковка: файлы ложатся на свои места, docker-тома — прямо в тома.
+5. Категории восстанавливаются по порядку:
    - 3x-ui, Nebula и sing-box ставятся той версии, что была на старом сервере. Если скачать не получилось, используется копия бинарника из бэкапа;
    - база x-ui кладётся на место;
    - compose-проекты: образы закрепляются по digest (`compose.restore.yml`), базы поднимаются, в них заливаются дампы, затем запускается весь проект;
-   - systemd-сервисы включаются и запускаются так, как было на старом сервере.
+   - systemd-сервисы включаются и запускаются так, как было на старом сервере;
-5. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка.
+   - sshd проверяется (`sshd -t`) и перезапускается со старым конфигом и ключами хоста;
+   - свои systemd-юниты включаются и запускаются как на старом сервере.
+6. В конце выводятся итог и список того, что осталось сделать: DNS, lighthouse, перезагрузка. Перезагрузка нужна в том числе для того, чтобы все сервисы перечитали восстановленные конфиги.
 
 Флаги:
 - `--backup ID` — конкретный бэкап;
@@ -169,17 +174,32 @@ curl -fsSL https://backup.example.com/restore.sh | sudo bash -s -- --token bm_..
 
 | Категория | Что входит |
 |---|---|
-| system | правила UFW, все crontab (`/var/spool/cron/crontabs`), `ban-blacklist`, `/etc/sysctl.d` |
+| system | весь `/etc/ufw` и `/etc/default/ufw`, все crontab (`/var/spool/cron/crontabs`) и свои файлы `/etc/cron.d`, `/etc/sysctl.conf`, `/etc/sysctl.d`, `/etc/hosts`, `ban.sh` |
-| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, версия 3x-ui |
+| ssh | `sshd_config`, `sshd_config.d`, ключи хоста, `authorized_keys` root и пользователей |
+| certs | `/etc/letsencrypt`, `/root/.acme.sh` |
+| xui | `/etc/x-ui` (снимок базы через `VACUUM INTO`, без логина в панель), `/root/cert`, свои geo-файлы `/usr/local/x-ui/bin/*.dat` (ipcheck, discord и т.п., кроме штатных), сертификаты по путям из базы (панель, подписка, инбаунды), версия 3x-ui |
+| fail2ban | `jail.local`, `jail.d/` (в т.ч. `3x-ipl.local`), IP-лимит 3x-ui (`filter.d`/`action.d/3x-ipl.conf`), свои `*.local`; при восстановлении создаются логи `3xipl.log` |
 | nebula | `/etc/nebula`, юнит, версия |
-| caddy | `/etc/caddy`, `/var/www`, сертификаты |
+| caddy | `/etc/caddy`, `/var/www`, сертификаты; бинарник — если Caddy собран с плагинами |
-| telegraf | `/etc/telegraf`, sudoers |
+| telegraf | `/etc/telegraf`, sudoers, `/etc/default/telegraf` |
+| docker | `/etc/docker/daemon.json`, логины в registry (`/root/.docker/config.json`) |
 | sing-box-warp | `/opt/sing-box-warp`, `/etc/sing-box-warp`, юнит, sysctl, версия sing-box-extended |
 | scripts | `/var/scripts`, `update-geosite.sh` |
 | pnvpanel | `/opt/PnvPanel` целиком, кроме `pgdata`; `pg_dump`; том `ticket_uploads` |
 | stoat | `/opt/stoat`, кроме `data/db` и `data/rabbit`; `mongodump`; `data/minio` идёт отдельной heavy-частью раз в неделю |
 | stoat-mbot | `/opt/stoat-mbot` целиком, восстанавливается после stoat |
+| etc | страховка: изменённые конфиги любых пакетов (`dpkg` conffiles) и свои файлы в `/etc`, кроме привязанного к железу и облаку (сеть, диски, cloud-init, apt, загрузчик) |
 | psiphon | отключён |
+| units | свои systemd-юниты (не из пакетов) с состоянием enabled/active и drop-in переопределения `*.service.d` |
+
+Кроме файлов, в манифест записываются часовой пояс, swap и список вручную поставленных пакетов.
+
+Агент ищет то, что могло не попасть в бэкап, и показывает это в карточке клиента как предупреждения:
+- скрипты из crontab и программы из юнитов, которые не покрыты ни одной категорией;
+- каталоги в `/opt` и программы в `/usr/local/bin` и `/usr/local/sbin` без категории;
+- контейнеры, запущенные через `docker run`, а не через compose.
+
+Ненужное убирается глобальным `exclude` в конфиге клиента.
 
 Compose-проекты, которых нет в каталоге, находятся автоматически (`docker compose ls`). Они бэкапятся с настройками по умолчанию и помечаются в морде как «авто». Базы распознаются по образу (postgres, mongo, mysql, mariadb) и дампятся без остановки.
 

internal/agent/collect.go

@@ -93,14 +93,18 @@ func Collect(ctx context.Context, cat *catalog.Config, spool string, heavyDue bo
 	c.plan.Manifest.Parts = []string{manifest.MainPart}
 	c.fillSystem()
 
-	var composeSpecs []catalog.Spec
+	var composeSpecs, unitSpecs []catalog.Spec
 	for _, s := range cat.Categories {
 		if s.Disabled {
 			continue
 		}
-		if s.Type == catalog.TypeCompose {
+		switch s.Type {
+		case catalog.TypeCompose:
 			composeSpecs = append(composeSpecs, s)
 			continue
+		case catalog.TypeUnits:
+			unitSpecs = append(unitSpecs, s) // после остальных: им нужно знать, что уже покрыто
+			continue
 		}
 		mc, err := c.collectSpec(s)
 		if err != nil {
@@ -113,7 +117,13 @@ func Collect(ctx context.Context, cat *catalog.Config, spool string, heavyDue bo
 	if err := c.collectCompose(composeSpecs); err != nil {
 		return nil, err
 	}
+	for _, s := range unitSpecs {
+		if mc := c.collectUnits(s); mc != nil {
+			c.plan.Manifest.Categories = append(c.plan.Manifest.Categories, *mc)
+		}
+	}
 	c.checkCron()
+	c.checkCoverage()
 	return c.plan, nil
 }
 
@@ -139,6 +149,11 @@ func (c *collector) fillSystem() {
 		SSHHardened: sysx.Exists("/etc/ssh/sshd_config.d/00-hardening.conf"),
 	}
 	m.SudoUsers = sysx.GroupMembers("sudo")
+	m.Timezone = sysx.Timezone(c.ctx)
+	for p, size := range sysx.SwapFiles() {
+		m.Swap = append(m.Swap, manifest.SwapFile{Path: p, Size: size})
+	}
+	m.ManualPackages = sysx.ManualPackages(c.ctx)
 }
 
 // collectSpec обрабатывает категории files/systemd/xui. nil — категория неактивна.
@@ -155,13 +170,28 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 		RestoreAfter: s.RestoreAfter,
 	}
 	skip := archive.NewMatcher(c.cat.Exclude, s.Exclude)
-	for _, p := range s.Paths {
+	for _, p := range expandPaths(s.Paths) {
 		if !sysx.Exists(p) {
 			continue
 		}
 		mc.Paths = append(mc.Paths, p)
 		c.add(manifest.MainPart, filesItem(s.Name, p, skip))
 	}
+	extra := c.unowned(s.Unowned)
+	if s.ModifiedConffiles {
+		extra = append(extra, sysx.ModifiedConffiles(c.ctx)...)
+	}
+	if len(extra) > 0 {
+		covered := c.covered() // то, что уже взяли другие категории, не дублируем
+		for _, p := range extra {
+			ps := filepath.ToSlash(p)
+			if archive.Covers(mc.Paths, ps) || archive.Covers(covered, ps) || skip.Match(ps) {
+				continue
+			}
+			mc.Paths = append(mc.Paths, p)
+			c.add(manifest.MainPart, filesItem(s.Name, p, skip))
+		}
+	}
 
 	if s.Type == catalog.TypeXUI {
 		if err := c.snapshotXUI(mc); err != nil {
@@ -177,7 +207,11 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 		return nil, nil
 	}
 
-	for _, b := range s.KeepBinaries {
+	keepBins := s.KeepBinaries
+	if s.KeepBinariesIf != "" && sysx.Shell(c.ctx, s.KeepBinariesIf) != nil {
+		keepBins = nil
+	}
+	for _, b := range expandPaths(keepBins) {
 		if sysx.Exists(b) {
 			mc.Binaries = append(mc.Binaries, b)
 			c.add(manifest.MainPart, binItem(s.Name, b))
@@ -186,6 +220,15 @@ func (c *collector) collectSpec(s catalog.Spec) (*manifest.Category, error) {
 	if len(s.VersionCmd) > 0 && sysx.Exists(s.VersionCmd[0]) {
 		mc.Version = c.version(s)
 	}
+	if mc.Version == "" && s.Service != "" {
+		// сервис из apt-пакета с тем же именем (caddy, telegraf, docker → docker-ce)
+		for _, pkg := range []string{s.Service, s.Service + "-ce"} {
+			if v := c.plan.Manifest.Packages[pkg]; v != "" {
+				mc.Version = v
+				break
+			}
+		}
+	}
 	if s.Service != "" && sysx.UnitLoaded(c.ctx, s.Service) {
 		en, ac := sysx.UnitState(c.ctx, s.Service)
 		mc.Service = &manifest.ServiceState{Unit: s.Service, Enabled: en, Active: ac}
@@ -236,6 +279,52 @@ func (c *collector) cmdDump(cat string, d catalog.CmdDump, mc *manifest.Category
 	return nil
 }
 
+// expandPaths раскрывает маски (*, ?, [...]) в путях категории; пути без масок — как есть.
+func expandPaths(paths []string) []string {
+	var out []string
+	for _, p := range paths {
+		if !strings.ContainsAny(p, "*?[") {
+			out = append(out, p)
+			continue
+		}
+		m, _ := filepath.Glob(p)
+		out = append(out, m...)
+	}
+	return out
+}
+
+// unowned раскрывает маски и оставляет только обычные файлы, не принадлежащие пакетам.
+func (c *collector) unowned(patterns []string) []string {
+	var files []string
+	for _, p := range expandPaths(patterns) {
+		if fi, err := os.Lstat(p); err == nil && fi.Mode().IsRegular() {
+			files = append(files, p)
+		}
+	}
+	owned := sysx.DpkgOwned(c.ctx, files)
+	var out []string
+	for _, f := range files {
+		if !owned[f] {
+			out = append(out, f)
+		}
+	}
+	return out
+}
+
+// covered — все пути, которые уже попадают в бэкап (для проверок покрытия).
+func (c *collector) covered() []string {
+	var out []string
+	for _, mc := range c.plan.Manifest.Categories {
+		for _, p := range mc.Paths {
+			out = append(out, filepath.ToSlash(p))
+		}
+		for _, p := range mc.Binaries {
+			out = append(out, filepath.ToSlash(p))
+		}
+	}
+	return out
+}
+
 func anyExists(paths []string) bool {
 	for _, p := range paths {
 		if sysx.Exists(p) {

internal/agent/collect_test.go

@@ -0,0 +1,95 @@
+package agent
+
+import (
+	"os"
+	"path/filepath"
+	"slices"
+	"testing"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog"
+)
+
+func TestExpandPaths(t *testing.T) {
+	dir := t.TempDir()
+	for _, n := range []string{"ipcheck.dat", "geoip.dat", "x.txt"} {
+		if err := os.WriteFile(filepath.Join(dir, n), nil, 0o644); err != nil {
+			t.Fatal(err)
+		}
+	}
+	got := expandPaths([]string{filepath.Join(dir, "*.dat"), "/etc/x-ui", filepath.Join(dir, "*.none")})
+	want := []string{filepath.Join(dir, "geoip.dat"), filepath.Join(dir, "ipcheck.dat"), "/etc/x-ui"}
+	if !slices.Equal(got, want) {
+		t.Fatalf("expandPaths = %v, want %v", got, want)
+	}
+}
+
+// Свои geo-файлы попадают в бэкап, штатные из релиза 3x-ui — нет.
+func TestXUIGeoExcludes(t *testing.T) {
+	cat, err := catalog.Default()
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := cat.Find("xui")
+	skip := archive.NewMatcher(cat.Exclude, s.Exclude)
+	cases := map[string]bool{
+		"/usr/local/x-ui/bin/ipcheck.dat":         false,
+		"/usr/local/x-ui/bin/discord-geosite.dat": false,
+		"/usr/local/x-ui/bin/geoip.dat":           true,
+		"/usr/local/x-ui/bin/geosite_RU.dat":      true,
+		"/usr/local/x-ui/bin/geoip_IR.dat":        true,
+		"/usr/local/x-ui/bin/ipcheck.dat.bak":     true,
+		"/etc/x-ui/x-ui.db":                       true,
+	}
+	for p, want := range cases {
+		if got := skip.Match(p); got != want {
+			t.Errorf("exclude(%s) = %v, want %v", p, got, want)
+		}
+	}
+	f2b := cat.Find("fail2ban")
+	if f2b == nil || !slices.Contains(f2b.Paths, "/etc/fail2ban/jail.d") || !slices.Contains(f2b.Paths, "/etc/fail2ban/filter.d/3x-ipl.conf") {
+		t.Fatalf("категория fail2ban: %+v", f2b)
+	}
+}
+
+func TestUnitExecPaths(t *testing.T) {
+	f := filepath.Join(t.TempDir(), "x.service")
+	unit := "[Service]\nExecStartPre=-/opt/app/prepare.sh --x\nExecStart=/usr/local/bin/app run\nExecReload=/bin/kill -HUP $MAINPID\nEnvironment=A=/tmp/x\n"
+	if err := os.WriteFile(f, []byte(unit), 0o644); err != nil {
+		t.Fatal(err)
+	}
+	got := unitExecPaths(f)
+	want := []string{"/opt/app/prepare.sh", "/usr/local/bin/app", "/bin/kill"}
+	if !slices.Equal(got, want) {
+		t.Fatalf("unitExecPaths = %v, want %v", got, want)
+	}
+}
+
+func TestEtcCategoryExcludes(t *testing.T) {
+	cat, err := catalog.Default()
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := cat.Find("etc")
+	if s == nil || !s.ModifiedConffiles {
+		t.Fatal("нет категории etc")
+	}
+	skip := archive.NewMatcher(cat.Exclude, s.Exclude)
+	for p, want := range map[string]bool{
+		"/etc/netplan/50-cloud-init.yaml":        true,
+		"/etc/apt/sources.list.d/ubuntu.sources": true,
+		"/etc/systemd/system/my.service":         true,
+		"/etc/fstab":                             true,
+		"/etc/wireguard/wg0.conf":                false,
+		"/etc/nginx/sites-available/site":        false,
+		"/etc/security/limits.conf":              false,
+		"/etc/systemd/journald.conf":             false,
+	} {
+		if got := skip.Match(p); got != want {
+			t.Errorf("etc exclude(%s) = %v, want %v", p, got, want)
+		}
+	}
+	if cat.Find("units") == nil || cat.Find("ssh") == nil || cat.Find("docker") == nil {
+		t.Fatal("нет категорий units/ssh/docker")
+	}
+}

internal/agent/units.go

@@ -0,0 +1,137 @@
+package agent
+
+import (
+	"bufio"
+	"os"
+	"path/filepath"
+	"slices"
+	"strings"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/catalog"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/manifest"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/sysx"
+)
+
+// collectUnits собирает свои systemd-юниты (не из пакетов и не описанные другими
+// категориями) вместе с состоянием enabled/active, а также drop-in каталоги *.d —
+// переопределения пакетных юнитов (например, docker.service.d/override.conf).
+func (c *collector) collectUnits(s catalog.Spec) *manifest.Category {
+	mc := &manifest.Category{Name: s.Name, Type: catalog.TypeUnits, PostRestore: s.PostRestore, RestoreAfter: s.RestoreAfter}
+	covered := c.covered()
+	services := map[string]bool{}
+	for _, cat := range c.plan.Manifest.Categories {
+		if cat.Service != nil {
+			services[cat.Service.Unit] = true
+		}
+	}
+	skip := archive.NewMatcher(c.cat.Exclude, s.Exclude)
+
+	for _, f := range c.unowned(s.Unowned) {
+		unit := filepath.Base(f)
+		name := strings.TrimSuffix(strings.TrimSuffix(unit, ".service"), ".timer")
+		if archive.Covers(covered, filepath.ToSlash(f)) || services[name] || services[unit] {
+			continue
+		}
+		mc.Paths = append(mc.Paths, f)
+		c.add(manifest.MainPart, filesItem(s.Name, f, skip))
+		st := manifest.ServiceState{Unit: unit}
+		if sysx.UnitLoaded(c.ctx, unit) {
+			st.Enabled, st.Active = sysx.UnitState(c.ctx, unit)
+		}
+		mc.Units = append(mc.Units, st)
+		c.checkExec(unit, f, covered)
+	}
+	for _, d := range expandPaths(s.Paths) {
+		if fi, err := os.Stat(d); err != nil || !fi.IsDir() || archive.Covers(covered, filepath.ToSlash(d)) {
+			continue
+		}
+		mc.Paths = append(mc.Paths, d)
+		c.add(manifest.MainPart, filesItem(s.Name, d, skip))
+	}
+	if len(mc.Paths) == 0 {
+		return nil
+	}
+	return mc
+}
+
+// checkExec предупреждает, если юнит запускает программу, которая не попадает в бэкап
+// и не ставится пакетом: после восстановления такой сервис не стартует.
+func (c *collector) checkExec(unit, file string, covered []string) {
+	var missing []string
+	for _, p := range unitExecPaths(file) {
+		if archive.Covers(covered, p) || archive.Covers(systemBinDirs, p) || slices.Contains(missing, p) {
+			continue
+		}
+		if !sysx.Exists(p) {
+			continue
+		}
+		if sysx.DpkgOwned(c.ctx, []string{p})[p] {
+			continue
+		}
+		missing = append(missing, p)
+	}
+	for _, p := range missing {
+		c.warn("юнит %s запускает %s, но он не попадает в бэкап — добавьте путь в категорию", unit, p)
+	}
+}
+
+// unitExecPaths извлекает пути программ из Exec*= строк unit-файла.
+func unitExecPaths(file string) []string {
+	f, err := os.Open(file)
+	if err != nil {
+		return nil
+	}
+	defer f.Close()
+	var out []string
+	sc := bufio.NewScanner(f)
+	for sc.Scan() {
+		k, v, ok := strings.Cut(strings.TrimSpace(sc.Text()), "=")
+		if !ok || !strings.HasPrefix(k, "Exec") {
+			continue
+		}
+		// префиксы systemd: -, @, :, +, !
+		v = strings.TrimLeft(strings.TrimSpace(v), "-@:+!")
+		if fields := strings.Fields(v); len(fields) > 0 && strings.HasPrefix(fields[0], "/") {
+			out = append(out, fields[0])
+		}
+	}
+	return out
+}
+
+// checkCoverage ищет типичные места, где лежит что-то своё, не попавшее в бэкап:
+// каталоги в /opt, программы в /usr/local/bin и sbin, контейнеры без compose.
+func (c *collector) checkCoverage() {
+	covered := c.covered()
+	ignore := []string{"/opt/containerd", "/usr/local/bin/backupctl"}
+	for _, s := range c.cat.Categories {
+		if s.Disabled && s.Dir != "" {
+			ignore = append(ignore, filepath.ToSlash(s.Dir)) // отключено сознательно
+		}
+	}
+	check := func(pattern, what string) {
+		matches, _ := filepath.Glob(pattern)
+		for _, p := range matches {
+			ps := filepath.ToSlash(p)
+			if archive.Covers(covered, ps) || slices.Contains(ignore, ps) || c.global.Match(ps) {
+				continue
+			}
+			c.warn("%s %s не попадает в бэкап — добавьте его в категорию или в глобальный exclude, если он не нужен", what, p)
+		}
+	}
+	check("/opt/*", "каталог")
+	check("/usr/local/bin/*", "программа")
+	check("/usr/local/sbin/*", "программа")
+
+	if sysx.HasCommand("docker") {
+		out, err := sysx.Output(c.ctx, "docker", "ps", "--format", `{{.Names}}	{{.Label "com.docker.compose.project"}}`)
+		if err == nil {
+			for _, line := range strings.Split(out, "\n") {
+				name, project, _ := strings.Cut(line, "\t")
+				if name != "" && project == "" {
+					c.warn("контейнер %s запущен без docker compose (docker run) — его настройки и данные не бэкапятся", name)
+				}
+			}
+		}
+	}
+}

internal/agent/xui.go

@@ -5,9 +5,12 @@ import (
 	"fmt"
 	"os"
 	"path/filepath"
+	"regexp"
 	"strings"
 
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/archive"
 	"gitea.hsrv.site/mrleo1nid/backup-master/internal/manifest"
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/sysx"
 
 	_ "modernc.org/sqlite"
 )
@@ -32,9 +35,63 @@ func (c *collector) snapshotXUI(mc *manifest.Category) error {
 	}
 	mc.Dumps = append(mc.Dumps, manifest.Dump{Name: "x-ui.db", Kind: "sqlite", Target: xuiDB})
 	c.add(manifest.MainPart, dumpItem(mc.Name, out, "x-ui.db"))
+
+	// сертификаты панели, подписки и инбаундов могут лежать где угодно — берём пути из базы
+	for _, p := range xuiCertPaths(out) {
+		if !sysx.Exists(p) {
+			c.warn("xui: в настройках указан %s, но файла нет", p)
+			continue
+		}
+		if archive.Covers(mc.Paths, filepath.ToSlash(p)) {
+			continue
+		}
+		mc.Paths = append(mc.Paths, p)
+		c.add(manifest.MainPart, filesItem(mc.Name, p, nil))
+	}
 	return nil
 }
 
+var certFileRe = regexp.MustCompile(`"(?:certificateFile|keyFile)"\s*:\s*"([^"]+)"`)
+
+// xuiCertPaths читает из снимка базы 3x-ui пути к сертификатам и ключам.
+func xuiCertPaths(dbPath string) []string {
+	db, err := sql.Open("sqlite", "file:"+dbPath+"?mode=ro")
+	if err != nil {
+		return nil
+	}
+	defer db.Close()
+	seen := map[string]bool{}
+	var out []string
+	addPath := func(p string) {
+		p = strings.TrimSpace(p)
+		if strings.HasPrefix(p, "/") && !seen[p] {
+			seen[p] = true
+			out = append(out, p)
+		}
+	}
+	if rows, err := db.Query(`SELECT value FROM settings WHERE key IN ('webCertFile','webKeyFile','subCertFile','subKeyFile')`); err == nil {
+		for rows.Next() {
+			var v string
+			if rows.Scan(&v) == nil {
+				addPath(v)
+			}
+		}
+		rows.Close()
+	}
+	if rows, err := db.Query(`SELECT stream_settings FROM inbounds`); err == nil {
+		for rows.Next() {
+			var v string
+			if rows.Scan(&v) == nil {
+				for _, m := range certFileRe.FindAllStringSubmatch(v, -1) {
+					addPath(m[1])
+				}
+			}
+		}
+		rows.Close()
+	}
+	return out
+}
+
 func vacuumInto(src, dst string) error {
 	_ = os.Remove(dst)
 	db, err := sql.Open("sqlite", "file:"+src+"?_pragma=busy_timeout(10000)")

internal/catalog/catalog.go

@@ -17,6 +17,8 @@ const (
 	TypeSystemd = "systemd"
 	TypeXUI     = "xui"
 	TypeCompose = "compose"
+	// TypeUnits — свои systemd-юниты (не из пакетов) с состоянием enabled/active.
+	TypeUnits = "units"
 )
 
 type Config struct {
@@ -33,15 +35,23 @@ type Spec struct {
 	Detect   []string `yaml:"detect,omitempty"` // категория активна, если существует хоть один путь
 	Paths    []string `yaml:"paths,omitempty"`
 	Exclude  []string `yaml:"exclude,omitempty"`
+	// Unowned — маски файлов, которые берутся, только если они не принадлежат
+	// ни одному пакету (dpkg -S): свои файлы в /etc/cron.d, /etc/systemd/system и т.п.
+	Unowned []string `yaml:"unowned,omitempty"`
+	// ModifiedConffiles — добавить конфиги пакетов, изменённые относительно поставки.
+	ModifiedConffiles bool `yaml:"modified_conffiles,omitempty"`
 
-	Service      string    `yaml:"service,omitempty"`
+	Service      string   `yaml:"service,omitempty"`
-	VersionCmd   []string  `yaml:"version_cmd,omitempty"`
+	VersionCmd   []string `yaml:"version_cmd,omitempty"`
-	VersionRegex string    `yaml:"version_regex,omitempty"`
+	VersionRegex string   `yaml:"version_regex,omitempty"`
-	Install      string    `yaml:"install,omitempty"`       // recipe: nebula, xui, sing-box-extended
+	Install      string   `yaml:"install,omitempty"`       // recipe: nebula, xui, sing-box-extended
-	KeepBinaries []string  `yaml:"keep_binaries,omitempty"` // fallback-копии бинарников
+	KeepBinaries []string `yaml:"keep_binaries,omitempty"` // fallback-копии бинарников
-	EnsureDirs   []string  `yaml:"ensure_dirs,omitempty"`
+	// KeepBinariesIf — shell-условие: keep_binaries берутся, только если оно истинно
-	PostRestore  []string  `yaml:"post_restore,omitempty"`
+	// (например, Caddy собран с плагинами и из apt его не вернуть).
-	Dumps        []CmdDump `yaml:"dumps,omitempty"`
+	KeepBinariesIf string    `yaml:"keep_binaries_if,omitempty"`
+	EnsureDirs     []string  `yaml:"ensure_dirs,omitempty"`
+	PostRestore    []string  `yaml:"post_restore,omitempty"`
+	Dumps          []CmdDump `yaml:"dumps,omitempty"`
 
 	// compose
 	Dir          string   `yaml:"dir,omitempty"`
@@ -127,7 +137,7 @@ func (c *Config) Validate() error {
 			continue
 		}
 		switch s.Type {
-		case TypeFiles, TypeSystemd, TypeXUI:
+		case TypeFiles, TypeSystemd, TypeXUI, TypeUnits:
 		case TypeCompose:
 			if s.Dir == "" && s.Project == "" {
 				return fmt.Errorf("категория %q: для compose нужен dir или project", s.Name)

internal/catalog/default.yaml

@@ -10,26 +10,79 @@ categories:
   - name: system
     type: files
     paths:
-      - /etc/ufw/user.rules
+      - /etc/ufw # правила, before/after.rules (NAT, форвардинг), /etc/ufw/sysctl.conf
-      - /etc/ufw/user6.rules
+      - /etc/default/ufw
-      - /var/spool/cron/crontabs
+      - /var/spool/cron/crontabs # crontab root (sudo crontab -e) и пользователей
-      - /etc/cron.d/ban-blacklist
       - /usr/local/sbin/ban.sh
+      - /etc/sysctl.conf # BBR, форвардинг и прочие правки ядра
       - /etc/sysctl.d
+      - /etc/hosts
+    # свои задания в /etc/cron.d (пакетные пропускаются)
+    unowned: ["/etc/cron.d/*"]
     post_restore:
       - "ufw reload || true"
       - "sysctl --system >/dev/null || true"
 
+  # SSH: ключи входа, ключи хоста (клиенты не увидят «host key changed») и конфиг sshd
+  # (порт, запрет паролей). После распаковки sshd проверяется и перезапускается.
+  - name: ssh
+    type: files
+    paths:
+      - /etc/ssh/sshd_config
+      - /etc/ssh/sshd_config.d
+      - /etc/ssh/ssh_host_*
+      - /root/.ssh/authorized_keys
+      - /home/*/.ssh/authorized_keys
+    restore_after: [system]
+    post_restore:
+      - "sshd -t && systemctl daemon-reload && (systemctl restart ssh.socket 2>/dev/null; systemctl restart ssh) || echo '!!! sshd: конфиг не прошёл проверку, оставлен старый процесс — проверьте sshd -t'"
+
+  # сертификаты, выпущенные вне Caddy: certbot и acme.sh (его использует x-ui для SSL панели)
+  - name: certs
+    type: files
+    paths: [/etc/letsencrypt, /root/.acme.sh]
+
   - name: xui
     type: xui
     detect: [/usr/local/x-ui/x-ui]
-    paths: [/etc/x-ui, /root/cert]
+    paths:
-    exclude: ["/etc/x-ui/x-ui.db*"]
+      - /etc/x-ui
+      - /root/cert
+      # свои geo-файлы (ipcheck.dat, discord-*.dat и т.п.): на них ссылается роутинг,
+      # без них Xray не стартует; штатные geo*.dat приходят с релизом 3x-ui
+      - /usr/local/x-ui/bin/*.dat
+    exclude:
+      - "/etc/x-ui/x-ui.db*"
+      - "/usr/local/x-ui/bin/geoip.dat"
+      - "/usr/local/x-ui/bin/geosite.dat"
+      - "/usr/local/x-ui/bin/geo*_IR.dat"
+      - "/usr/local/x-ui/bin/geo*_RU.dat"
+      - "*.bak"
     service: x-ui
     version_cmd: [/usr/local/x-ui/x-ui, -v]
     install: xui
     keep_binaries: [/usr/local/x-ui, /usr/bin/x-ui, /etc/systemd/system/x-ui.service]
 
+  # fail2ban: свои jail'ы (jail.local, jail.d/*.local) и IP-лимит 3x-ui (3x-ipl).
+  # Штатные filter.d/action.d ставит пакет — берём только файлы 3x-ui и свои *.local.
+  - name: fail2ban
+    type: systemd
+    detect: [/etc/fail2ban]
+    paths:
+      - /etc/fail2ban/jail.local
+      - /etc/fail2ban/jail.d
+      - /etc/fail2ban/fail2ban.local
+      - /etc/fail2ban/fail2ban.conf # 3x-ui включает в нём allowipv6
+      - /etc/fail2ban/filter.d/3x-ipl.conf
+      - /etc/fail2ban/action.d/3x-ipl.conf
+      - /etc/fail2ban/filter.d/*.local
+      - /etc/fail2ban/action.d/*.local
+    service: fail2ban
+    restore_after: [system, xui]
+    post_restore:
+      # jail 3x-ipl читает лог x-ui: без файла fail2ban не поднимет jail
+      - "if ls /etc/fail2ban/jail.d/3x-ipl* >/dev/null 2>&1; then mkdir -p /var/log/x-ui && touch /var/log/x-ui/3xipl.log /var/log/x-ui/3xipl-banned.log; fi"
+
   - name: nebula
     type: systemd
     detect: [/etc/nebula]
@@ -44,13 +97,22 @@ categories:
     detect: [/etc/caddy/Caddyfile]
     paths: [/etc/caddy, /var/www, /var/lib/caddy/.local/share/caddy]
     service: caddy
+    # Caddy с плагинами (xcaddy, caddy add-package) из apt не вернуть — тогда бэкапим бинарник
+    keep_binaries: [/usr/bin/caddy]
+    keep_binaries_if: "caddy list-modules --packages 2>/dev/null | grep -Eq 'Non-standard modules: [1-9]'"
 
   - name: telegraf
     type: systemd
     detect: [/etc/telegraf]
-    paths: [/etc/telegraf, /etc/sudoers.d/telegraf]
+    paths: [/etc/telegraf, /etc/sudoers.d/telegraf, /etc/default/telegraf]
     service: telegraf
 
+  # настройки демона docker (логи, MTU, IPv6) и логины в приватные registry
+  - name: docker
+    type: systemd
+    paths: [/etc/docker/daemon.json, /root/.docker/config.json]
+    service: docker
+
   - name: sing-box-warp
     type: systemd
     detect: [/opt/sing-box-warp]
@@ -70,6 +132,43 @@ categories:
     type: files
     paths: [/var/scripts, /usr/local/bin/update-geosite.sh]
 
+  # Страховка: всё своё в /etc, не описанное выше, — изменённые конфиги любых пакетов
+  # (dpkg conffiles: nginx, limits.conf, journald и т.п.) и файлы, не принадлежащие
+  # ни одному пакету (ключи wireguard, свои конфиги). Привязанное к железу и облаку
+  # (сеть, диски, cloud-init, зеркала apt, загрузчик) исключено — на новом VPS оно своё.
+  - name: etc
+    type: files
+    modified_conffiles: true
+    unowned: ["/etc/*/*", "/etc/*/*/*"]
+    exclude:
+      - /etc/netplan
+      - /etc/network
+      - /etc/NetworkManager
+      - /etc/systemd/network
+      - /etc/systemd/system # юниты собирает категория units
+      - /etc/cloud
+      - /etc/landscape
+      - /etc/ubuntu-advantage
+      - /etc/apt
+      - /etc/udev
+      - /etc/fstab
+      - /etc/default/grub
+      - /etc/default/grub.d
+      - /etc/initramfs-tools
+      - /etc/iscsi
+      - /etc/lvm
+      - /etc/mdadm
+      - /etc/multipath
+      - /etc/dhcp
+      - /etc/alternatives
+      - /etc/apparmor.d/cache
+      - /etc/ssl/certs
+      - /etc/ssl/private/ssl-cert-snakeoil.key
+      - /etc/sudoers.d/90-cloud-init-users
+      - /etc/machine-id
+      - /etc/hostname
+      - /etc/resolv.conf
+
   - name: pnvpanel
     type: compose
     dir: /opt/PnvPanel
@@ -89,3 +188,10 @@ categories:
     type: compose
     dir: /opt/psiphon
     disabled: true
+
+  # Свои systemd-юниты, не описанные выше и не из пакетов, — с состоянием enabled/active,
+  # и drop-in переопределения пакетных юнитов (*.service.d/override.conf).
+  - name: units
+    type: units
+    unowned: ["/etc/systemd/system/*.service", "/etc/systemd/system/*.timer"]
+    paths: ["/etc/systemd/system/*.service.d", "/etc/systemd/system/*.timer.d"]

internal/manifest/manifest.go

@@ -20,9 +20,13 @@ type Manifest struct {
 	Packages      map[string]string `json:"packages,omitempty"` // apt-пакет → точная версия dpkg
 	Features      Features          `json:"features"`
 	SudoUsers     []string          `json:"sudo_users,omitempty"`
-	Categories    []Category        `json:"categories"`
+	Timezone      string            `json:"timezone,omitempty"`
-	Parts         []string          `json:"parts"` // main + heavy-части, вошедшие в этот бэкап
+	Swap          []SwapFile        `json:"swap,omitempty"`
-	Warnings      []string          `json:"warnings,omitempty"`
+	// ManualPackages — пакеты, поставленные вручную (apt-mark showmanual): restore доставит недостающие.
+	ManualPackages []string   `json:"manual_packages,omitempty"`
+	Categories     []Category `json:"categories"`
+	Parts          []string   `json:"parts"` // main + heavy-части, вошедшие в этот бэкап
+	Warnings       []string   `json:"warnings,omitempty"`
 }
 
 type OSInfo struct {
@@ -39,22 +43,28 @@ type Features struct {
 }
 
 type Category struct {
-	Name         string        `json:"name"`
+	Name         string         `json:"name"`
-	Type         string        `json:"type"`
+	Type         string         `json:"type"`
-	Auto         bool          `json:"auto,omitempty"` // найдена автоматически, в каталоге не описана
+	Auto         bool           `json:"auto,omitempty"` // найдена автоматически, в каталоге не описана
-	Version      string        `json:"version,omitempty"`
+	Version      string         `json:"version,omitempty"`
-	Install      string        `json:"install,omitempty"` // recipe установки бинарника
+	Install      string         `json:"install,omitempty"` // recipe установки бинарника
-	Service      *ServiceState `json:"service,omitempty"`
+	Service      *ServiceState  `json:"service,omitempty"`
-	Paths        []string      `json:"paths,omitempty"`    // абсолютные пути в <cat>/files/
+	Units        []ServiceState `json:"units,omitempty"`    // тип units: свои systemd-юниты и их состояние
-	Binaries     []string      `json:"binaries,omitempty"` // абсолютные пути в <cat>/bin/ (fallback)
+	Paths        []string       `json:"paths,omitempty"`    // абсолютные пути в <cat>/files/
-	Dumps        []Dump        `json:"dumps,omitempty"`
+	Binaries     []string       `json:"binaries,omitempty"` // абсолютные пути в <cat>/bin/ (fallback)
-	Volumes      []Volume      `json:"volumes,omitempty"`
+	Dumps        []Dump         `json:"dumps,omitempty"`
-	Heavy        []string      `json:"heavy,omitempty"` // пути, ушедшие в отдельную часть <cat>
+	Volumes      []Volume       `json:"volumes,omitempty"`
-	HeavySkipped bool          `json:"heavy_skipped,omitempty"`
+	Heavy        []string       `json:"heavy,omitempty"` // пути, ушедшие в отдельную часть <cat>
-	Compose      *Compose      `json:"compose,omitempty"`
+	HeavySkipped bool           `json:"heavy_skipped,omitempty"`
-	EnsureDirs   []string      `json:"ensure_dirs,omitempty"`
+	Compose      *Compose       `json:"compose,omitempty"`
-	PostRestore  []string      `json:"post_restore,omitempty"`
+	EnsureDirs   []string       `json:"ensure_dirs,omitempty"`
-	RestoreAfter []string      `json:"restore_after,omitempty"`
+	PostRestore  []string       `json:"post_restore,omitempty"`
+	RestoreAfter []string       `json:"restore_after,omitempty"`
+}
+
+type SwapFile struct {
+	Path string `json:"path"`
+	Size int64  `json:"size"` // байт
 }
 
 type ServiceState struct {

internal/restore/provision.sh

@@ -189,7 +189,8 @@ ok "$(iptables --version)"
 
 # ---------- 5. Fail2ban ----------
 step "5. Fail2ban"
-apt_install fail2ban python3-systemd
+# nftables: штатный banaction fail2ban в Ubuntu 24.04 — nftables, без nft jail sshd не банит
+apt_install fail2ban python3-systemd nftables
 IGNORE_IP="127.0.0.1/8 ::1 192.168.0.0/16 10.0.0.0/8"
 if [[ -n $CLIENT_IP ]]; then
   IGNORE_IP+=" $CLIENT_IP"

internal/restore/recipes.go

@@ -44,7 +44,8 @@ func installXUI(ctx context.Context, version, arch string) error {
 		v = "v" + v
 	}
 	url := fmt.Sprintf("https://github.com/MHSanaei/3x-ui/releases/download/%s/x-ui-linux-%s.tar.gz", v, arch)
-	_ = os.RemoveAll("/usr/local/x-ui")
+	// каталог не очищаем: в нём уже лежат восстановленные свои geo-файлы (ipcheck.dat и т.п.),
+	// архив релиза перезапишет только свои файлы
 	if err := fetchTarGz(ctx, url, func(name string) (string, bool) {
 		name = strings.TrimPrefix(name, "./")
 		if !strings.HasPrefix(name, "x-ui/") && name != "x-ui" {

internal/restore/restore.go

@@ -106,6 +106,7 @@ func Run(ctx context.Context, opts Options) error {
 			return fmt.Errorf("подготовка сервера: %w", err)
 		}
 	}
+	r.restoreSystem()
 	if err := r.prepareVolumes(); err != nil {
 		return err
 	}
@@ -403,6 +404,13 @@ func (r *restorer) restoreCategory(c manifest.Category) error {
 		if err := r.restoreCompose(c); err != nil {
 			return err
 		}
+	case catalog.TypeUnits:
+		_ = sysx.Run(r.ctx, "systemctl", "daemon-reload")
+		for i := range c.Units {
+			if err := r.applyService(&c.Units[i]); err != nil {
+				r.warn("%s: %v", c.Name, err)
+			}
+		}
 	}
 	if c.Name == "system" {
 		r.fixCrontabs()

internal/restore/system.go

@@ -0,0 +1,113 @@
+package restore
+
+import (
+	"fmt"
+	"os"
+	"regexp"
+	"strings"
+
+	"gitea.hsrv.site/mrleo1nid/backup-master/internal/sysx"
+)
+
+// restoreSystem повторяет системные параметры старого сервера: часовой пояс
+// (от него зависит время cron-заданий), swap-файл и вручную поставленные пакеты.
+func (r *restorer) restoreSystem() {
+	step("Системные параметры")
+	r.restoreTimezone()
+	r.restoreSwap()
+	r.restorePackages()
+}
+
+func (r *restorer) restoreTimezone() {
+	tz := r.m.Timezone
+	if tz == "" {
+		return
+	}
+	if cur := sysx.Timezone(r.ctx); cur == tz {
+		info("часовой пояс %s — как на старом сервере", tz)
+		return
+	}
+	if err := sysx.Run(r.ctx, "timedatectl", "set-timezone", tz); err != nil {
+		r.warn("часовой пояс %s не установлен: %v", tz, err)
+		return
+	}
+	info("часовой пояс: %s", tz)
+}
+
+func (r *restorer) restoreSwap() {
+	if len(r.m.Swap) == 0 {
+		return
+	}
+	if len(sysx.SwapFiles()) > 0 {
+		info("swap уже есть — не трогаю")
+		return
+	}
+	if out, _ := sysx.Output(r.ctx, "swapon", "--show", "--noheadings"); out != "" {
+		info("swap уже есть (раздел) — не трогаю")
+		return
+	}
+	for _, sw := range r.m.Swap {
+		if sysx.Exists(sw.Path) {
+			r.warn("swap: %s уже существует, но не подключён — пропускаю", sw.Path)
+			continue
+		}
+		mb := sw.Size / (1 << 20)
+		script := fmt.Sprintf(`set -e
+fallocate -l %dM %[2]q || dd if=/dev/zero of=%[2]q bs=1M count=%[1]d status=none
+chmod 600 %[2]q
+mkswap %[2]q >/dev/null
+swapon %[2]q
+grep -qF %[2]q /etc/fstab || echo %[3]q >> /etc/fstab`, mb, sw.Path, sw.Path+" none swap sw 0 0")
+		if err := sysx.Shell(r.ctx, script); err != nil {
+			r.warn("swap %s: %v", sw.Path, err)
+			continue
+		}
+		info("swap %s, %d МБ", sw.Path, mb)
+	}
+}
+
+// Пакеты ядра конкретных версий и метапакеты облачных образов ставить не нужно.
+var skipPackageRe = regexp.MustCompile(`^linux-(image|headers|modules|tools|cloud-tools|hwe)-\d|^linux-(image|headers|modules)-extra`)
+
+func (r *restorer) restorePackages() {
+	if len(r.m.ManualPackages) == 0 {
+		return
+	}
+	installed := map[string]bool{}
+	if out, err := sysx.Output(r.ctx, "dpkg-query", "-W", "-f=${Package} ${db:Status-Status}\n"); err == nil {
+		for _, line := range strings.Split(out, "\n") {
+			if name, st, ok := strings.Cut(line, " "); ok && st == "installed" {
+				installed[name] = true
+			}
+		}
+	}
+	available := map[string]bool{}
+	if out, err := sysx.Output(r.ctx, "apt-cache", "pkgnames"); err == nil {
+		for _, n := range strings.Fields(out) {
+			available[n] = true
+		}
+	}
+	var install, missing []string
+	for _, p := range r.m.ManualPackages {
+		name, _, _ := strings.Cut(p, ":") // pkg:amd64
+		if installed[name] || skipPackageRe.MatchString(name) {
+			continue
+		}
+		if available[name] {
+			install = append(install, name)
+		} else {
+			missing = append(missing, name)
+		}
+	}
+	if len(install) > 0 {
+		info("доустанавливаю пакеты со старого сервера: %s", strings.Join(install, " "))
+		_ = os.Setenv("DEBIAN_FRONTEND", "noninteractive")
+		args := append([]string{"install", "-y", "-q", "-o", "Dpkg::Options::=--force-confdef", "-o", "Dpkg::Options::=--force-confold"}, install...)
+		if err := sysx.Run(r.ctx, "apt-get", args...); err != nil {
+			r.warn("часть пакетов не установилась: %v", err)
+		}
+	}
+	if len(missing) > 0 {
+		r.warn("пакетов нет в репозиториях этого сервера (ставились из своих репозиториев или .deb): %s", strings.Join(missing, " "))
+	}
+}

internal/server/clients_list.go

@@ -0,0 +1,280 @@
+package server
+
+import (
+	"cmp"
+	"net/http"
+	"net/url"
+	"slices"
+	"strconv"
+	"strings"
+)
+
+// Параметры списка клиентов живут в URL: ссылку на отфильтрованный вид можно сохранить.
+type clientsQuery struct {
+	Q      string
+	Status string // "" — все
+	Sort   string
+	Desc   bool
+	Page   int
+	Per    int
+}
+
+var (
+	sortColumns = []string{"domain", "name", "status", "last_backup", "size", "last_seen"}
+	perOptions  = []int{10, 25, 50, 100}
+	statusOrder = []struct{ Key, Title string }{
+		{"fail", "ошибка"}, {"stale", "просрочен"}, {"never", "нет бэкапов"}, {"ok", "ok"}, {"off", "отключён"},
+	}
+)
+
+// defaultDesc — направление по умолчанию при выборе колонки: даты и размеры — сначала большие.
+func defaultDesc(col string) bool {
+	switch col {
+	case "last_backup", "size", "last_seen":
+		return true
+	}
+	return false
+}
+
+func parseClientsQuery(r *http.Request) clientsQuery {
+	v := r.URL.Query()
+	q := clientsQuery{
+		Q:      strings.TrimSpace(v.Get("q")),
+		Status: v.Get("status"),
+		Sort:   v.Get("sort"),
+		Page:   1,
+		Per:    25,
+	}
+	if !slices.ContainsFunc(statusOrder, func(s struct{ Key, Title string }) bool { return s.Key == q.Status }) {
+		q.Status = ""
+	}
+	if !slices.Contains(sortColumns, q.Sort) {
+		q.Sort = "domain"
+	}
+	switch v.Get("dir") {
+	case "asc":
+		q.Desc = false
+	case "desc":
+		q.Desc = true
+	default:
+		q.Desc = defaultDesc(q.Sort)
+	}
+	if p, err := strconv.Atoi(v.Get("page")); err == nil && p > 0 {
+		q.Page = p
+	}
+	if p, err := strconv.Atoi(v.Get("per")); err == nil && slices.Contains(perOptions, p) {
+		q.Per = p
+	}
+	return q
+}
+
+func (q clientsQuery) values() url.Values {
+	v := url.Values{}
+	if q.Q != "" {
+		v.Set("q", q.Q)
+	}
+	if q.Status != "" {
+		v.Set("status", q.Status)
+	}
+	if q.Sort != "domain" || q.Desc {
+		v.Set("sort", q.Sort)
+		if q.Desc != defaultDesc(q.Sort) {
+			if q.Desc {
+				v.Set("dir", "desc")
+			} else {
+				v.Set("dir", "asc")
+			}
+		}
+	}
+	if q.Page > 1 {
+		v.Set("page", strconv.Itoa(q.Page))
+	}
+	if q.Per != 25 {
+		v.Set("per", strconv.Itoa(q.Per))
+	}
+	return v
+}
+
+func (q clientsQuery) url() string {
+	if enc := q.values().Encode(); enc != "" {
+		return "/?" + enc
+	}
+	return "/"
+}
+
+// StatusURL — ссылка на фильтр по статусу (с первой страницы).
+func (q clientsQuery) StatusURL(status string) string {
+	q.Status, q.Page = status, 1
+	return q.url()
+}
+
+// SortURL — ссылка для заголовка колонки: повторный клик меняет направление.
+func (q clientsQuery) SortURL(col string) string {
+	if q.Sort == col {
+		q.Desc = !q.Desc
+	} else {
+		q.Sort, q.Desc = col, defaultDesc(col)
+	}
+	q.Page = 1
+	return q.url()
+}
+
+func (q clientsQuery) SortMark(col string) string {
+	if q.Sort != col {
+		return ""
+	}
+	if q.Desc {
+		return "↓"
+	}
+	return "↑"
+}
+
+// DirParam — значение dir для формы поиска, если направление отличается от умолчания колонки.
+func (q clientsQuery) DirParam() string {
+	return q.values().Get("dir")
+}
+
+func (q clientsQuery) PageURL(p int) string {
+	q.Page = p
+	return q.url()
+}
+
+type statusChip struct {
+	Key, Title string
+	Count      int
+	URL        string
+	Active     bool
+}
+
+type pageLink struct {
+	N       int
+	URL     string
+	Current bool
+	Gap     bool
+}
+
+type clientsView struct {
+	Query    clientsQuery
+	Rows     []clientRow
+	Chips    []statusChip
+	Total    int // всего клиентов
+	Found    int // после поиска и фильтра
+	From, To int
+	Pages    []pageLink
+	Prev     string
+	Next     string
+	PerOpts  []int
+}
+
+func (s *Server) webClients(w http.ResponseWriter, r *http.Request) {
+	q := parseClientsQuery(r)
+	clients, err := s.st.ListClients()
+	if err != nil {
+		http.Error(w, err.Error(), http.StatusInternalServerError)
+		return
+	}
+	sizes, err := s.st.LastSizes()
+	if err != nil {
+		http.Error(w, err.Error(), http.StatusInternalServerError)
+		return
+	}
+	v := buildClientsView(q, clients, sizes)
+	s.render(w, r, "clients", map[string]any{"V": v})
+}
+
+func buildClientsView(q clientsQuery, clients []*Client, sizes map[int64]int64) *clientsView {
+	v := &clientsView{Query: q, Total: len(clients), PerOpts: perOptions}
+
+	// поиск
+	needle := strings.ToLower(q.Q)
+	var matched []clientRow
+	for _, c := range clients {
+		if needle != "" && !strings.Contains(strings.ToLower(c.Domain), needle) && !strings.Contains(strings.ToLower(c.Name), needle) {
+			continue
+		}
+		row := clientRow{Client: c, LastSize: sizes[c.ID]}
+		row.StatusClass, row.StatusText = clientStatus(c)
+		matched = append(matched, row)
+	}
+
+	// чипы статусов считаются по результату поиска, до фильтра по статусу
+	counts := map[string]int{}
+	for _, r := range matched {
+		counts[r.StatusClass]++
+	}
+	v.Chips = append(v.Chips, statusChip{Title: "все", Count: len(matched), URL: q.StatusURL(""), Active: q.Status == ""})
+	for _, st := range statusOrder {
+		if counts[st.Key] == 0 && q.Status != st.Key {
+			continue
+		}
+		v.Chips = append(v.Chips, statusChip{Key: st.Key, Title: st.Title, Count: counts[st.Key], URL: q.StatusURL(st.Key), Active: q.Status == st.Key})
+	}
+
+	rows := matched[:0:0]
+	for _, r := range matched {
+		if q.Status == "" || r.StatusClass == q.Status {
+			rows = append(rows, r)
+		}
+	}
+
+	rank := map[string]int{}
+	for i, st := range statusOrder {
+		rank[st.Key] = i
+	}
+	slices.SortStableFunc(rows, func(a, b clientRow) int {
+		var c int
+		switch q.Sort {
+		case "name":
+			c = cmp.Compare(strings.ToLower(a.Name), strings.ToLower(b.Name))
+		case "status":
+			c = cmp.Compare(rank[a.StatusClass], rank[b.StatusClass])
+		case "last_backup":
+			c = cmp.Compare(a.LastBackupAt, b.LastBackupAt)
+		case "size":
+			c = cmp.Compare(a.LastSize, b.LastSize)
+		case "last_seen":
+			c = cmp.Compare(a.LastSeenAt, b.LastSeenAt)
+		}
+		if q.Desc {
+			c = -c
+		}
+		if c == 0 { // стабильный вторичный порядок — по домену
+			c = cmp.Compare(a.Domain, b.Domain)
+		}
+		return c
+	})
+
+	// пагинация
+	v.Found = len(rows)
+	pages := max(1, (v.Found+q.Per-1)/q.Per)
+	if q.Page > pages {
+		q.Page = pages
+		v.Query = q
+	}
+	start := (q.Page - 1) * q.Per
+	end := min(start+q.Per, v.Found)
+	v.Rows = rows[start:end]
+	if v.Found > 0 {
+		v.From, v.To = start+1, end
+	}
+	if pages > 1 {
+		if q.Page > 1 {
+			v.Prev = q.PageURL(q.Page - 1)
+		}
+		if q.Page < pages {
+			v.Next = q.PageURL(q.Page + 1)
+		}
+		last := 0
+		for p := 1; p <= pages; p++ {
+			if p != 1 && p != pages && (p < q.Page-2 || p > q.Page+2) {
+				continue
+			}
+			if last != 0 && p > last+1 {
+				v.Pages = append(v.Pages, pageLink{Gap: true})
+			}
+			v.Pages = append(v.Pages, pageLink{N: p, URL: q.PageURL(p), Current: p == q.Page})
+			last = p
+		}
+	}
+	return v
+}

internal/server/clients_list_test.go

@@ -0,0 +1,87 @@
+package server
+
+import (
+	"fmt"
+	"net/http/httptest"
+	"strings"
+	"testing"
+	"time"
+)
+
+func testClients() ([]*Client, map[int64]int64) {
+	now := time.Now().Unix()
+	var cs []*Client
+	sizes := map[int64]int64{}
+	for i := 1; i <= 30; i++ {
+		c := &Client{ID: int64(i), Domain: fmt.Sprintf("srv%02d.example.com", i), Name: fmt.Sprintf("srv%02d", i),
+			StaleHours: 26, LastBackupAt: now - int64(i)*60, CreatedAt: now}
+		sizes[c.ID] = int64(i) * 1000
+		cs = append(cs, c)
+	}
+	cs[0].Name = "Нидерланды"           // srv01
+	cs[1].LastBackupAt = 0              // srv02 — never
+	cs[2].LastErrorAt = now             // srv03 — fail
+	cs[3].Disabled = true               // srv04 — off
+	cs[4].LastBackupAt = now - 100*3600 // srv05 — stale
+	return cs, sizes
+}
+
+func view(t *testing.T, rawQuery string) *clientsView {
+	t.Helper()
+	cs, sizes := testClients()
+	r := httptest.NewRequest("GET", "/?"+rawQuery, nil)
+	return buildClientsView(parseClientsQuery(r), cs, sizes)
+}
+
+func TestClientsSearchFilter(t *testing.T) {
+	v := view(t, "q=нидер")
+	if v.Found != 1 || v.Rows[0].Domain != "srv01.example.com" {
+		t.Fatalf("поиск по названию: %d", v.Found)
+	}
+	if v := view(t, "q=SRV1"); v.Found != 10 { // srv10..srv19
+		t.Fatalf("поиск без учёта регистра: %d", v.Found)
+	}
+	v = view(t, "status=fail")
+	if v.Found != 1 || v.Rows[0].Domain != "srv03.example.com" {
+		t.Fatalf("фильтр fail: %+v", v.Found)
+	}
+	chips := map[string]int{}
+	for _, c := range v.Chips {
+		chips[c.Key] = c.Count
+	}
+	if chips[""] != 30 || chips["never"] != 1 || chips["off"] != 1 || chips["stale"] != 1 || chips["ok"] != 26 {
+		t.Fatalf("счётчики: %v", chips)
+	}
+}
+
+func TestClientsSortAndPaging(t *testing.T) {
+	v := view(t, "")
+	if v.Found != 30 || len(v.Rows) != 25 || v.Rows[0].Domain != "srv01.example.com" || v.Next == "" {
+		t.Fatalf("первая страница: found=%d rows=%d", v.Found, len(v.Rows))
+	}
+	v = view(t, "page=2")
+	if len(v.Rows) != 5 || v.From != 26 || v.To != 30 || v.Prev == "" || v.Next != "" {
+		t.Fatalf("вторая страница: %+v", v)
+	}
+	if v := view(t, "page=99"); v.Query.Page != 2 {
+		t.Fatalf("страница за пределами: %d", v.Query.Page)
+	}
+	v = view(t, "sort=size&per=10")
+	if v.Rows[0].Domain != "srv30.example.com" || len(v.Rows) != 10 {
+		t.Fatalf("размер по убыванию по умолчанию: %s", v.Rows[0].Domain)
+	}
+	if v := view(t, "sort=size&dir=asc"); v.Rows[0].Domain != "srv01.example.com" {
+		t.Fatalf("размер по возрастанию: %s", v.Rows[0].Domain)
+	}
+	if v := view(t, "sort=status"); v.Rows[0].StatusClass != "fail" {
+		t.Fatalf("сортировка по статусу: %s", v.Rows[0].StatusClass)
+	}
+	// повторный клик по текущей колонке меняет направление
+	if u := view(t, "sort=size").Query.SortURL("size"); !strings.Contains(u, "dir=asc") {
+		t.Fatalf("SortURL: %s", u)
+	}
+	// фильтр сохраняется в ссылках пагинации
+	if u := view(t, "q=srv&status=ok").Query.PageURL(2); !strings.Contains(u, "q=srv") || !strings.Contains(u, "status=ok") {
+		t.Fatalf("PageURL: %s", u)
+	}
+}

internal/server/static/style.css

@@ -43,9 +43,11 @@ a:hover { text-decoration: underline; }
 code, pre { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; }
 code { background: var(--code-bg); padding: 1px 5px; border-radius: 4px; }
 
-.top {
+.top { background: var(--panel); border-bottom: 1px solid var(--border); }
+/* шапка выровнена по той же колонке, что и контент */
+.top .wrap {
+  max-width: 1200px; margin: 0 auto; padding: 10px 24px;
   display: flex; align-items: center; justify-content: space-between; gap: 16px;
-  padding: 10px 24px; background: var(--panel); border-bottom: 1px solid var(--border);
 }
 .brand { font-weight: 600; color: var(--text); }
 .top nav { display: flex; align-items: center; gap: 18px; }
@@ -94,6 +96,33 @@ input, textarea {
 }
 input[type=checkbox] { display: inline; width: auto; margin: 0; }
 textarea { font-family: ui-monospace, "Cascadia Mono", Consolas, monospace; font-size: 13px; }
+.settings { display: flex; flex-direction: column; gap: 16px; }
+.cards { display: grid; grid-template-columns: repeat(auto-fit, minmax(340px, 1fr)); gap: 16px; align-items: start; }
+.cards .card { height: 100%; }
+
+.toolbar { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin-bottom: 12px; }
+.toolbar input[type=search] { flex: 1 1 260px; width: auto; margin: 0; }
+.toolbar select { margin: 0; }
+select {
+  padding: 7px 10px; background: var(--bg); color: var(--text);
+  border: 1px solid var(--border); border-radius: 6px; font: inherit;
+}
+.chips { display: flex; flex-wrap: wrap; gap: 6px; }
+.chip {
+  display: inline-flex; align-items: center; gap: 6px; padding: 4px 10px; border-radius: 14px;
+  border: 1px solid var(--border); color: var(--muted); font-size: 13px; white-space: nowrap;
+}
+.chip:hover { text-decoration: none; color: var(--text); }
+.chip.active { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
+.chip .count { opacity: 0.75; font-variant-numeric: tabular-nums; }
+th a { color: inherit; }
+th a.sorted { color: var(--text); }
+.pager { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 12px; margin-top: 12px; color: var(--muted); font-size: 13px; }
+.pager .pages { display: flex; gap: 4px; flex-wrap: wrap; }
+.pager .pages a, .pager .pages span { min-width: 32px; text-align: center; padding: 4px 8px; border-radius: 6px; border: 1px solid var(--border); }
+.pager .pages span.current { background: var(--accent); border-color: var(--accent); color: var(--accent-text); }
+.pager .pages span.gap { border: none; }
+
 .grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(150px, 1fr)); gap: 0 16px; }
 
 button, .button {
@@ -124,6 +153,7 @@ pre.json { background: var(--panel); border: 1px solid var(--border); border-rad
 
 @media (max-width: 640px) {
   main { padding: 16px; }
-  .top { padding: 10px 16px; }
+  .top .wrap { padding: 10px 16px; }
+  .cards { grid-template-columns: 1fr; }
   .cmd { flex-direction: column; }
 }

internal/server/store.go

@@ -325,6 +325,25 @@ func (s *Store) ListBackups(clientID int64, status string) ([]*Backup, error) {
 	return out, nil
 }
 
+// LastSizes возвращает размер последнего успешного бэкапа по каждому клиенту одним запросом.
+func (s *Store) LastSizes() (map[int64]int64, error) {
+	rows, err := s.db.Query(`SELECT client_id, total_size FROM backups b WHERE status = ?1 AND id = (
+		SELECT id FROM backups WHERE client_id = b.client_id AND status = ?1 ORDER BY created_at DESC, id DESC LIMIT 1)`, StatusComplete)
+	if err != nil {
+		return nil, err
+	}
+	defer rows.Close()
+	out := map[int64]int64{}
+	for rows.Next() {
+		var id, size int64
+		if err := rows.Scan(&id, &size); err != nil {
+			return nil, err
+		}
+		out[id] = size
+	}
+	return out, rows.Err()
+}
+
 // LatestComplete возвращает последний успешный бэкап клиента.
 func (s *Store) LatestComplete(clientID int64) (*Backup, error) {
 	var id int64

internal/server/templates/client.html

@@ -40,7 +40,8 @@
     <td>{{.Version}}{{with .Compose}}{{with .Git}}<span class="muted small" title="{{.Remote}}">git {{printf "%.8s" .Commit}}{{if .Dirty}}*{{end}}</span>{{end}}{{end}}</td>
     <td>{{with .Service}}{{.Unit}} {{if .Active}}<span class="ok-text">active</span>{{else}}<span class="muted">inactive</span>{{end}}{{if not .Enabled}} <span class="muted">(disabled)</span>{{end}}{{end}}</td>
     <td class="small">
-      {{if .Paths}}{{join .Paths ", "}}{{end}}
+      {{if .Paths}}<span title="{{join .Paths ", "}}">{{short .Paths 8}}</span>{{end}}
+      {{range .Units}}<br>юнит {{.Unit}}{{if .Enabled}} <span class="muted">enabled</span>{{end}}{{if .Active}} <span class="ok-text">active</span>{{end}}{{end}}
       {{range .Dumps}}<br>дамп {{.Kind}}{{with .Service}} ({{.}}){{end}}{{end}}
       {{range .Volumes}}<br>том {{.Name}}{{end}}
       {{if .Heavy}}<br>heavy: {{join .Heavy ", "}}{{if .HeavySkipped}} <span class="muted">(не в этот раз)</span>{{end}}{{end}}

internal/server/templates/clients.html

@@ -1,15 +1,39 @@
 {{define "title"}}Клиенты — backup-master{{end}}
 {{define "content"}}
+{{$v := .V}}{{$q := .V.Query}}
 <div class="head">
-  <h1>Клиенты</h1>
+  <h1>Клиенты <span class="muted small">{{$v.Total}}</span></h1>
   <a class="button primary" href="/clients/new">Добавить клиента</a>
 </div>
-{{if .Clients}}
+{{if $v.Total}}
+<form method="get" action="/" class="toolbar">
+  <input type="search" name="q" value="{{$q.Q}}" placeholder="Поиск по домену или названию" autofocus>
+  {{if $q.Status}}<input type="hidden" name="status" value="{{$q.Status}}">{{end}}
+  {{if ne $q.Sort "domain"}}<input type="hidden" name="sort" value="{{$q.Sort}}">{{end}}
+  {{with $q.DirParam}}<input type="hidden" name="dir" value="{{.}}">{{end}}
+  <select name="per" onchange="this.form.submit()" title="Строк на странице">
+    {{range $v.PerOpts}}<option value="{{.}}" {{if eq . $q.Per}}selected{{end}}>по {{.}}</option>{{end}}
+  </select>
+  <button>Найти</button>
+  {{if or $q.Q $q.Status}}<a class="button" href="/">Сбросить</a>{{end}}
+</form>
+<div class="chips toolbar">
+  {{range $v.Chips}}<a class="chip {{if .Active}}active{{end}}" href="{{.URL}}">{{.Title}} <span class="count">{{.Count}}</span></a>{{end}}
+</div>
+
+{{if $v.Rows}}
 <div class="table-wrap">
 <table>
-  <thead><tr><th>Домен</th><th>Название</th><th>Статус</th><th>Последний бэкап</th><th class="num">Размер</th><th>Агент на связи</th></tr></thead>
+  <thead><tr>
+    <th><a href="{{$q.SortURL "domain"}}" {{if eq $q.Sort "domain"}}class="sorted"{{end}}>Домен {{$q.SortMark "domain"}}</a></th>
+    <th><a href="{{$q.SortURL "name"}}" {{if eq $q.Sort "name"}}class="sorted"{{end}}>Название {{$q.SortMark "name"}}</a></th>
+    <th><a href="{{$q.SortURL "status"}}" {{if eq $q.Sort "status"}}class="sorted"{{end}}>Статус {{$q.SortMark "status"}}</a></th>
+    <th><a href="{{$q.SortURL "last_backup"}}" {{if eq $q.Sort "last_backup"}}class="sorted"{{end}}>Последний бэкап {{$q.SortMark "last_backup"}}</a></th>
+    <th class="num"><a href="{{$q.SortURL "size"}}" {{if eq $q.Sort "size"}}class="sorted"{{end}}>Размер {{$q.SortMark "size"}}</a></th>
+    <th><a href="{{$q.SortURL "last_seen"}}" {{if eq $q.Sort "last_seen"}}class="sorted"{{end}}>Агент на связи {{$q.SortMark "last_seen"}}</a></th>
+  </tr></thead>
   <tbody>
-  {{range .Clients}}
+  {{range $v.Rows}}
   <tr>
     <td><a href="/clients/{{.ID}}">{{.Domain}}</a></td>
     <td>{{if ne .Name .Domain}}{{.Name}}{{end}}</td>
@@ -22,6 +46,19 @@
   </tbody>
 </table>
 </div>
+<div class="pager">
+  <span>{{$v.From}}–{{$v.To}} из {{$v.Found}}{{if ne $v.Found $v.Total}} (всего {{$v.Total}}){{end}}</span>
+  {{if $v.Pages}}
+  <div class="pages">
+    {{if $v.Prev}}<a href="{{$v.Prev}}">←</a>{{end}}
+    {{range $v.Pages}}{{if .Gap}}<span class="gap">…</span>{{else if .Current}}<span class="current">{{.N}}</span>{{else}}<a href="{{.URL}}">{{.N}}</a>{{end}}{{end}}
+    {{if $v.Next}}<a href="{{$v.Next}}">→</a>{{end}}
+  </div>
+  {{end}}
+</div>
+{{else}}
+<p class="empty">Ничего не найдено. <a href="/">Сбросить фильтры</a></p>
+{{end}}
 {{else}}
 <p class="empty">Клиентов пока нет. Добавьте первый — получите команду установки агента.</p>
 {{end}}

internal/server/templates/layout.html

@@ -9,15 +9,17 @@
 <body>
 {{if ne .Page "login"}}
 <header class="top">
-  <a class="brand" href="/">backup-master</a>
+  <div class="wrap">
-  <nav>
+    <a class="brand" href="/">backup-master</a>
-    <a href="/" {{if or (eq .Page "clients") (eq .Page "client") (eq .Page "backup")}}class="active"{{end}}>Клиенты</a>
+    <nav>
-    <a href="/settings" {{if eq .Page "settings"}}class="active"{{end}}>Настройки</a>
+      <a href="/" {{if or (eq .Page "clients") (eq .Page "client") (eq .Page "backup")}}class="active"{{end}}>Клиенты</a>
-    <form method="post" action="/logout" class="inline">
+      <a href="/settings" {{if eq .Page "settings"}}class="active"{{end}}>Настройки</a>
-      <input type="hidden" name="csrf" value="{{.CSRF}}">
+      <form method="post" action="/logout" class="inline">
-      <button class="link">Выйти</button>
+        <input type="hidden" name="csrf" value="{{.CSRF}}">
-    </form>
+        <button class="link">Выйти</button>
-  </nav>
+      </form>
+    </nav>
+  </div>
 </header>
 {{end}}
 <main>

internal/server/templates/settings.html

@@ -13,29 +13,39 @@
   <p class="error">Ни один канал уведомлений не настроен.</p>
   {{end}}
 {{end}}
-<form method="post" action="/settings" class="card narrow">
+<form method="post" action="/settings" class="settings">
   <input type="hidden" name="csrf" value="{{.CSRF}}">
 
-  <h2>ntfy</h2>
+  <div class="cards">
-  <label>URL топика <input name="ntfy_url" value="{{.NtfyURL}}" placeholder="https://ntfy.example.com/backups"></label>
+    <section class="card">
-  <label>Авторизация <input name="ntfy_auth" type="password" autocomplete="off" placeholder="{{if .NtfyAuthSet}}задана — оставьте пустым, чтобы не менять{{else}}tk_... или user:password{{end}}"></label>
+      <h2>ntfy</h2>
-  {{if .NtfyAuthSet}}<label class="check"><input type="checkbox" name="ntfy_auth_clear" value="1"> Удалить авторизацию</label>{{end}}
+      <label>URL топика <input name="ntfy_url" value="{{.NtfyURL}}" placeholder="https://ntfy.example.com/backups"></label>
-  <p class="hint">Пустой URL — ntfy выключен.</p>
+      <label>Авторизация <input name="ntfy_auth" type="password" autocomplete="off" placeholder="{{if .NtfyAuthSet}}задана — оставьте пустым, чтобы не менять{{else}}tk_... или user:password{{end}}"></label>
+      {{if .NtfyAuthSet}}<label class="check"><input type="checkbox" name="ntfy_auth_clear" value="1"> Удалить авторизацию</label>{{end}}
+      <p class="hint">Пустой URL — ntfy выключен.</p>
+    </section>
 
-  <h2>Telegram</h2>
+    <section class="card">
-  <label>Токен бота <input name="tg_token" type="password" autocomplete="off" placeholder="{{if .TGTokenSet}}задан — оставьте пустым, чтобы не менять{{else}}123456:ABC... от @BotFather{{end}}"></label>
+      <h2>Telegram</h2>
-  {{if .TGTokenSet}}<label class="check"><input type="checkbox" name="tg_token_clear" value="1"> Удалить токен (выключить Telegram)</label>{{end}}
+      <label>Токен бота <input name="tg_token" type="password" autocomplete="off" placeholder="{{if .TGTokenSet}}задан — оставьте пустым, чтобы не менять{{else}}123456:ABC... от @BotFather{{end}}"></label>
-  <label>Chat ID <input name="tg_chats" value="{{.TGChats}}" placeholder="123456789, -1001234567890"></label>
+      {{if .TGTokenSet}}<label class="check"><input type="checkbox" name="tg_token_clear" value="1"> Удалить токен (выключить Telegram)</label>{{end}}
-  <p class="hint">Можно несколько через запятую. Личный чат — ваш числовой id (напишите боту и откройте <code>https://api.telegram.org/bot&lt;токен&gt;/getUpdates</code>), группа — id вида <code>-100…</code>, бот должен быть её участником.</p>
+      <label>Chat ID <input name="tg_chats" value="{{.TGChats}}" placeholder="123456789, -1001234567890"></label>
-  <label>ID темы (необязательно) <input name="tg_thread" value="{{.TGThread}}" placeholder="для группы с темами"></label>
+      <p class="hint">Можно несколько через запятую. Личный чат — ваш числовой id (напишите боту и откройте <code>https://api.telegram.org/bot&lt;токен&gt;/getUpdates</code>), группа — id вида <code>-100…</code>, бот должен быть её участником.</p>
-  <label>Адрес Bot API (необязательно) <input name="tg_api_url" value="{{.TGAPIURL}}" placeholder="https://api.telegram.org"></label>
+      <div class="grid">
-  <p class="hint">Свой Bot API сервер или прокси, если api.telegram.org недоступен с сервера бэкапов.</p>
+        <label>ID темы <input name="tg_thread" value="{{.TGThread}}" placeholder="необязательно"></label>
+        <label>Адрес Bot API <input name="tg_api_url" value="{{.TGAPIURL}}" placeholder="https://api.telegram.org"></label>
+      </div>
+      <p class="hint">Тема — для группы с темами. Свой Bot API сервер или прокси — если api.telegram.org недоступен с сервера бэкапов.</p>
+    </section>
+  </div>
 
-  <h2>Что отправлять</h2>
+  <section class="card">
-  <label class="check"><input type="checkbox" name="notify_success" value="1" {{if .NotifySuccess}}checked{{end}}> Сообщать и об успешных бэкапах (в Telegram — без звука)</label>
+    <h2>Что отправлять</h2>
-  <p class="hint">Ошибки бэкапа и отсутствие бэкапа дольше заданного у клиента срока приходят всегда, во все настроенные каналы.</p>
+    <label class="check"><input type="checkbox" name="notify_success" value="1" {{if .NotifySuccess}}checked{{end}}> Сообщать и об успешных бэкапах (в Telegram — без звука)</label>
-  <label class="check"><input type="checkbox" name="test" value="1"> Отправить тестовое уведомление после сохранения</label>
+    <p class="hint">Ошибки бэкапа и отсутствие бэкапа дольше заданного у клиента срока приходят всегда, во все настроенные каналы.</p>
-  <button class="primary">Сохранить</button>
+    <label class="check"><input type="checkbox" name="test" value="1"> Отправить тестовое уведомление после сохранения</label>
+    <button class="primary">Сохранить</button>
+  </section>
 </form>
 <p class="hint">Логин и пароль администратора меняются на сервере: <code>backupctl admin-passwd &lt;логин&gt;</code></p>
 {{end}}

internal/server/web.go

@@ -54,6 +54,13 @@ var funcs = template.FuncMap{
 	},
 	"bytes": humanBytes,
 	"join":  strings.Join,
+	// short — первые n путей и «ещё N», чтобы категория etc не растягивала таблицу
+	"short": func(paths []string, n int) string {
+		if len(paths) <= n {
+			return strings.Join(paths, ", ")
+		}
+		return strings.Join(paths[:n], ", ") + fmt.Sprintf(" и ещё %d", len(paths)-n)
+	},
 }
 
 func loadPages() (map[string]*pageTemplate, error) {
@@ -122,24 +129,6 @@ type clientRow struct {
 	LastSize                int64
 }
 
-func (s *Server) webClients(w http.ResponseWriter, r *http.Request) {
-	clients, err := s.st.ListClients()
-	if err != nil {
-		http.Error(w, err.Error(), http.StatusInternalServerError)
-		return
-	}
-	var rows []clientRow
-	for _, c := range clients {
-		row := clientRow{Client: c}
-		row.StatusClass, row.StatusText = clientStatus(c)
-		if b, err := s.st.LatestComplete(c.ID); err == nil {
-			row.LastSize = b.TotalSize
-		}
-		rows = append(rows, row)
-	}
-	s.render(w, r, "clients", map[string]any{"Clients": rows})
-}
-
 func (s *Server) webClientNew(w http.ResponseWriter, r *http.Request) {
 	s.render(w, r, "client_new", nil)
 }

internal/sysx/sysx.go

@@ -5,6 +5,8 @@ import (
 	"bufio"
 	"bytes"
 	"context"
+	"crypto/md5"
+	"encoding/hex"
 	"fmt"
 	"io"
 	"os"
@@ -162,3 +164,117 @@ func GroupMembers(group string) []string {
 	}
 	return nil
 }
+
+// DpkgOwned возвращает множество путей, принадлежащих какому-либо пакету (dpkg -S).
+// Без dpkg (не Debian/Ubuntu) считает все пути своими — ничего не теряется.
+func DpkgOwned(ctx context.Context, paths []string) map[string]bool {
+	owned := map[string]bool{}
+	if len(paths) == 0 || !HasCommand("dpkg") {
+		return owned
+	}
+	cmd := exec.CommandContext(ctx, "dpkg", append([]string{"-S"}, paths...)...)
+	out, _ := cmd.Output() // код возврата 1, если хоть один путь ничей, — это нормально
+	return ParseDpkgS(string(out), paths)
+}
+
+// ParseDpkgS разбирает вывод `dpkg -S`: "pkg1, pkg2: /path" или "diversion by ...".
+func ParseDpkgS(out string, paths []string) map[string]bool {
+	want := map[string]bool{}
+	for _, p := range paths {
+		want[p] = true
+	}
+	owned := map[string]bool{}
+	for _, line := range strings.Split(out, "\n") {
+		if strings.HasPrefix(line, "diversion ") {
+			continue
+		}
+		_, p, ok := strings.Cut(line, ": ")
+		if p = strings.TrimSpace(p); ok && want[p] {
+			owned[p] = true
+		}
+	}
+	return owned
+}
+
+// Timezone возвращает часовой пояс системы (Europe/Moscow) или "".
+func Timezone(ctx context.Context) string {
+	if tz, err := Output(ctx, "timedatectl", "show", "-p", "Timezone", "--value"); err == nil && tz != "" {
+		return tz
+	}
+	if link, err := os.Readlink("/etc/localtime"); err == nil {
+		if _, tz, ok := strings.Cut(link, "zoneinfo/"); ok {
+			return tz
+		}
+	}
+	return ""
+}
+
+// SwapFiles возвращает swap-файлы (не разделы) из /proc/swaps: путь и размер в байтах.
+func SwapFiles() map[string]int64 {
+	out := map[string]int64{}
+	data, err := os.ReadFile("/proc/swaps")
+	if err != nil {
+		return out
+	}
+	for _, line := range strings.Split(string(data), "\n")[1:] {
+		f := strings.Fields(line)
+		if len(f) < 3 || f[1] != "file" {
+			continue
+		}
+		var kb int64
+		fmt.Sscan(f[2], &kb)
+		out[f[0]] = kb * 1024
+	}
+	return out
+}
+
+// ManualPackages — пакеты, поставленные вручную (apt-mark showmanual).
+func ManualPackages(ctx context.Context) []string {
+	out, err := Output(ctx, "apt-mark", "showmanual")
+	if err != nil {
+		return nil
+	}
+	return strings.Fields(out)
+}
+
+// ModifiedConffiles возвращает конфиги пакетов (conffiles), изменённые относительно
+// поставки: md5 файла не совпадает с записанным dpkg.
+func ModifiedConffiles(ctx context.Context) []string {
+	out, err := Output(ctx, "dpkg-query", "-W", `-f=${Conffiles}\n`)
+	if err != nil {
+		return nil
+	}
+	return modifiedConffiles(out, fileMD5)
+}
+
+func modifiedConffiles(out string, sum func(string) string) []string {
+	var res []string
+	seen := map[string]bool{}
+	for _, line := range strings.Split(out, "\n") {
+		f := strings.Fields(line)
+		if len(f) < 2 || !strings.HasPrefix(f[0], "/") || seen[f[0]] {
+			continue
+		}
+		if len(f) > 2 && (f[2] == "obsolete" || f[2] == "remove-on-upgrade") {
+			continue
+		}
+		seen[f[0]] = true
+		if s := sum(f[0]); s != "" && s != f[1] {
+			res = append(res, f[0])
+		}
+	}
+	return res
+}
+
+func fileMD5(p string) string {
+	f, err := os.Open(p)
+	if err != nil {
+		return ""
+	}
+	defer f.Close()
+	h := md5.New()
+	if _, err := io.Copy(h, f); err != nil {
+		return ""
+	}
+	return hex.EncodeToString(h.Sum(nil))
+}

internal/sysx/sysx_test.go

@@ -0,0 +1,34 @@
+package sysx
+
+import (
+	"slices"
+	"testing"
+)
+
+func TestParseDpkgS(t *testing.T) {
+	out := "openssh-server: /etc/ssh/sshd_config\n" +
+		"diversion by foo from: /usr/bin/caddy\n" +
+		"cron, cron-daemon-common: /etc/cron.d/e2scrub_all\n"
+	paths := []string{"/etc/ssh/sshd_config", "/etc/cron.d/e2scrub_all", "/etc/cron.d/ban-blacklist"}
+	owned := ParseDpkgS(out, paths)
+	if !owned["/etc/ssh/sshd_config"] || !owned["/etc/cron.d/e2scrub_all"] || owned["/etc/cron.d/ban-blacklist"] {
+		t.Fatalf("owned = %v", owned)
+	}
+}
+
+func TestModifiedConffiles(t *testing.T) {
+	out := " /etc/ssh/sshd_config aaa\n" +
+		" /etc/fail2ban/fail2ban.conf bbb\n" +
+		" /etc/old.conf ccc obsolete\n" +
+		" /etc/missing.conf ddd\n" +
+		"\n"
+	sums := map[string]string{
+		"/etc/ssh/sshd_config":        "aaa",     // не менялся
+		"/etc/fail2ban/fail2ban.conf": "changed", // изменён
+		"/etc/old.conf":               "x",       // obsolete — пропускаем
+	}
+	got := modifiedConffiles(out, func(p string) string { return sums[p] })
+	if !slices.Equal(got, []string{"/etc/fail2ban/fail2ban.conf"}) {
+		t.Fatalf("modified = %v", got)
+	}
+}