v1.2.25: вопрос про панель (IP/домен) в интерактивном выборе домена; понятнее блок про мягкую защиту

scripts/3x-ui-local.sh

@@ -44,7 +44,7 @@
 
 set -Eeuo pipefail
 
-KIT_VERSION="1.2.24"                 # версия сборки форка; должна совпадать с VERSION релиза
+KIT_VERSION="1.2.25"                 # версия сборки форка; должна совпадать с VERSION релиза
 GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
 NS="3x-ui-kit-release"
 SIG_ID="releases@3x-ui-kit"

scripts/3x-ui.sh

@@ -30,7 +30,7 @@ wait_apt_idle() {
 XUI_VERSION="v3.9.0"
 # SHA256 установщика 3X-UI этой версии: тег могут передвинуть, а хеш – нет (проверено 2026-09-30).
 XUI_INSTALL_SHA256="18616fe26c8f6c92db6daa2dcd7cd53c5143ee69ecfd26d8ea6dc9b2c78607a6"
-KIT_VERSION="1.2.24"
+KIT_VERSION="1.2.25"
 # kit и kit-sub берём из того же релиза, что и этот скрипт, а не из меняющейся ветки main.
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$KIT_VERSION"
 # Ядро Xray для панели. С 26.7.x клиенты на Mihomo и sing-box (Hiddify, FlClash,
@@ -633,11 +633,11 @@ kl_sni_menu() {
           DOMAIN=${pick#own:}
           if domain_points_here "$DOMAIN" 2>/dev/null; then
             SNI=$DOMAIN
-            # Наш шов: домен выбран для маскировки — и панель с подпиской переводим на домен. Сертификат
-            # Let's Encrypt выписан на домен, поэтому браузер не ругается (у автора это делает --panel-on domain).
-            PANEL_ON=domain
             ok "маскировка под свой домен: ${B}$DOMAIN${N} (сертификат Let's Encrypt выпустит установщик)"
-            ok "панель и подписка: ${B}https://$DOMAIN/${N} — тот же сертификат, без предупреждений браузера"
+            # Наш шов: спрашиваем, где открывать панель и подписку, и при интерактивном вводе домена тоже.
+            # У автора этот вопрос задавался только при домене из флага --domain, а при выборе «ввести свой
+            # домен» в меню маскировки — нет, и панель молча оставалась по IP с самоподписанным сертификатом.
+            panel_on_choice
           else
             SNI=$DOMAIN; later "домен $DOMAIN не указывает на этот сервер — маскируюсь под него как под чужой сайт, панель и подписка остаются по IP"
           fi

scripts/hysteria2.sh

@@ -8,7 +8,7 @@
 # Код выхода 1 при любом запуске (и при `__update_binary`) – старый `hy2 update` на нём
 # останавливается и не заменяет команду hy2.
 
-KIT_VERSION="1.2.24"
+KIT_VERSION="1.2.25"
 
 cat >&2 <<'MSG'
 Отдельный установщик Hysteria2 больше не поддерживается.

scripts/kit-local.sh

@@ -443,12 +443,14 @@ kit_local_hardening() {
 
   cat <<'EOF'
 
-Чего здесь НЕТ и почему (в отличие от vps-setup):
+Что сделано намеренно МЯГЧЕ, чем в популярных скриптах первичной настройки:
   * apt full-upgrade — тянет систему вперёд и может сломать закреплённые панель и ядро;
     вместо него включены обновления безопасности;
   * автоматическая перезагрузка после правок — сервер не должен вставать без вашего решения;
-  * общесистемный icmp_echo_ignore_all — правило ufw видно в `ufw status` и отменяется одной
-    командой, не глушит диагностику внутренних интерфейсов.
+  * общесистемный запрет ICMP для всех интерфейсов — здесь он выключен на уровне ufw: правило видно
+    в `ufw status` и отменяется одной командой, а внутренняя диагностика не глушится.
+  Причина одна: перечисленное может увести систему вперёд или выключить сервер, а панель и ядро у нас
+  закреплённых версий.
 
 Что включить при желании:
   kit local ssh 2222            добавить порт SSH

scripts/kit.sh

@@ -12,7 +12,7 @@
 set -Eeuo pipefail
 export LC_ALL=C.UTF-8  # ширина колонок по символам, а не байтам
 
-KIT_VERSION="1.2.24"
+KIT_VERSION="1.2.25"
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main"
 # Файлы новой версии берём из её тега, а не из меняющейся ветки main.
 kit_ref_raw() { echo "https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$1"; }