v1.2.25: вопрос про панель (IP/домен) в интерактивном выборе домена; понятнее блок про мягкую защиту

FORK-CHANGELOG.md

@@ -1,3 +1,14 @@
+## v1.2.25: вопрос про панель возвращён, блок про защиту переписан понятнее
+
+* **Снова спрашиваем, где открывать панель и подписку.** У автора этот вопрос задавался только когда
+  домен передан флагом `--domain`; при выборе «ввести свой домен» в меню маскировки его не было, и панель
+  молча оставалась по IP с самоподписанным сертификатом — то самое «панель на это ругается». Теперь:
+  выбрали свой домен → сразу вопрос «По IP (как раньше) или По домену» (`https://домен/…`, сертификат
+  Let's Encrypt, браузер не ругается).
+* В отчёте защиты блок «чего здесь нет» больше не ссылается на сторонний проект без пояснений: сказано,
+  что именно сделано мягче (без полного обновления системы, без автоперезагрузки, без общесистемного
+  запрета ICMP) и почему — панель и ядро закреплённых версий, сервер не должен вставать сам.
+
 ## v1.2.24: сертификат идёт вслед за выбором «домен или IP»
 
 * Выбрали в меню маскировки **свой домен** — панель и подписка тоже переезжают на домен:

VERSION

@@ -1 +1 @@
-1.2.24
+1.2.25

scripts/3x-ui-local.sh

@@ -44,7 +44,7 @@
 
 set -Eeuo pipefail
 
-KIT_VERSION="1.2.24"                 # версия сборки форка; должна совпадать с VERSION релиза
+KIT_VERSION="1.2.25"                 # версия сборки форка; должна совпадать с VERSION релиза
 GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
 NS="3x-ui-kit-release"
 SIG_ID="releases@3x-ui-kit"

scripts/3x-ui.sh

@@ -30,7 +30,7 @@ wait_apt_idle() {
 XUI_VERSION="v3.9.0"
 # SHA256 установщика 3X-UI этой версии: тег могут передвинуть, а хеш – нет (проверено 2026-09-30).
 XUI_INSTALL_SHA256="18616fe26c8f6c92db6daa2dcd7cd53c5143ee69ecfd26d8ea6dc9b2c78607a6"
-KIT_VERSION="1.2.24"
+KIT_VERSION="1.2.25"
 # kit и kit-sub берём из того же релиза, что и этот скрипт, а не из меняющейся ветки main.
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$KIT_VERSION"
 # Ядро Xray для панели. С 26.7.x клиенты на Mihomo и sing-box (Hiddify, FlClash,
@@ -633,11 +633,11 @@ kl_sni_menu() {
           DOMAIN=${pick#own:}
           if domain_points_here "$DOMAIN" 2>/dev/null; then
             SNI=$DOMAIN
-            # Наш шов: домен выбран для маскировки — и панель с подпиской переводим на домен. Сертификат
-            # Let's Encrypt выписан на домен, поэтому браузер не ругается (у автора это делает --panel-on domain).
-            PANEL_ON=domain
             ok "маскировка под свой домен: ${B}$DOMAIN${N} (сертификат Let's Encrypt выпустит установщик)"
-            ok "панель и подписка: ${B}https://$DOMAIN/${N} — тот же сертификат, без предупреждений браузера"
+            # Наш шов: спрашиваем, где открывать панель и подписку, и при интерактивном вводе домена тоже.
+            # У автора этот вопрос задавался только при домене из флага --domain, а при выборе «ввести свой
+            # домен» в меню маскировки — нет, и панель молча оставалась по IP с самоподписанным сертификатом.
+            panel_on_choice
           else
             SNI=$DOMAIN; later "домен $DOMAIN не указывает на этот сервер — маскируюсь под него как под чужой сайт, панель и подписка остаются по IP"
           fi

scripts/hysteria2.sh

@@ -8,7 +8,7 @@
 # Код выхода 1 при любом запуске (и при `__update_binary`) – старый `hy2 update` на нём
 # останавливается и не заменяет команду hy2.
 
-KIT_VERSION="1.2.24"
+KIT_VERSION="1.2.25"
 
 cat >&2 <<'MSG'
 Отдельный установщик Hysteria2 больше не поддерживается.

scripts/kit-local.sh

@@ -443,12 +443,14 @@ kit_local_hardening() {
 
   cat <<'EOF'
 
-Чего здесь НЕТ и почему (в отличие от vps-setup):
+Что сделано намеренно МЯГЧЕ, чем в популярных скриптах первичной настройки:
   * apt full-upgrade — тянет систему вперёд и может сломать закреплённые панель и ядро;
     вместо него включены обновления безопасности;
   * автоматическая перезагрузка после правок — сервер не должен вставать без вашего решения;
-  * общесистемный icmp_echo_ignore_all — правило ufw видно в `ufw status` и отменяется одной
+  * общесистемный запрет ICMP для всех интерфейсов — здесь он выключен на уровне ufw: правило видно
-    командой, не глушит диагностику внутренних интерфейсов.
+    в `ufw status` и отменяется одной командой, а внутренняя диагностика не глушится.
+  Причина одна: перечисленное может увести систему вперёд или выключить сервер, а панель и ядро у нас
+  закреплённых версий.
 
 Что включить при желании:
   kit local ssh 2222            добавить порт SSH

scripts/kit.sh

@@ -12,7 +12,7 @@
 set -Eeuo pipefail
 export LC_ALL=C.UTF-8  # ширина колонок по символам, а не байтам
 
-KIT_VERSION="1.2.24"
+KIT_VERSION="1.2.25"
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main"
 # Файлы новой версии берём из её тега, а не из меняющейся ветки main.
 kit_ref_raw() { echo "https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$1"; }

tools/fork_apply.py

@@ -328,7 +328,7 @@ def main():
             'scripts/3x-ui.sh',
             '    if ((${#nb[@]})); then\n      SNI=${nb[0]}; SNI2=${nb[1]:-}; SNI3=${nb[2]:-}\n',
             False,
-            '    # Наш шов: показываем найденное и даём выбрать — отдельно для REALITY и для XHTTP/MTProto.\n    if [[ ${KL_PICK_SNI:-} == 1 && $yes == no ]] && { : </dev/tty; } 2>/dev/null; then\n      local pick pick2 own_sni=no\n      pick=$(kl_sni_menu "REALITY (TCP 443) — под какой сайт маскировать" ${nb[@]+"${nb[@]}"})\n      case $pick in\n        own:*)\n          own_sni=yes\n          DOMAIN=${pick#own:}\n          if domain_points_here "$DOMAIN" 2>/dev/null; then\n            SNI=$DOMAIN\n            # Наш шов: домен выбран для маскировки — и панель с подпиской переводим на домен. Сертификат\n            # Let\'s Encrypt выписан на домен, поэтому браузер не ругается (у автора это делает --panel-on domain).\n            PANEL_ON=domain\n            ok "маскировка под свой домен: ${B}$DOMAIN${N} (сертификат Let\'s Encrypt выпустит установщик)"\n            ok "панель и подписка: ${B}https://$DOMAIN/${N} — тот же сертификат, без предупреждений браузера"\n          else\n            SNI=$DOMAIN; later "домен $DOMAIN не указывает на этот сервер — маскируюсь под него как под чужой сайт, панель и подписка остаются по IP"\n          fi\n          ;;\n        sni:*) SNI=${pick#sni:} ;;\n      esac\n      if [[ -n $SNI ]]; then\n        if [[ $own_sni == no ]] && ! sni_ok "$SNI"; then\n          warn "$SNI не отвечает по TLS 1.3 + HTTP/2 — беру найденное в подсети"\n          SNI="${nb[0]:-$SNI}"\n        fi\n        ok "маскировка REALITY: ${B}$SNI${N}"\n      fi\n      if [[ " ${PROTOS[*]} " == *" xhttp "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then\n        pick2=$(kl_sni_menu "XHTTP и MTProto (различаются по имени сайта) — какой сайт взять" ${nb[@]+"${nb[@]}"})\n        [[ $pick2 == sni:* ]] && pick2=${pick2#sni:}\n        [[ $pick2 == own:* ]] && pick2=${pick2#own:}\n        [[ -n $pick2 ]] && SNI2=$pick2\n        [[ -n $SNI2 ]] && ok "маскировка XHTTP/MTProto: ${B}$SNI2${N}"\n      fi\n    fi\n    if ((${#nb[@]})); then ok "подходящих соседей найдено: ${#nb[@]}"\n    else warn "в подсети подходящих сайтов не нашлось (адреса проверены, откликов нет)"; fi\n    if [[ -z $SNI ]] && ((${#nb[@]})); then\n      SNI=${nb[0]}; SNI2=${SNI2:-${nb[1]:-}}; SNI3=${nb[2]:-}\n',
+            '    # Наш шов: показываем найденное и даём выбрать — отдельно для REALITY и для XHTTP/MTProto.\n    if [[ ${KL_PICK_SNI:-} == 1 && $yes == no ]] && { : </dev/tty; } 2>/dev/null; then\n      local pick pick2 own_sni=no\n      pick=$(kl_sni_menu "REALITY (TCP 443) — под какой сайт маскировать" ${nb[@]+"${nb[@]}"})\n      case $pick in\n        own:*)\n          own_sni=yes\n          DOMAIN=${pick#own:}\n          if domain_points_here "$DOMAIN" 2>/dev/null; then\n            SNI=$DOMAIN\n            ok "маскировка под свой домен: ${B}$DOMAIN${N} (сертификат Let\'s Encrypt выпустит установщик)"\n            # Наш шов: спрашиваем, где открывать панель и подписку, и при интерактивном вводе домена тоже.\n            # У автора этот вопрос задавался только при домене из флага --domain, а при выборе «ввести свой\n            # домен» в меню маскировки — нет, и панель молча оставалась по IP с самоподписанным сертификатом.\n            panel_on_choice\n          else\n            SNI=$DOMAIN; later "домен $DOMAIN не указывает на этот сервер — маскируюсь под него как под чужой сайт, панель и подписка остаются по IP"\n          fi\n          ;;\n        sni:*) SNI=${pick#sni:} ;;\n      esac\n      if [[ -n $SNI ]]; then\n        if [[ $own_sni == no ]] && ! sni_ok "$SNI"; then\n          warn "$SNI не отвечает по TLS 1.3 + HTTP/2 — беру найденное в подсети"\n          SNI="${nb[0]:-$SNI}"\n        fi\n        ok "маскировка REALITY: ${B}$SNI${N}"\n      fi\n      if [[ " ${PROTOS[*]} " == *" xhttp "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then\n        pick2=$(kl_sni_menu "XHTTP и MTProto (различаются по имени сайта) — какой сайт взять" ${nb[@]+"${nb[@]}"})\n        [[ $pick2 == sni:* ]] && pick2=${pick2#sni:}\n        [[ $pick2 == own:* ]] && pick2=${pick2#own:}\n        [[ -n $pick2 ]] && SNI2=$pick2\n        [[ -n $SNI2 ]] && ok "маскировка XHTTP/MTProto: ${B}$SNI2${N}"\n      fi\n    fi\n    if ((${#nb[@]})); then ok "подходящих соседей найдено: ${#nb[@]}"\n    else warn "в подсети подходящих сайтов не нашлось (адреса проверены, откликов нет)"; fi\n    if [[ -z $SNI ]] && ((${#nb[@]})); then\n      SNI=${nb[0]}; SNI2=${SNI2:-${nb[1]:-}}; SNI3=${nb[2]:-}\n',
             'авто-шов: replace, строк 2',
         ),
         (