v1.2.21: порты 80/443 и понятная ошибка сертификата; блок про SSH-порт в конце

scripts/3x-ui-local.sh

@@ -44,7 +44,7 @@
 
 set -Eeuo pipefail
 
-KIT_VERSION="1.2.20"                 # версия сборки форка; должна совпадать с VERSION релиза
+KIT_VERSION="1.2.21"                 # версия сборки форка; должна совпадать с VERSION релиза
 GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
 NS="3x-ui-kit-release"
 SIG_ID="releases@3x-ui-kit"
@@ -330,6 +330,14 @@ clean_previous() {
 }
 
 installer_failed() {
+  if grep -q "likely firewall problem" /var/log/kit-domain-cert.log 2>/dev/null \
+     || grep -q "Timeout during connect" /var/log/3x-ui-install.log 2>/dev/null; then
+    printf '\n%s!%s %s\n' "$Y" "$N" \
+      "Похоже, порт 80 закрыт со стороны хостера: Let's Encrypt не смог достучаться до домена." >&2
+    printf '   В ufw 80 открыт, поэтому смотрите файрвол хостинга (в панели провайдера), а не сервер.\n' >&2
+    printf '   Либо ставьте без своего домена: в меню маскировки выберите «общедоступный сайт» —\n' >&2
+    printf '   сертификат для домена тогда не нужен, панель останется на самоподписанном.\n' >&2
+  fi
   if [[ -f /root/3x-ui.txt && -x /usr/local/x-ui/x-ui ]]; then
     printf '\n%s!%s %s\n' "$Y" "$N" \
       "На сервере осталась прошлая установка (установщик так и пишет). Запустите ещё раз с флагом --clean — он уберёт старое и поставит заново." >&2
@@ -406,6 +414,7 @@ if [[ $harden == auto ]] && interactive; then
 fi
 
 [[ -n $ssh_port ]] || ssh_port=$(ask_ssh_port)
+ssh_ports_before=$(ssh_ports_now)   # для подсказки в конце: какие порты закрывать
 want_passwd=no
 if interactive; then
   if ask_yes "Сменить пароль root прямо сейчас? Новый пароль введёте в следующем окне." n; then want_passwd=yes; fi
@@ -413,6 +422,15 @@ fi
 
 [[ $clean == yes ]] && clean_previous
 
+# Порты для сертификата и маскировки: открываем правила ufw ДО установщика и говорим, где смотреть,
+# если сертификат не выпустится (частая причина — свой файрвол у хостера, а не ufw).
+if command -v ufw >/dev/null 2>&1 && ufw status 2>/dev/null | grep -q "^Status: active"; then
+  for _p in 80/tcp 443/tcp; do ufw allow "$_p" >/dev/null 2>&1 || true; done
+  say "порты 80 и 443 открыты в ufw (нужны для сертификата и работы маскировки)"
+fi
+printf '  %sесли у хостера свой файрвол — 80 и 443 должны быть разрешены и там.%s\n' "$D" "$N"
+printf '  %sпризнак закрытого 80: сертификат не выпускается, в логе acme «Timeout during connect (likely firewall problem)»%s\n' "$D" "$N"
+
 # Меню выбора сайта маскировки: сканируем подсеть один раз и предлагаем выбрать сайт отдельно для
 # REALITY и (если выбраны) для XHTTP/MTProto. Отключается флагом --auto-sni (тогда автоподбор автора).
 if [[ $pick_sni == yes ]]; then export KL_PICK_SNI=1; else export KL_PICK_SNI=0; fi
@@ -494,6 +512,19 @@ ${G}${B}Готово.${N} Сервер поставлен из нашей сбо
   вернуться к авторскому каналу: положить авторский kit поверх и выполнить kit update --force
 EOF
 
+# ------------------------------------------------------------------ SSH: как закрыть прежние порты
+
+if [[ -n ${ssh_port:-} ]]; then
+  cat <<EOF
+
+${Y}${B}SSH переведён на порт $ssh_port.${N} Прежние порты (${ssh_ports_before:-22}) пока работают — это
+сделано специально, чтобы вы не потеряли доступ. Порядок обязательный:
+  1) во ВТОРОМ окне проверьте вход:  ssh -p $ssh_port root@${HOST:-<IP сервера>}
+  2) вход работает — закройте прежние порты:  ${B}kit local ssh --close-old $ssh_port${N}
+  3) поправьте порт у себя: ~/.ssh/config, терминалы, мониторинг
+EOF
+fi
+
 # ------------------------------------------------------------------ доступ к панели (перед подпиской)
 
 if [[ $show_sub == yes ]]; then
@@ -521,6 +552,7 @@ if [[ $show_sub == yes ]]; then
   printf '  приложения: Happ, Hiddify, Karing, v2rayN, Clash/Mihomo\n'
   printf '  отдельные ссылки по протоколам — ниже же (если приложение не умеет подписку)\n'
   printf '  %sпозже то же самое: kit user link %s --all   (или меню: kit)%s\n' "$D" "$sub_user" "$N"
+  [[ -n ${ssh_port:-} ]] && printf '  SSH: новый порт %s, прежние (%s) ещё открыты — закройте их после проверки входа: kit local ssh --close-old %s\n' "$ssh_port" "${ssh_ports_before:-22}" "$ssh_port"
   if ! kit user link "$sub_user" --all; then
     warn "не смог показать ссылки для «$sub_user» — список пользователей: kit user list"
   fi