v1.2.21: порты 80/443 и понятная ошибка сертификата; блок про SSH-порт в конце

FORK-CHANGELOG.md

@@ -1,3 +1,16 @@
+## v1.2.21: порты до выпуска сертификата и понятный блок про SSH-порт
+
+* **Порты до сертификата.** Установщик теперь сам открывает 80 и 443 в ufw перед работой и прямо
+  предупреждает, что такие же правила нужны в файрволе хостинга: частая причина срыва — порт 80
+  закрыт именно у провайдера, а не в сервере. Если сертификат всё же не выпустился, в выводе
+  разбирается причина: при `Timeout during connect (likely firewall problem)` пишется, что делать
+  (открыть 80 в панели хостинга) и предлагается вариант без своего домена (тогда сертификат домена
+  не нужен, панель остаётся на самоподписанном). После установки 80 и 443 в ufw проверяются ещё раз.
+* **Смена порта SSH — с понятным завершением.** Прежние порты запоминаются до смены, и в конце
+  печатается блок: новый порт, какие прежние ещё открыты, команда проверки входа во втором окне и
+  готовая команда `kit local ssh --close-old <новый>` для закрытия прежних. Строка про SSH-порт
+  добавлена и в итоговый блок с доступом к панели и подпиской.
+
 ## v1.2.20: после сноса меню не показывается, и нет ошибок про latest-version
 
 * Удаление из меню (`kit`, пункт 9) теперь завершается сразу: печатается «Готово: сервер в состоянии

VERSION

@@ -1 +1 @@
-1.2.20
+1.2.21

scripts/3x-ui-local.sh

@@ -44,7 +44,7 @@
 
 set -Eeuo pipefail
 
-KIT_VERSION="1.2.20"                 # версия сборки форка; должна совпадать с VERSION релиза
+KIT_VERSION="1.2.21"                 # версия сборки форка; должна совпадать с VERSION релиза
 GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
 NS="3x-ui-kit-release"
 SIG_ID="releases@3x-ui-kit"
@@ -330,6 +330,14 @@ clean_previous() {
 }
 
 installer_failed() {
+  if grep -q "likely firewall problem" /var/log/kit-domain-cert.log 2>/dev/null \
+     || grep -q "Timeout during connect" /var/log/3x-ui-install.log 2>/dev/null; then
+    printf '\n%s!%s %s\n' "$Y" "$N" \
+      "Похоже, порт 80 закрыт со стороны хостера: Let's Encrypt не смог достучаться до домена." >&2
+    printf '   В ufw 80 открыт, поэтому смотрите файрвол хостинга (в панели провайдера), а не сервер.\n' >&2
+    printf '   Либо ставьте без своего домена: в меню маскировки выберите «общедоступный сайт» —\n' >&2
+    printf '   сертификат для домена тогда не нужен, панель останется на самоподписанном.\n' >&2
+  fi
   if [[ -f /root/3x-ui.txt && -x /usr/local/x-ui/x-ui ]]; then
     printf '\n%s!%s %s\n' "$Y" "$N" \
       "На сервере осталась прошлая установка (установщик так и пишет). Запустите ещё раз с флагом --clean — он уберёт старое и поставит заново." >&2
@@ -406,6 +414,7 @@ if [[ $harden == auto ]] && interactive; then
 fi
 
 [[ -n $ssh_port ]] || ssh_port=$(ask_ssh_port)
+ssh_ports_before=$(ssh_ports_now)   # для подсказки в конце: какие порты закрывать
 want_passwd=no
 if interactive; then
   if ask_yes "Сменить пароль root прямо сейчас? Новый пароль введёте в следующем окне." n; then want_passwd=yes; fi
@@ -413,6 +422,15 @@ fi
 
 [[ $clean == yes ]] && clean_previous
 
+# Порты для сертификата и маскировки: открываем правила ufw ДО установщика и говорим, где смотреть,
+# если сертификат не выпустится (частая причина — свой файрвол у хостера, а не ufw).
+if command -v ufw >/dev/null 2>&1 && ufw status 2>/dev/null | grep -q "^Status: active"; then
+  for _p in 80/tcp 443/tcp; do ufw allow "$_p" >/dev/null 2>&1 || true; done
+  say "порты 80 и 443 открыты в ufw (нужны для сертификата и работы маскировки)"
+fi
+printf '  %sесли у хостера свой файрвол — 80 и 443 должны быть разрешены и там.%s\n' "$D" "$N"
+printf '  %sпризнак закрытого 80: сертификат не выпускается, в логе acme «Timeout during connect (likely firewall problem)»%s\n' "$D" "$N"
+
 # Меню выбора сайта маскировки: сканируем подсеть один раз и предлагаем выбрать сайт отдельно для
 # REALITY и (если выбраны) для XHTTP/MTProto. Отключается флагом --auto-sni (тогда автоподбор автора).
 if [[ $pick_sni == yes ]]; then export KL_PICK_SNI=1; else export KL_PICK_SNI=0; fi
@@ -494,6 +512,19 @@ ${G}${B}Готово.${N} Сервер поставлен из нашей сбо
   вернуться к авторскому каналу: положить авторский kit поверх и выполнить kit update --force
 EOF
 
+# ------------------------------------------------------------------ SSH: как закрыть прежние порты
+
+if [[ -n ${ssh_port:-} ]]; then
+  cat <<EOF
+
+${Y}${B}SSH переведён на порт $ssh_port.${N} Прежние порты (${ssh_ports_before:-22}) пока работают — это
+сделано специально, чтобы вы не потеряли доступ. Порядок обязательный:
+  1) во ВТОРОМ окне проверьте вход:  ssh -p $ssh_port root@${HOST:-<IP сервера>}
+  2) вход работает — закройте прежние порты:  ${B}kit local ssh --close-old $ssh_port${N}
+  3) поправьте порт у себя: ~/.ssh/config, терминалы, мониторинг
+EOF
+fi
+
 # ------------------------------------------------------------------ доступ к панели (перед подпиской)
 
 if [[ $show_sub == yes ]]; then
@@ -521,6 +552,7 @@ if [[ $show_sub == yes ]]; then
   printf '  приложения: Happ, Hiddify, Karing, v2rayN, Clash/Mihomo\n'
   printf '  отдельные ссылки по протоколам — ниже же (если приложение не умеет подписку)\n'
   printf '  %sпозже то же самое: kit user link %s --all   (или меню: kit)%s\n' "$D" "$sub_user" "$N"
+  [[ -n ${ssh_port:-} ]] && printf '  SSH: новый порт %s, прежние (%s) ещё открыты — закройте их после проверки входа: kit local ssh --close-old %s\n' "$ssh_port" "${ssh_ports_before:-22}" "$ssh_port"
   if ! kit user link "$sub_user" --all; then
     warn "не смог показать ссылки для «$sub_user» — список пользователей: kit user list"
   fi

scripts/3x-ui.sh

@@ -30,7 +30,7 @@ wait_apt_idle() {
 XUI_VERSION="v3.9.0"
 # SHA256 установщика 3X-UI этой версии: тег могут передвинуть, а хеш – нет (проверено 2026-09-30).
 XUI_INSTALL_SHA256="18616fe26c8f6c92db6daa2dcd7cd53c5143ee69ecfd26d8ea6dc9b2c78607a6"
-KIT_VERSION="1.2.20"
+KIT_VERSION="1.2.21"
 # kit и kit-sub берём из того же релиза, что и этот скрипт, а не из меняющейся ветки main.
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$KIT_VERSION"
 # Ядро Xray для панели. С 26.7.x клиенты на Mihomo и sing-box (Hiddify, FlClash,

scripts/hysteria2.sh

@@ -8,7 +8,7 @@
 # Код выхода 1 при любом запуске (и при `__update_binary`) – старый `hy2 update` на нём
 # останавливается и не заменяет команду hy2.
 
-KIT_VERSION="1.2.20"
+KIT_VERSION="1.2.21"
 
 cat >&2 <<'MSG'
 Отдельный установщик Hysteria2 больше не поддерживается.

scripts/kit.sh

@@ -12,7 +12,7 @@
 set -Eeuo pipefail
 export LC_ALL=C.UTF-8  # ширина колонок по символам, а не байтам
 
-KIT_VERSION="1.2.20"
+KIT_VERSION="1.2.21"
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main"
 # Файлы новой версии берём из её тега, а не из меняющейся ветки main.
 kit_ref_raw() { echo "https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$1"; }