Релиз v1.2.14: подпись

FORK-CHANGELOG.md

@@ -1,3 +1,35 @@
+## v1.2.14: выбор сайта маскировки по результатам скана + снос, который не обрывается
+
+* **Появилось меню маскировки.** Сначала один скан подсети (~250 обращений к 443 соседних адресов),
+  потом выбор: номер из найденного, `0` — ввести адрес вручную, Enter — автоподбор. Отдельно для
+  **REALITY** (найденное или свой) и отдельно для **XHTTP/MTProto** (найденное, свой или известный
+  сайт — список известных расширен Microsoft, AMD, Intel, NVIDIA). Если XHTTP/MTProto не выбраны,
+  второго меню не будет. Отключить меню: `--auto-sni`.
+* **Исправлено: `kit local uninstall` обрывался на середине.** `kit` запускает наши команды
+  с `set -e`, и подсчёт чужих сайтов nginx (`find | grep | wc -l`, где grep не находит ничего и
+  возвращает 1) убивал скрипт сразу после остановки служб — файлы и `/usr/local/bin/kit` оставались,
+  поэтому `kit help` продолжал работать. Теперь снос выполняется с отключённым `set -e` и все
+  подобные конвейеры защищены; проверка после сноса это подтверждает списком, если что-то осталось.
+
+## v1.2.13: вопросов после показа доступов нет, и никакой работы для невыбранных протоколов
+
+* **Все вопросы — до установщика.** Раньше после установки (когда на экране уже были данные входа
+  в панель) скрипт спрашивал про ping, автообновления, порт SSH и пароль root — доступы терялись
+  в потоке вопросов. Теперь спрашиваем всё заранее, а действия выполняем после установки; последнее,
+  что видит человек, — доступ к панели, подписка и QR-код.
+* Автор тянет подписки «-awg» и «-tg» (наследие установок kit < 1.1) всегда — теперь только если
+  AmneziaWG или MTProto выбраны.
+* Наши команды помнят выбор: установщик пишет список протоколов в `/etc/kit/kl-protos`, и
+  `kit local site` не синхронизирует ответ Hysteria2, если Hysteria2 не ставился (раньше он это делал
+  и выдавал предупреждение про отсутствующий Hysteria2).
+
+## v1.2.12: не сканируем соседей, когда они не нужны
+
+* Автор подбирал сайты-соседи для XHTTP и MTProto **всегда**, когда маскировка доверенная («панель по IP»)
+  и всё висит на 443 — независимо от того, выбраны ли эти протоколы. При установке одного REALITY это
+  давало ~250 обращений к чужим адресам впустую. Теперь скан идёт только если XHTTP или MTProto выбраны;
+  иначе имена SNI2/SNI3 берутся из общего списка сайтов автора (как и раньше при неудаче скана).
+
 # Что нового в сборке форка
 
 Здесь записи о наших версиях. Файл автора (`CHANGELOG.md`) мы не трогаем — так обновления

SHA256SUMS

@@ -1,9 +1,9 @@
-# 3X-UI KIT 1.2.11
-# 3X-UI_autoVPS 1.2.11
-8c7ec9d8617d6e5f790ae7d3406b56cee7d1108c0c63af91fe08be6d81222ebb  scripts/3x-ui.sh
-999eaf9774e222adb440f608af75a23e386dfeb1a5f2d6d319539e58a791847e  scripts/hysteria2.sh
-d91b0649771adfc8b08e5caad92dc9c31c84c65fa6e8a7e82ce2c2f7a8076280  scripts/kit.sh
+# 3X-UI KIT 1.2.14
+# 3X-UI_autoVPS 1.2.14
+666af017a32dd8b5b4c82488af7d47c17ebd4d7b700ddf056ee3e50c089b13d1  scripts/3x-ui.sh
+d224550fc777ac15c9bccafb17a82a36b42bcdc6376572c7c0d1bb9781a200dc  scripts/hysteria2.sh
+d362a890e8e70a835021dadd8996409069e644db000f9685415bf857112fcf05  scripts/kit.sh
 4027ea2c6dbc9fd176356acac3f676445419c2f021146ed25dfe5a304c3ac5fb  scripts/kit-sub.py
-9ca9a297901df7d0022c8178973e7ab00aba8905248e41abf72cdc99608dd281  scripts/kit-local.sh
-b95f7881f64f9a38fa41320a45bde39dbc45c71ec6323709379edb96cdf471ec  scripts/3x-ui-local.sh
-37310c7f348165122ccb9f4a854c29485395bb3af0659ba5a77be066c1511679  VERSION
+d248182063d75028f20f83c2669b020515dd80ea91bafba100ac75a7c3480941  scripts/kit-local.sh
+a48508498b4fcd88d55eb011e1c60a9503fdfa28ceae22053d4c05a10c4cf6a7  scripts/3x-ui-local.sh
+22e988bfb2127d8584cc829f76868c2c85e138af32fe0989b29f7580b88a00a5  VERSION

SHA256SUMS.sig

@@ -1,6 +1,6 @@
 -----BEGIN SSH SIGNATURE-----
 U1NIU0lHAAAAAQAAADMAAAALc3NoLWVkMjU1MTkAAAAgozRJ+f9RB6qO9S9j3BWCDtC0bV
 FHakRSSqtQPljLoQUAAAARM3gtdWkta2l0LXJlbGVhc2UAAAAAAAAABnNoYTUxMgAAAFMA
-AAALc3NoLWVkMjU1MTkAAABAD6NZI/BvV+XR3hfPGCH+MsNB+uTNE+P61OlsJVlfFhWnYp
-EQDlz5lM/80DkORh48zmdK+TWjlbKrDnLeBNetCA==
+AAALc3NoLWVkMjU1MTkAAABAgzLMUmGdBD24AF1SiVATfnfXNJK0/mVfusR3Wm+pEBIunn
+18+cyVZfVPHaFlB7yXmYhZ1/xPtRKMVnVQoSJFAQ==
 -----END SSH SIGNATURE-----

VERSION

@@ -1 +1 @@
-1.2.11
+1.2.14

scripts/3x-ui-local.sh

@@ -35,6 +35,7 @@
 #   --no-time       не запускать kit fix
 #   --no-check      не запускать в конце kit check
 #   --clean         убрать прошлую установку и поставить заново (SSH не трогает)
+#   --auto-sni      не предлагать выбор сайта маскировки (иначе покажем меню по скану подсети)
 #   --verify-only   только проверить релиз (подпись и SHA256) и выйти
 #   --dry-run       показать план и ничего не делать
 #   -h | --help     эта справка
@@ -43,7 +44,7 @@
 
 set -Eeuo pipefail
 
-KIT_VERSION="1.2.11"                 # версия сборки форка; должна совпадать с VERSION релиза
+KIT_VERSION="1.2.14"                 # версия сборки форка; должна совпадать с VERSION релиза
 GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
 NS="3x-ui-kit-release"
 SIG_ID="releases@3x-ui-kit"
@@ -81,6 +82,7 @@ usage() {
                        не трогать авторскую страницу (то же: --no-site)
   --no-sub             не показывать в конце подписку, доступ к панели и QR-код
   --clean              снести прошлую установку и поставить заново (если прошлый запуск оборвался)
+  --auto-sni           не предлагать выбор сайта маскировки (автоподбор автора)
   --no-time            не запускать kit fix (время и безопасные починки)
   --no-check           не запускать в конце kit check
   --verify-only        только проверить релиз (подпись и SHA256) и выйти
@@ -95,6 +97,7 @@ INSTALLER_ARGS=(); harden=auto; ssh_port=""; fix_time=yes; do_check=yes; dry=no;
 site=random                     # заглушка: случайный сайт из нашего набора (off — не трогать)
 show_sub=yes                    # в самом конце показать подписку, QR-код и ссылки
 clean=no                        # --clean: убрать прошлую установку перед новой
+pick_sni=yes                    # показывать меню выбора сайта маскировки по результатам скана
 while (($#)); do
   case $1 in
     --harden) harden=yes ;;
@@ -107,6 +110,7 @@ while (($#)); do
     --no-site) site=off ;;
     --no-sub) show_sub=no ;;
     --clean) clean=yes ;;
+    --auto-sni) pick_sni=no ;;
     --no-time) fix_time=no ;;
     --no-check) do_check=no ;;
     --verify-only) verify_only=yes ;;
@@ -139,6 +143,8 @@ if [[ $dry == yes ]]; then
   pre "версия сборки: $KIT_VERSION"
   pre "откуда:        $GITEA (тег v$KIT_VERSION), подпись проверяется ключом форка"
   [[ $clean == yes ]] && pre "прошлая установка: уберу её перед установкой (--clean), SSH не трону"
+  if [[ $pick_sni == yes ]]; then pre "маскировка:    просканирую подсеть и предложу выбрать сайт (--auto-sni — автоподбор)"
+  else pre "маскировка:    подберу сайт сам, без вопросов (--auto-sni)"; fi
   if ((${#INSTALLER_ARGS[@]})); then pre "установщик автора: bash scripts/3x-ui.sh ${INSTALLER_ARGS[*]}"; else pre "установщик автора: bash scripts/3x-ui.sh — спросит про маскировку и домен"; fi
   if [[ $harden == auto ]]; then
     if interactive; then pre "защита:        спрошу про ответ на ping и автообновления"
@@ -341,67 +347,9 @@ else
 fi
 say "протоколы: $protos — под остальные не создаётся ничего"
 
-[[ $clean == yes ]] && clean_previous
-
-say "запускаю установщик автора (панель 3X-UI, протоколы, сайт-заглушка, подписка)"
-if ((${#INSTALLER_ARGS[@]})); then printf '  флаги: %s\n' "${INSTALLER_ARGS[*]}"; else printf '  флагов нет: установщик задаст вопросы (маскировка, домен)\n'; fi
-# stdin: если есть терминал — отдаём его установщику (там есть вопросы), иначе /dev/null,
-# иначе установщик начнёт читать наш собственный скрипт вместо ответов.
-if [[ -r /dev/tty ]]; then
-  bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/tty || installer_failed
-else
-  bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/null || installer_failed
-fi
-command -v kit >/dev/null || die "после установки нет команды kit — что-то пошло не так, смотрите вывод выше"
-
-# ------------------------------------------------------------------ наши дополнения
-
-ask_yes() { # "вопрос" y|n — по умолчанию
-  local q=$1 def=$2 ans=""
-  interactive || { [[ $def == y ]]; return; }
-  printf '\n%s [%s]: ' "$q" "$([[ $def == y ]] && echo 'Y/n' || echo 'y/N'])"
-  read -r -t 300 ans <"$ASK_SRC" 2>/dev/null || true
-  ans=${ans,,}; ans=${ans//[[:space:]]/}
-  [[ -z $ans && $def == y ]] && return 0
-  [[ $ans =~ ^(y|yes|д|да)$ ]]
-}
-
-# Сайт-заглушка: у автора это случайные «кофейни и пекарни», у нас — правдоподобный ИТ-сайт.
-# Меняем не файл вручную, а командой форка: она же обновляет копию страницы в ответе Hysteria2,
-# иначе 443/tcp и UDP-порт начнут отвечать разными страницами (это видно снаружи).
-case $site in
-  off) say "заглушку не трогаю (--no-site): остаётся страница автора" ;;
-  random)
-    say "ставлю сайт-заглушку: случайный ИТ-сайт из нашего набора"
-    kit local site || warn "не удалось поставить заглушку — позже: kit local site"
-    ;;
-  *)
-    say "ставлю сайт-заглушку №$site"
-    kit local site "$site" || warn "не удалось поставить заглушку — позже: kit local site $site"
-    ;;
-esac
-
-if [[ $fix_time == yes ]]; then
-  say "kit fix: синхронизация времени и безопасные починки (авторская команда, ничего необратимого)"
-  kit fix || warn "kit fix завершился с замечаниями — посмотрите вывод"
-fi
-
-# ping и автообновления: --harden/--no-harden решают без вопросов, иначе спрашиваем
-want_ping=$harden; want_update=$harden
-[[ $want_ping == auto ]] && want_ping=yes
-[[ $want_update == auto ]] && want_update=yes
-if [[ $harden == auto ]] && interactive; then
-  if ask_yes "Закрыть ответ сервера на ping? Снаружи пинг перестанет отвечать (подписка и VPN не затрагиваются)." y; then want_ping=yes; else want_ping=no; fi
-  if ask_yes "Включить автообновления безопасности? Только security-обновления, без перезагрузки." y; then want_update=yes; else want_update=no; fi
-fi
-if [[ $want_ping == yes ]]; then
-  say "закрываю ответ на ping (правилом ufw)"
-  kit local ping off || warn "не удалось — повторите: kit local ping off"
-fi
-if [[ $want_update == yes ]]; then
-  say "включаю автообновления безопасности"
-  kit local upgrades on || warn "не удалось — повторите: kit local upgrades on"
-fi
+# ------------------------------------------------------------------ вопросы (всё спросим ДО установки)
+# После установщика на экране появляются доступы к панели: там вопросы уже неуместны. Поэтому
+# спрашиваем всё заранее, а действия выполняем после установки (см. «наши дополнения» ниже).
 
 # порт SSH: по флагу или по вопросу. Смена делается в два шага: сначала ДОБАВИТЬ новый порт
 # (прежний продолжает работать), потом закрыть прежние — иначе одна опечатка оставляет сервер без доступа.
@@ -439,19 +387,86 @@ ask_ssh_port() { # пусто — оставить как есть; иначе
   warn "оставляю прежний порт ($cur)"
 }
 
+want_ping=$harden; want_update=$harden
+[[ $want_ping == auto ]] && want_ping=yes
+[[ $want_update == auto ]] && want_update=yes
+if [[ $harden == auto ]] && interactive; then
+  if ask_yes "Закрыть ответ сервера на ping? Снаружи пинг перестанет отвечать (подписка и VPN не затрагиваются)." y; then want_ping=yes; else want_ping=no; fi
+  if ask_yes "Включить автообновления безопасности? Только security-обновления, без перезагрузки." y; then want_update=yes; else want_update=no; fi
+fi
+
 [[ -n $ssh_port ]] || ssh_port=$(ask_ssh_port)
+want_passwd=no
+if interactive; then
+  if ask_yes "Сменить пароль root прямо сейчас? Новый пароль введёте в следующем окне." n; then want_passwd=yes; fi
+fi
+
+[[ $clean == yes ]] && clean_previous
+
+# Меню выбора сайта маскировки: сканируем подсеть один раз и предлагаем выбрать сайт отдельно для
+# REALITY и (если выбраны) для XHTTP/MTProto. Отключается флагом --auto-sni (тогда автоподбор автора).
+if [[ $pick_sni == yes ]]; then export KL_PICK_SNI=1; else export KL_PICK_SNI=0; fi
+
+say "запускаю установщик автора (панель 3X-UI, протоколы, сайт-заглушка, подписка)"
+if ((${#INSTALLER_ARGS[@]})); then printf '  флаги: %s\n' "${INSTALLER_ARGS[*]}"; else printf '  флагов нет: установщик задаст вопросы (маскировка, домен)\n'; fi
+# stdin: если есть терминал — отдаём его установщику (там есть вопросы), иначе /dev/null,
+# иначе установщик начнёт читать наш собственный скрипт вместо ответов.
+if [[ -r /dev/tty ]]; then
+  bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/tty || installer_failed
+else
+  bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/null || installer_failed
+fi
+command -v kit >/dev/null || die "после установки нет команды kit — что-то пошло не так, смотрите вывод выше"
+
+# Запоминаем, какие протоколы выбраны: наши команды (kit local site и др.) смотрят сюда и не
+# делают ничего для протоколов, которых в этой установке нет.
+printf '%s\n' "${protos//,/ }" | tr ' ' '\n' | sed '/^$/d' > /etc/kit/kl-protos 2>/dev/null || true
+
+# ------------------------------------------------------------------ наши дополнения (только действия)
+
+# Ничего не спрашиваем: все ответы собраны до установщика. Здесь только выполняем.
+
+# Сайт-заглушка: у автора это случайные «кофейни и пекарни», у нас — правдоподобный ИТ-сайт.
+# Меняем не файл вручную, а командой форка: она же обновляет копию страницы в ответе Hysteria2,
+# иначе 443/tcp и UDP-порт начнут отвечать разными страницами (это видно снаружи).
+case $site in
+  off) say "заглушку не трогаю (--no-site): остаётся страница автора" ;;
+  random)
+    say "ставлю сайт-заглушку: случайный ИТ-сайт из нашего набора"
+    kit local site || warn "не удалось поставить заглушку — позже: kit local site"
+    ;;
+  *)
+    say "ставлю сайт-заглушку №$site"
+    kit local site "$site" || warn "не удалось поставить заглушку — позже: kit local site $site"
+    ;;
+esac
+
+if [[ $fix_time == yes ]]; then
+  say "kit fix: синхронизация времени и безопасные починки (авторская команда, ничего необратимого)"
+  kit fix || warn "kit fix завершился с замечаниями — посмотрите вывод"
+fi
+
+# Действия по ответам, которые были заданы ДО установщика (см. блок вопросов выше).
+if [[ $want_ping == yes ]]; then
+  say "закрываю ответ на ping (правилом ufw)"
+  kit local ping off || warn "не удалось — повторите: kit local ping off"
+fi
+if [[ $want_update == yes ]]; then
+  say "включаю автообновления безопасности"
+  kit local upgrades on || warn "не удалось — повторите: kit local upgrades on"
+fi
+
+if [[ $want_passwd == yes ]]; then
+  say "меняю пароль root"
+  kit local passwd || warn "не получилось — повторите: kit local passwd"
+fi
+
+# порт SSH: новый порт добавляем, прежний остаётся рабочим до вашей проверки входа.
 if [[ -n $ssh_port ]]; then
   say "перевожу SSH на порт $ssh_port: новый добавляю, прежний пока остаётся рабочим"
   kit local ssh "$ssh_port" || warn "порт не добавился — сделайте отдельно: kit local ssh $ssh_port"
 fi
 
-# пароль root: в флагах его нет намеренно — значение в командной строке видно в списке процессов
-if interactive; then
-  if ask_yes "Сменить пароль root прямо сейчас?" n; then
-    kit local passwd || warn "не получилось — повторите: kit local passwd"
-  fi
-fi
-
 # ------------------------------------------------------------------ проверка
 
 if [[ $do_check == yes ]]; then

scripts/3x-ui.sh

@@ -30,7 +30,7 @@ wait_apt_idle() {
 XUI_VERSION="v3.9.0"
 # SHA256 установщика 3X-UI этой версии: тег могут передвинуть, а хеш – нет (проверено 2026-09-30).
 XUI_INSTALL_SHA256="18616fe26c8f6c92db6daa2dcd7cd53c5143ee69ecfd26d8ea6dc9b2c78607a6"
-KIT_VERSION="1.2.11"
+KIT_VERSION="1.2.14"
 # kit и kit-sub берём из того же релиза, что и этот скрипт, а не из меняющейся ветки main.
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$KIT_VERSION"
 # Ядро Xray для панели. С 26.7.x клиенты на Mihomo и sing-box (Hiddify, FlClash,
@@ -50,7 +50,8 @@ RESULT=/root/3x-ui.txt
 XUI_ENV=/etc/x-ui/install-result.env
 # Сайты для маскировки REALITY: нужны TLS 1.3 и HTTP/2. Берём первый доступный.
 # Apple, iCloud, Microsoft и домены .ru сам Xray не советует – их тут нет.
-SNI_CANDIDATES=(dl.google.com www.amazon.com www.samsung.com www.yahoo.com)
+# Наш шов: добавлены известные сайты (Microsoft, AMD, Intel, NVIDIA) — их можно выбрать вручную.
+SNI_CANDIDATES=(dl.google.com www.amazon.com www.samsung.com www.yahoo.com www.microsoft.com www.amd.com www.intel.com www.nvidia.com)
 
 ALL_PROTOS=(reality reality2 hy2 xhttp ws trojan vmess ss tuic wg awg awg3 mtproto)
 # Обычный WireGuard легко распознаётся сетевым оборудованием и работает нестабильно
@@ -537,6 +538,57 @@ main() {
     later "Адрес $HOST не найден на сетевых интерфейсах сервера (бывает за NAT). Если ссылки не работают – запустите с --host и верным IP."
   fi
 
+# ---------------------------------------------------------------------------
+# Наш шов: выбор сайта маскировки по результатам скана подсети.
+# Печатает выбранное имя в stdout (пусто — оставляем автоподбор автора).
+# Роль: reality (только найденные и ручной ввод) или xhttp (плюс известные сайты).
+kl_sni_menu() {
+  local role=$1; shift
+  local -a found=("$@")
+  local -a known=("${SNI_CANDIDATES[@]}")
+  local src=${KL_ASK_SRC:-/dev/tty} ans i n try
+  [[ $role == xhttp ]] || known=()   # REALITY маскируем только под соседа или введённый вручную
+  printf '\n%s%s%s\n' "$B" "$role" "$N" >&2
+  if ((${#found[@]})); then
+    printf '  найдено в вашей подсети (TLS 1.3, h2, сертификат верный):\n' >&2
+    for i in "${!found[@]}"; do printf '   %2d) %s\n' "$((i + 1))" "${found[i]}" >&2; done
+  else
+    printf '  в подсети подходящих сайтов не нашлось\n' >&2
+  fi
+  if [[ $role == xhttp ]]; then
+    n=${#found[@]}
+    printf '  известные сайты (заметнее, чем соседи по подсети):\n' >&2
+    for i in "${!known[@]}"; do printf '   %2d) %s\n' "$((i + 1 + n))" "${known[i]}" >&2; done
+  fi
+  printf '    0) ввести адрес сайта вручную\n' >&2
+  printf '  Enter — оставить автоподбор. Выбор: ' >&2
+  for try in 1 2 3; do
+    ans=""
+    read -r -t 300 ans <"$src" 2>/dev/null || true
+    ans=${ans//[[:space:]]/}
+    [[ -z $ans ]] && return 0
+    if [[ $ans == 0 ]]; then
+      printf '  адрес сайта (например vpn.example.com): ' >&2
+      ans=""
+      read -r -t 300 ans <"$src" 2>/dev/null || true
+      ans=${ans//[[:space:]]/}
+      if [[ $ans =~ ^[A-Za-z0-9.-]+\.[A-Za-z]{2,}$ ]]; then printf '%s' "$ans"; return 0; fi
+      printf '  не похоже на адрес сайта\n' >&2
+    elif [[ $ans =~ ^[0-9]+$ ]]; then
+      local total=${#found[@]}
+      ((total)) && known=()   # для reality известные не предлагаются
+      local idx=$((10#$ans))
+      if ((idx >= 1 && idx <= total)); then printf '%s' "${found[idx - 1]}"; return 0; fi
+      if ((idx > total && idx <= total + ${#known[@]})); then printf '%s' "${known[idx - total - 1]}"; return 0; fi
+      printf '  такого номера нет\n' >&2
+    else
+      printf '  не понял «%s» — введите номер или 0\n' "$ans" >&2
+    fi
+    printf '  ещё раз (Enter — автоподбор): ' >&2
+  done
+  return 0
+}
+
   # Маскировка: из флагов, по вопросу пользователю или автоматически (сосед по подсети).
   if [[ -n $DOMAIN ]]; then
     [[ $PANEL_SSL == ip ]] || die "Свой домен работает с сертификатом панели Let's Encrypt на IP: освободите порт 80 и не указывайте --cert, --key и --panel-ssl none (сертификат для домена установщик получит сам)."
@@ -548,12 +600,35 @@ main() {
     SNI=$DOMAIN
   elif [[ -z $SNI ]]; then
     echo
-    echo "Подбираю сайт для маскировки среди соседей по подсети… (около 250 коротких обращений к порту 443 соседних адресов, около минуты; не нужно – запустите с --sni или --domain)"
+    echo "Сканирую подсеть: около 250 коротких обращений к порту 443 соседних адресов (около минуты)."
+    echo "По результатам предложу сайты для маскировки. Не нужно – запустите с --sni или --domain."
     local -a nb=()
     mapfile -t nb < <(nearby_sites | shuf)
     NB_ALL=("${nb[@]}")
-    if ((${#nb[@]})); then
-      SNI=${nb[0]}; SNI2=${nb[1]:-}; SNI3=${nb[2]:-}
+    # Наш шов: показываем найденное и даём выбрать — отдельно для REALITY и для XHTTP/MTProto.
+    if [[ ${KL_PICK_SNI:-} == 1 && $yes == no ]] && { : </dev/tty; } 2>/dev/null; then
+      local pick pick2
+      pick=$(kl_sni_menu "REALITY (TCP 443) — под какой сайт маскировать" ${nb[@]+"${nb[@]}"})
+      if ((${#nb[@]})); then
+        [[ -n $pick ]] && SNI=$pick || SNI=${nb[0]}
+      elif [[ -n $pick ]]; then
+        SNI=$pick
+      fi
+      if [[ -n $SNI ]]; then
+        if ! sni_ok "$SNI"; then
+          warn "$SNI не отвечает по TLS 1.3 + HTTP/2 — беру найденное в подсети"
+          SNI="${nb[0]:-$SNI}"
+        fi
+        ok "маскировка REALITY: ${B}$SNI${N}"
+      fi
+      if [[ " ${PROTOS[*]} " == *" xhttp "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then
+        pick2=$(kl_sni_menu "XHTTP и MTProto (различаются по имени сайта) — какой сайт взять" ${nb[@]+"${nb[@]}"})
+        [[ -n $pick2 ]] && SNI2=$pick2
+        [[ -n $SNI2 ]] && ok "маскировка XHTTP/MTProto: ${B}$SNI2${N}"
+      fi
+    fi
+    if [[ -z $SNI ]] && ((${#nb[@]})); then
+      SNI=${nb[0]}; SNI2=${SNI2:-${nb[1]:-}}; SNI3=${nb[2]:-}
       ok "найден: ${B}$SNI${N} · та же подсеть · TLS 1.3, h2, сертификат верный"
     else
       warn "В подсети подходящего сайта не нашёл."
@@ -578,7 +653,10 @@ main() {
   LINK_HOST=${DOMAIN:-$HOST}
   [[ $PANEL_ON == ip || -n $DOMAIN ]] || { PANEL_ON=ip; later "--panel-on domain нужен со своим доменом: панель и подписка открываются по IP."; }
   # Режим «всё на 443»: XHTTP и MTProto различаются по имени сайта, берём и им соседей по подсети.
-  if [[ $TRUSTED == yes && $multi == no && ( -z $SNI2 || -z $SNI3 ) ]]; then
+  # Наш шов: если XHTTP и MTProto не выбраны, имена для них сейчас не нужны — не сканируем соседей
+  # по подсети впустую (около 250 обращений к чужим 443). Имена SNI2/SNI3 возьмутся из общего списка ниже.
+  if [[ $TRUSTED == yes && $multi == no && ( -z $SNI2 || -z $SNI3 ) ]] \
+     && [[ " ${PROTOS[*]} " == *" xhttp "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then
     local -a nb2=()
     echo
     if ((${#NB_ALL[@]})); then
@@ -754,7 +832,11 @@ main() {
   links=$(sub_links "$SUBID")
   # У установок до kit 1.1 AmneziaWG и MTProto лежат в подписках «-awg» и «-tg».
   local extra
-  extra=$(sub_links "$SUBID-awg" 1; sub_links "$SUBID-tg" 1)
+  # Наш шов: подписки «-awg»/«-tg» есть только у установок с AmneziaWG и MTProto — не тянем их,
+  # если эти протоколы не выбраны (никаких лишних обращений к панели).
+  if [[ " ${PROTOS[*]} " == *" awg "* || " ${PROTOS[*]} " == *" awg3 "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then
+    extra=$(sub_links "$SUBID-awg" 1; sub_links "$SUBID-tg" 1)
+  fi
   [[ -n $extra ]] && links+=$'\n'"$extra"
   AWG_LINKS=$(grep '^vpn://' <<<"$links" || true)
   # MTProto слушает localhost, а клиенты приходят через nginx на 443.

scripts/hysteria2.sh

@@ -8,7 +8,7 @@
 # Код выхода 1 при любом запуске (и при `__update_binary`) – старый `hy2 update` на нём
 # останавливается и не заменяет команду hy2.
 
-KIT_VERSION="1.2.11"
+KIT_VERSION="1.2.14"
 
 cat >&2 <<'MSG'
 Отдельный установщик Hysteria2 больше не поддерживается.

scripts/kit-local.sh

@@ -874,7 +874,9 @@ kit_local_site() {
   # Порт 443 отдаёт файл через nginx (перезагрузка не нужна). UDP-порт Hysteria2 держит копию
   # страницы внутри подключения — её надо обновить, иначе ответы разойдутся.
   if kl_have kit; then
-    if kit net masq on >/dev/null 2>&1; then
+    if [[ -f /etc/kit/kl-protos ]] && ! grep -qE '(^|[ ,])hy2([ ,]|$)' /etc/kit/kl-protos; then
+      kl_ok "Hysteria2 в этой установке не ставился — синхронизировать нечего"
+    elif kit net masq on >/dev/null 2>&1; then
       kl_ok "Hysteria2 отвечает той же страницей"
     else
       kl_warn "Hysteria2 не синхронизирован (может, его нет в этой установке) — проверьте: kit net masq on"
@@ -930,6 +932,10 @@ kit_local_uninstall() {
   esac
 
   # Службы: и явный список, и всё, что найдётся по нашим шаблонам (чтобы новые юниты kit не оставались).
+  # kit запускает наши команды с `set -e`: при уборке это недопустимо — любая «не найденная» служба
+  # или пустой grep обрывали бы снос на середине (так и было: файлы оставались). Убираем errexit.
+  set +e
+
   local -a svc=(x-ui.service kit-sub.service kit-update.timer kit-update.service kit-limit.timer kit-limit.service)
   local u
   for u in $(systemctl list-unit-files --no-legend 2>/dev/null | awk '{print $1}' \
@@ -986,8 +992,8 @@ kit_local_uninstall() {
   done
   if kl_have nginx; then
     local others
-    others=$(find /etc/nginx/conf.d /etc/nginx/sites-enabled /etc/nginx/streams-enabled -mindepth 1 2>/dev/null \
-             | grep -vE 'kit\.conf$|(^|/)default$' | wc -l)
+    others=$( { find /etc/nginx/conf.d /etc/nginx/sites-enabled /etc/nginx/streams-enabled -mindepth 1 2>/dev/null || true; } \
+             | { grep -vE 'kit\.conf$|(^|/)default$' || true; } | wc -l)
     if [[ $others -eq 0 ]]; then
       systemctl disable --now nginx >/dev/null 2>&1 && kl_ok "nginx остановлен (чужих сайтов в нём не было)"
       KL_NGINX_PURGE=yes
@@ -1054,8 +1060,8 @@ kit_local_uninstall() {
              | grep -E '^(x-ui|kit-|kit\.)' | grep -E '\.(service|timer)$'); do
     kl_warn "осталась наша служба: $s"; left=1
   done
-  found=$(ls -d /etc/kit* /usr/local/lib/kit* /usr/local/bin/kit /etc/cron.d/kit-* /var/www/kit \
-              /root/3x-ui.txt /root/cert /etc/x-ui /usr/local/x-ui 2>/dev/null | head -20)
+  found=$( { ls -d /etc/kit* /usr/local/lib/kit* /usr/local/bin/kit /etc/cron.d/kit-* /var/www/kit \
+              /root/3x-ui.txt /root/cert /etc/x-ui /usr/local/x-ui 2>/dev/null || true; } | head -20)
   [[ -z $found ]] || { kl_warn "осталось на диске:"; printf '    %s\n' $found; left=1; }
   ss -H -ltn 2>/dev/null | awk '{print $4}' | grep -qE '[:.]443$' && { kl_warn "порт 443 всё ещё кем-то слушается"; left=1; }
   if ((left)); then

scripts/kit.sh

@@ -12,7 +12,7 @@
 set -Eeuo pipefail
 export LC_ALL=C.UTF-8  # ширина колонок по символам, а не байтам
 
-KIT_VERSION="1.2.11"
+KIT_VERSION="1.2.14"
 KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main"
 # Файлы новой версии берём из её тега, а не из меняющейся ветки main.
 kit_ref_raw() { echo "https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$1"; }

tools/fork_apply.py

@@ -247,6 +247,48 @@ def main():
             'ask_num "Выбор [0-9, 10]: "',
             "подсказка выбора в меню учитывает новый пункт",
         ),
+        (
+            'scripts/3x-ui.sh',
+            '  if [[ $TRUSTED == yes && $multi == no && ( -z $SNI2 || -z $SNI3 ) ]]; then',
+            False,
+            '  # Наш шов: если XHTTP и MTProto не выбраны, имена для них сейчас не нужны — не сканируем соседей\n  # по подсети впустую (около 250 обращений к чужим 443). Имена SNI2/SNI3 возьмутся из общего списка ниже.\n  if [[ $TRUSTED == yes && $multi == no && ( -z $SNI2 || -z $SNI3 ) ]] \\\n     && [[ " ${PROTOS[*]} " == *" xhttp "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then',
+            'не сканировать соседей, если XHTTP и MTProto не выбраны',
+        ),
+        (
+            'scripts/3x-ui.sh',
+            '  extra=$(sub_links "$SUBID-awg" 1; sub_links "$SUBID-tg" 1)',
+            False,
+            '  # Наш шов: подписки «-awg»/«-tg» есть только у установок с AmneziaWG и MTProto — не тянем их,\n  # если эти протоколы не выбраны (никаких лишних обращений к панели).\n  if [[ " ${PROTOS[*]} " == *" awg "* || " ${PROTOS[*]} " == *" awg3 "* || " ${PROTOS[*]} " == *" mtproto "* ]]; then\n    extra=$(sub_links "$SUBID-awg" 1; sub_links "$SUBID-tg" 1)\n  fi',
+            'не тянуть legacy-подписки awg/tg, если протоколы не выбраны',
+        ),
+        (
+            'scripts/3x-ui.sh',
+            'SNI_CANDIDATES=(dl.google.com www.amazon.com www.samsung.com www.yahoo.com)',
+            False,
+            '# Наш шов: добавлены известные сайты (Microsoft, AMD, Intel, NVIDIA) — их можно выбрать вручную.\nSNI_CANDIDATES=(dl.google.com www.amazon.com www.samsung.com www.yahoo.com www.microsoft.com www.amd.com www.intel.com www.nvidia.com)',
+            'список известных сайтов расширен',
+        ),
+        (
+            'scripts/3x-ui.sh',
+            '  # Маскировка: из флагов, по вопросу пользователю или автоматически (сосед по подсети).',
+            False,
+            '# ---------------------------------------------------------------------------\n# Наш шов: выбор сайта маскировки по результатам скана подсети.\n# Печатает выбранное имя в stdout (пусто — оставляем автоподбор автора).\n# Роль: reality (только найденные и ручной ввод) или xhttp (плюс известные сайты).\nkl_sni_menu() {\n  local role=$1; shift\n  local -a found=("$@")\n  local -a known=("${SNI_CANDIDATES[@]}")\n  local src=${KL_ASK_SRC:-/dev/tty} ans i n try\n  [[ $role == xhttp ]] || known=()   # REALITY маскируем только под соседа или введённый вручную\n  printf \'\\n%s%s%s\\n\' "$B" "$role" "$N" >&2\n  if ((${#found[@]})); then\n    printf \'  найдено в вашей подсети (TLS 1.3, h2, сертификат верный):\\n\' >&2\n    for i in "${!found[@]}"; do printf \'   %2d) %s\\n\' "$((i + 1))" "${found[i]}" >&2; done\n  else\n    printf \'  в подсети подходящих сайтов не нашлось\\n\' >&2\n  fi\n  if [[ $role == xhttp ]]; then\n    n=${#found[@]}\n    printf \'  известные сайты (заметнее, чем соседи по подсети):\\n\' >&2\n    for i in "${!known[@]}"; do printf \'   %2d) %s\\n\' "$((i + 1 + n))" "${known[i]}" >&2; done\n  fi\n  printf \'    0) ввести адрес сайта вручную\\n\' >&2\n  printf \'  Enter — оставить автоподбор. Выбор: \' >&2\n  for try in 1 2 3; do\n    ans=""\n    read -r -t 300 ans <"$src" 2>/dev/null || true\n    ans=${ans//[[:space:]]/}\n    [[ -z $ans ]] && return 0\n    if [[ $ans == 0 ]]; then\n      printf \'  адрес сайта (например vpn.example.com): \' >&2\n      ans=""\n      read -r -t 300 ans <"$src" 2>/dev/null || true\n      ans=${ans//[[:space:]]/}\n      if [[ $ans =~ ^[A-Za-z0-9.-]+\\.[A-Za-z]{2,}$ ]]; then printf \'%s\' "$ans"; return 0; fi\n      printf \'  не похоже на адрес сайта\\n\' >&2\n    elif [[ $ans =~ ^[0-9]+$ ]]; then\n      local total=${#found[@]}\n      ((total)) && known=()   # для reality известные не предлагаются\n      local idx=$((10#$ans))\n      if ((idx >= 1 && idx <= total)); then printf \'%s\' "${found[idx - 1]}"; return 0; fi\n      if ((idx > total && idx <= total + ${#known[@]})); then printf \'%s\' "${known[idx - total - 1]}"; return 0; fi\n      printf \'  такого номера нет\\n\' >&2\n    else\n      printf \'  не понял «%s» — введите номер или 0\\n\' "$ans" >&2\n    fi\n    printf \'  ещё раз (Enter — автоподбор): \' >&2\n  done\n  return 0\n}\n\n  # Маскировка: из флагов, по вопросу пользователю или автоматически (сосед по подсети).',
+            'меню выбора сайта маскировки (наш код)',
+        ),
+        (
+            'scripts/3x-ui.sh',
+            '    echo\n    echo "Подбираю сайт для маскировки среди соседей по подсети… (около 250 коротких обращений к порту 443 соседних адресов, около минуты; не нужно – запустите с --sni или --domain)"',
+            False,
+            '    echo\n    echo "Сканирую подсеть: около 250 коротких обращений к порту 443 соседних адресов (около минуты)."\n    echo "По результатам предложу сайты для маскировки. Не нужно – запустите с --sni или --domain."\n    local -a nb=()\n    mapfile -t nb < <(nearby_sites | shuf)\n    NB_ALL=("${nb[@]}")\n',
+            'скан + выбор сайта вместо автоподбора',
+        ),
+        (
+            'scripts/3x-ui.sh',
+            '      SNI=${nb[0]}; SNI2=${nb[1]:-}; SNI3=${nb[2]:-}\n      ok "найден: ${B}$SNI${N} · та же подсеть · TLS 1.3, h2, сертификат верный"',
+            False,
+            '      SNI=${nb[0]}; SNI2=${SNI2:-${nb[1]:-}}; SNI3=${nb[2]:-}\n      ok "найден: ${B}$SNI${N} · та же подсеть · TLS 1.3, h2, сертификат верный"',
+            'не перетирать выбранный SNI2',
+        ),
     ]
 
     bad = 0