3X-UI_autoVPS/FORK-CHANGELOG.md

## v1.2.1.1: сборка на новой базе автора (3X-UI KIT 1.2.1)

**Правило нумерации:** берём версию автора и через точку добавляем свою, начиная с 1. У автора 1.2.1 —
значит наша сборка 1.2.1.1; когда выйдет его 1.2.2, наша будет 1.2.2.1.

**Взяли от автора (его код теперь работает вместо наших заплаток):**
* проверка A-записи домена сверяется с **публичным DNS**, а не с кэшем самого сервера — та самая причина,
  когда запись уже есть, а сервер её «не видит»;
* пропал наш шов, открывавший порт 80: автор делает это сам перед выпуском сертификата **и закрывает обратно**;
* пропал наш шов переиспользования сертификата: автор тоже берёт прошлый;
* повторный запуск после неудачной установки: автор заново спрашивает протоколы и сайт маскировки и не
  оставляет сервер на полпути — прежнее наше «доустанавливаю» больше не нужно;
* полное удаление: наш `kit local uninstall` теперь **делегирует авторской команде `kit uninstall`**
  (она снимает и сам kit) и остаётся синонимом;
* меню `kit` — авторское (в том числе «9. Панель 3X-UI (меню x-ui)», «10. Удалить KIT с сервера»);
* попутно приехали его починки: Hiddify 4.x снова принимает подписку, ссылка MTProto ведёт на 443, смена
  сайта маскировки не обрывает клиентов (прежнее имя живёт неделю), `nginx -t` в проверке сервера,
  устойчивость к битому apt-репозиторию, длинные имена сайта в nginx, проверка копии (в т.ч. U+202E),
  честная глубокая проверка, предупреждение «обновлять панель и ядро только через kit».

**Сохранили своё:**
* наш файл `scripts/kit-local.sh` и наша обёртка установщика — автор их не трогает;
* наш канал обновлений (GitHub → наш Gitea) и **только наш ключ подписи** в `KIT_SIGNERS`: сервер обязан
  принимать обновления лишь из нашего канала;
* наш экран выбора протоколов (13 пунктов, дефолт REALITY + AmneziaWG-3.1) — теперь номера вводятся
  **через пробел** («1 12»), как вы просили; запятые по-прежнему принимаются;
* наши меню маскировки REALITY и XHTTP/MTProto, вопрос «панель по IP или по домену», возврат «ввести
  другой домен» без обрыва установки;
* наша заглушка ставится сразу, авторская не устанавливается;
* финальный блок: доступы, подписка и QR печатает наш установщик один раз, в самом конце (авторский дубль
  «Готово! Сервер работает» убран, предупреждения остаются).

**Технически:** из 77 прежних швов 66 легли без изменений, 8 больше не нужны (их работу делает автор),
3 перенастроены на его новый код (ключ подписи, защита наших меню, финальный блок).

## v1.2.27: ошибка с доменом больше не обрывает установку

* **Свой домен вводится заново, пока не заработает.** Раньше при промахе (A-запись ещё не разошлась
  по DNS, опечатка в имени) установка молча маскировалась под чужой сайт, а при домене из флага —
  обрывалась с «исправьте причину и запустите скрипт снова». Теперь сразу после ввода домена идёт
  проверка и при промахе — выбор: «проверить снова» (DNS расходится от минут до часов), «ввести другой
  домен», «без своего домена — маскировка соседом по подсети».
* **Провал сертификата на шаге подключений не прерывает установку.** Предлагается повторить попытку
  (пока ждали обновления DNS или лимит Let's Encrypt), ввести другое имя (с той же проверкой A-записи)
  или остановиться с понятной инструкцией, как поставить без домена. Причина и дата повтора при лимите
  печатаются в самом отказе, лог остаётся в /var/log/kit-domain-cert.log.

## v1.2.26: лимит Let's Encrypt виден прямо, готовый сертификат переиспользуется

* **Причина отказа теперь называется честно.** Let's Encrypt разрешает 5 сертификатов на точный набор имён
  за 7 суток; при повторных установках лимит выбирается, и acme.sh отвечает `rateLimited`, а установщик
  писал про «A-запись, порт 80 или Cloudflare» — то есть отправлял искать причину не там. Теперь в выводе
  дата, после которой повтор сработает, и подсказка взять другое имя (`node3.…` — лимит считается на набор имён).
* **Готовый сертификат переиспользуется.** Если у acme.sh уже лежит годный сертификат на этот домен,
  новый не заказывается — лишний заказ и упирался в лимит. Заодно не тратится время на повторные попытки.
* Итоговая ошибка установщика больше не повторяет догадки про порт и DNS: причина печатается выше,
  а лог остаётся в /var/log/kit-domain-cert.log.

## v1.2.25: вопрос про панель возвращён, блок про защиту переписан понятнее

* **Снова спрашиваем, где открывать панель и подписку.** У автора этот вопрос задавался только когда
  домен передан флагом `--domain`; при выборе «ввести свой домен» в меню маскировки его не было, и панель
  молча оставалась по IP с самоподписанным сертификатом — то самое «панель на это ругается». Теперь:
  выбрали свой домен → сразу вопрос «По IP (как раньше) или По домену» (`https://домен/…`, сертификат
  Let's Encrypt, браузер не ругается).
* В отчёте защиты блок «чего здесь нет» больше не ссылается на сторонний проект без пояснений: сказано,
  что именно сделано мягче (без полного обновления системы, без автоперезагрузки, без общесистемного
  запрета ICMP) и почему — панель и ядро закреплённых версий, сервер не должен вставать сам.

## v1.2.24: сертификат идёт вслед за выбором «домен или IP»

* Выбрали в меню маскировки **свой домен** — панель и подписка тоже переезжают на домен:
  `https://ваш.домен/...` и открываются тем же сертификатом Let's Encrypt, без предупреждений браузера.
  Раньше сертификат выписывался только для маскировки, а панель оставалась по IP с самоподписанным —
  отсюда ругань и в панели, и в подписке.
* Если выбрали соседа или общедоступный сайт (своего домена нет) — панель остаётся по IP, и в итоговом
  блоке прямо сказано: сертификат самоподписанный, браузер предупредит; перейти на домен потом —
  `kit net panel domain`.
* Домен, который не указывает на этот сервер, используется только как маска (и об этом сообщается),
  панель в этом случае остаётся по IP.

## v1.2.23: чистый вывод — без дублей доступов, без авторской заглушки, без лишних ссылок

* **Убран дублирующий блок автора.** Он печатал «Готово! Сервер работает» с адресом панели, логином,
  паролем, подпиской, QR-кодом и ссылками — а потом то же самое выводил наш финальный блок.
  Теперь авторский блок заканчивается строкой «Установка завершена» и списком предупреждений;
  доступы и подписка печатаются один раз, в самом конце.
* **Авторская заглушка больше не ставится.** Наш сайт кладётся до установщика, а его страница из
  релиза убирается — иначе она перезаписывала нашу на шаге сборки сайта. Заодно пропадает лишний
  шаг «поставить поверх» и его бэкап.
* **Ссылки по протоколам — только если протоколов больше одного.** При одном REALITY печатается
  подписка и QR-код, без списка «отдельные ссылки на каждый протокол».
* Самопроверка в конце установки больше не перечисляет чужие протоколы («REALITY, XHTTP и
  Hysteria2») — пишет те, что реально созданы. Предупреждение про XHTTP/MTProto показывается только
  если эти протоколы выбраны.

## v1.2.22: 80 в ufw открывается прямо перед выпуском сертификата

* Настоящая причина сбоя сертификата (проверено на живом сервере): установщик открывает список
  портов в ufw **позже**, чем пробует выпустить сертификат. На свежем сервере ufw в этот момент
  разрешает только 22, поэтому проверка Let's Encrypt доходила до сервера и «проглатывалась» —
  в логе acme `Timeout during connect (likely firewall problem)`. Провайдер тут ни при чём:
  с настоящим слушателем 80 и 443 отвечают снаружи нормально (проверено в том числе с другого сервера).
* Теперь 80/tcp открывается в ufw непосредственно перед `issue_domain_cert`, а формулировка ошибки
  в установщике исправлена: сначала проверяем ufw, потом хостера.

## v1.2.21: порты до выпуска сертификата и понятный блок про SSH-порт

* **Порты до сертификата.** Установщик теперь сам открывает 80 и 443 в ufw перед работой и прямо
  предупреждает, что такие же правила нужны в файрволе хостинга: частая причина срыва — порт 80
  закрыт именно у провайдера, а не в сервере. Если сертификат всё же не выпустился, в выводе
  разбирается причина: при `Timeout during connect (likely firewall problem)` пишется, что делать
  (открыть 80 в панели хостинга) и предлагается вариант без своего домена (тогда сертификат домена
  не нужен, панель остаётся на самоподписанном). После установки 80 и 443 в ufw проверяются ещё раз.
* **Смена порта SSH — с понятным завершением.** Прежние порты запоминаются до смены, и в конце
  печатается блок: новый порт, какие прежние ещё открыты, команда проверки входа во втором окне и
  готовая команда `kit local ssh --close-old <новый>` для закрытия прежних. Строка про SSH-порт
  добавлена и в итоговый блок с доступом к панели и подпиской.

## v1.2.20: после сноса меню не показывается, и нет ошибок про latest-version

* Удаление из меню (`kit`, пункт 9) теперь завершается сразу: печатается «Готово: сервер в состоянии
  до установки» — и выход. Раньше меню перерисовывалось на уже удалённом сервере и сыпало
  `touch: cannot touch '/etc/kit/latest-version'`.
* `update_hint` больше не пытается что-либо писать, если каталога `/etc/kit` уже нет.
* Входит исправление 1.2.19: `extra` объявлена пустой (иначе `set -u` валил установку на шаге
  «[6/6] Проверка» сообщением `extra: unbound variable`).

## v1.2.19: исправлено «extra: unbound variable» при установке

* На середине установки (после проверки протоколов) скрипт падал: `extra: unbound variable`.
  Причина — моя правка v1.2.13: присваивание ссылок legacy-подписок завёрнуто в `if`, а переменная
  объявлялась как `local extra` без значения. Авторский скрипт работает с `set -u`, поэтому при
  невыполненном условии (AWG и MTProto не выбраны) чтение `$extra` валило установку. Объявлена пустой.
* Правило записано в FORK.md: оборачивая авторское присваивание в `if`, объявляй переменную пустой —
  `local extra=""`, иначе `set -u` обрывает установку на середине.

## v1.2.18: выбранный «свой домен» больше не подменяется соседом

* Что было: после выбора «ввести свой домен» установщик всё равно брал запасной сайт из подсети.
  Две причины, обе в моём коде: (1) выбор перезаписывался сырым значением меню (`own:домен`)
  вместо самого домена; (2) домен проверялся на «TLS 1.3 + HTTP/2» — а до установки на нём ещё нет
  сертификата, поэтому проверка честно не проходила и срабатывал откат на соседа. Теперь для своего
  домена проверка TLS не делается (он указывает на этот сервер — установщик сам выпустит
  сертификат Let's Encrypt), а автоподбор и запасной сайт включаются только если вы НЕ выбрали
  ничего (автовыбор).

## v1.2.17: меню маскировки идёт ПЕРВЫМ (меню автора больше не перебивает)

* Причина, по которой меню не было видно: **меню спрашивал сам установщик** («Свой домен / Сосед /
  Свой сайт») — и до нашего скана подсети дело не доходило. Теперь, когда включено наше меню,
  меню автора не показывается вообще: сразу скан, список найденных доменов и выбор — из найденных,
  автовыбор, общедоступный или свой домен. Отключить и вернуть поведение автора: `--auto-sni`.
* Ответ меню помечается: если вы ввели домен, который указывает на этот сервер, маскировка идёт
  «под свой домен» (сертификат Let's Encrypt выпустит установщик); если не указывает — маскируюсь
  под него как под чужой сайт и прямо об этом сообщаю.
* Входит исправление 1.2.16: возвращён `ask_yes` (в 1.2.13–1.2.15 при установке печаталось
  `ask_yes: command not found`, и значения брались по умолчанию) + гейт «определение раньше вызова».

## v1.2.16: возвращён ask_yes (вылезало «command not found» при установке)

* При переносе вопросов наверх (v1.2.13) потерялось определение функции `ask_yes` — установщик
  писал `ask_yes: command not found` на двух строках и молча брал значения по умолчанию:
  ping оставался открытым, автообновления выключались. Скрипт при этом не падал, поэтому
  ошибку было видно, но установку она не срывала.
* Почему не поймали: гейт в релизе прогонял только `--dry-run`, а он выходит ДО вопросов.
  Добавлена статическая проверка: каждая наша функция должна быть определена раньше первого
  вызова (`ask_yes`, `ask_ssh_port`, `ask_protocols`, `interactive`, `clean_previous` и др.).

## v1.2.15: меню выбора сайта в вашем виде, быстрый скан, снос с добивкой

* Меню маскировки выглядит так, как и просили. Если соседи нашлись — их список по номерам,
  затем `автовыбор из списка`, `выбрать общедоступный` (отдельным списком) и `ввести свой домен`.
  Если в подсети ничего не нашлось — сразу «общедоступный» или «свой домен» (ничего лишнего).
  Enter — автовыбор. Общедоступные сайты предлагаются и для REALITY, и для XHTTP/MTProto.
* **Скан подсети стал быстрым.** Было: адреса проверялись по 8 сразу, а найденные имена —
  по очереди (до 40 имён × три проверки с сетевыми запросами ≈ минуты). Стало: 32 адреса сразу
  и имена проверяются параллельно по 8; таймаут проверки адреса 3 с вместо 4.
* В выводе видно, сколько соседей нашлось (раньше было не понять, работает ли скан).
* После нашего меню автор больше не спрашивает «продолжить с запасным сайтом?» — выбор уже сделан.
* В меню `kit`: **9 — «Удалить всё установленное», 10 — «Выход»** (меню панели `x-ui` переехало
  в пункт 11).
* **`kit local uninstall` доводит дело до конца:** после явного списка идёт добивка по шаблонам
  (`/etc/kit*`, `/usr/local/lib/kit*`, юниты `kit-*`/`x-ui*`, `/var/www/kit`, сертификаты), повторная
  проверка и внятный итог. Появился флаг `--yes` — снести без вопроса.

## v1.2.14: выбор сайта маскировки по результатам скана + снос, который не обрывается

* **Появилось меню маскировки.** Сначала один скан подсети (~250 обращений к 443 соседних адресов),
  потом выбор: номер из найденного, `0` — ввести адрес вручную, Enter — автоподбор. Отдельно для
  **REALITY** (найденное или свой) и отдельно для **XHTTP/MTProto** (найденное, свой или известный
  сайт — список известных расширен Microsoft, AMD, Intel, NVIDIA). Если XHTTP/MTProto не выбраны,
  второго меню не будет. Отключить меню: `--auto-sni`.
* **Исправлено: `kit local uninstall` обрывался на середине.** `kit` запускает наши команды
  с `set -e`, и подсчёт чужих сайтов nginx (`find | grep | wc -l`, где grep не находит ничего и
  возвращает 1) убивал скрипт сразу после остановки служб — файлы и `/usr/local/bin/kit` оставались,
  поэтому `kit help` продолжал работать. Теперь снос выполняется с отключённым `set -e` и все
  подобные конвейеры защищены; проверка после сноса это подтверждает списком, если что-то осталось.
## v1.2.13: вопросов после показа доступов нет, и никакой работы для невыбранных протоколов

* **Все вопросы — до установщика.** Раньше после установки (когда на экране уже были данные входа
  в панель) скрипт спрашивал про ping, автообновления, порт SSH и пароль root — доступы терялись
  в потоке вопросов. Теперь спрашиваем всё заранее, а действия выполняем после установки; последнее,
  что видит человек, — доступ к панели, подписка и QR-код.
* Автор тянет подписки «-awg» и «-tg» (наследие установок kit < 1.1) всегда — теперь только если
  AmneziaWG или MTProto выбраны.
* Наши команды помнят выбор: установщик пишет список протоколов в `/etc/kit/kl-protos`, и
  `kit local site` не синхронизирует ответ Hysteria2, если Hysteria2 не ставился (раньше он это делал
  и выдавал предупреждение про отсутствующий Hysteria2).
## v1.2.12: не сканируем соседей, когда они не нужны

* Автор подбирал сайты-соседи для XHTTP и MTProto **всегда**, когда маскировка доверенная («панель по IP»)
  и всё висит на 443 — независимо от того, выбраны ли эти протоколы. При установке одного REALITY это
  давало ~250 обращений к чужим адресам впустую. Теперь скан идёт только если XHTTP или MTProto выбраны;
  иначе имена SNI2/SNI3 берутся из общего списка сайтов автора (как и раньше при неудаче скана).

# Что нового в сборке форка

Здесь записи о наших версиях. Файл автора (`CHANGELOG.md`) мы не трогаем — так обновления
автора не конфликтуют с нашими записями.
## v1.2.11: снос знает про kit-limit и находит свои службы сам

* В списке сноса не было `kit-limit.service` и `kit-limit.timer` (юнит «общий лимит трафика» из kit) —
  его создаёт установка, а `kit local uninstall` его не убирал. Из-за этого после сноса оставался
  работающий таймер, который раз в 5 минут дёргал уже удалённый `kit` и падал.
* Теперь снос берёт список служб **и из явного перечня, и по шаблонам `x-ui*`/`kit*`** из systemd —
  новая служба, добавленная автором позже, не останется незамеченной. Проверка после сноса ищет
  по тем же шаблонам и показывает всё найденное.
* Флаг `--clean` у установщика использует тот же список.
## v1.2.10: убран мусор в выводе установщика

* В шапке `scripts/3x-ui-local.sh` один из флагов потерял `#` и **при каждом запуске печаталось
  `--dry-run: command not found`** (до `set -e` — потому и не роняло установку, но выглядело как ошибка).
  Исправлено, заодно выровнены строки справки.
* В релизный гейт добавлена проверка, которая такое ловит: холостой прогон установщика, чей вывод в stderr
  содержит «command not found / syntax error / bad substitution», релиз не собирается.
## v1.2.9: снос действительно убирает всё, повторная установка после сноса

* Список удаляемого в `kit local uninstall` собран заново **по коду установщика** и дополнен тем, чего
  не хватало: `/usr/local/lib/kit-sub`, `/root/kit-backup-*` и `/root/x-ui-before-*` (копии kit),
  `/var/log/kit-install-check.log`, `/usr/bin/x-ui.new`, строка `include kit-stream.conf` в `nginx.conf`,
  симлинки в `sites-enabled`/`streams-enabled`, файл автообновлений безопасности, пользователь `kit-sub`.
  Из-за пропущенных файлов установщик после сноса отказывался ставить заново («3X-UI уже установлена»).
* После сноса печатается проверка **теми же условиями, что у установщика**, и список того, что осталось
  на диске — вместо бодрого «удалено» вслепую.
* Флаг `--reset-ssh`: снести и наш ssh-дроп-ин (порт возвращается к системному). По умолчанию SSH не трогаем.
* У установщика появился флаг **`--clean`**: убрать прошлую установку и поставить заново. Если установщик
  всё-таки упал на «уже установлена», в подсказке прямо сказано запустить с `--clean`.
## v1.2.8: доступ к панели в конце установки и снос сервера из меню

* В конце установки (перед подпиской) печатается **доступ к панели 3X-UI**: адрес, логин и пароль из
  файла `/root/3x-ui.txt` — раньше это было видно только в общем потоке вывода установщика.
* **`kit local uninstall`** — снос установки целиком: панель и служба `x-ui`, ядро Xray, службы и файлы
  kit (`kit-sub`, автообновление, cron), конфиги nginx и сайт-заглушка, сертификаты (acme.sh),
  наши правки системы (правило ICMP, обновления безопасности), наши бэкапы и файл с данными панели.
  Правила ufw для 80/443 снимаются, ответ на ping возвращается. Спрашивает подтверждение словом
  «удалить», есть `--dry-run`.
  **SSH не трогается** — ни порт, ни конфиги, ни правила для него: иначе легко потерять доступ к серверу.
  В главном меню `kit` появился пункт **10. Удалить всё установленное**.
## v1.2.7: имя 3X-UI_autoVPS, справка kit help, подписка с QR, живые кнопки на заглушках

* **Сборка называется `3X-UI_autoVPS`** (было `3X-UI KIT`): баннер сервера — `Hacker 07` в том же
  стиле, новое имя в справке, версии, описаниях служб и в имени профиля в клиенте. В файлах автора
  это сделано швами (`tools/fork_apply.py`), поэтому обновление автора правки не затирает.
* **Совместимость шапки релиза.** В подписанном `SHA256SUMS` этого релиза шапка пишется **двумя
  строками** (старая и новая), а проверка на сервере принимает обе. Иначе уже установленные серверы
  отказались бы ставить обновление: они сверяют точный вид строки. Со следующего релиза останется
  только новое имя.
* Убрано дублирование подсказки «Дальше обязательно» при смене порта SSH: она печаталась и
  установщиком, и командой `kit local ssh`.
* **`kit help` — полный справочник по категориям**: пользователи, подключения и порты, маскировка и
  сайт, проверка и починка, обслуживание и обновление, защита сервера (наш слой). Раньше `kit help`
  показывал короткий список автора и не упоминал наши команды. Чтобы справка не отставала молча,
  добавлена проверка `tools/check-help.sh`: она сверяет справку с диспетчером команд и встроена в
  сборку релиза (`tools/release.sh`).
* У сайтов-заглушек все ссылки и кнопки **живые**: нажатие открывает окно «раздел в разработке,
  приносим извинения» (закрыть — кнопкой, кликом мимо окна или Esc). Никаких внешних запросов:
  скрипт и стили внутри страницы.
* В самом конце установки (после всех проверок) печатается то, что нужно сохранить: **подписка
  с QR-кодом** и ссылки по протоколам — авторской командой `kit user link <имя> --all`, поэтому
  вывод совпадает с тем, что показывает `kit` потом. Отключается флагом `--no-sub`.

* Набор по умолчанию — **REALITY + AmneziaWG-3.1** (самый совместимый минимум); ответ «все»
  ставит полный набор автора. Умолчание задаётся в одном месте (`DEFAULT_PROTOS`).
* **Сайт-заглушка переделан на ИТ-тематику:** десять правдоподобных сайтов (дата-аналитика, DevOps,
  мониторинг, разработка, аудит, ИТ-поддержка, колокейшн, заметки про Linux, бэкапы, документация)
  вместо авторских «кофеен и пекарен». Ставится случайный, конкретный — `kit local site 7`,
  список — `kit local site --list`. Команда обновляет и файл для nginx, и копию страницы внутри
  подключения Hysteria2 (`kit net masq on`): если менять файл вручную, 443/tcp и UDP-порт начнут
  отвечать разными страницами — это заметно снаружи.
* Обёртка спрашивает, **какие протоколы ставить** (нумерованный список, `1,3,11` или «все»,
  Enter — набор автора): невыбранные протоколы не создаются вообще — ни подключения в панели,
  ни записей в nginx, ни ссылок в подписке. Список и умолчание взяты из самого установщика
  (`ALL_PROTOS`/`DEFAULT_PROTOS`), передаётся его же флагом `--protocols`, так что поведение
  не расходится с авторским. Свой `--protocols` можно задать флагом — тогда вопроса не будет.
* Обёртка `scripts/3x-ui-local.sh` теперь спрашивает, а не решает за вас: закрывать ли ответ на ping,
  включать ли автообновления безопасности, **менять ли порт SSH** (Enter — оставить текущий,
  число — перевести на него; мусор и занятый порт переспрашивает), менять ли пароль root.
  Маскировку и домен, как и раньше, спрашивает установщик автора.
* Смена порта SSH никогда не закрывает прежний порт сама: сначала добавляется новый, затем скрипт
  печатает две команды — проверить вход во втором окне и закрыть прежние (`kit local ssh --close-old`).
* Запуск без флагов = «одна команда, дальше вопросы». Флаг `--yes` — наоборот, ничего не спрашивать
  (для автоматизации): ping закрывается, автообновления включаются, порт SSH и пароль не трогаются.
* Флаг `--harden` теперь действительно существует (раньше он уходил установщику автора неизвестным
  параметром и ронял установку): закрыть ping и включить автообновления без вопросов.
* `--dry-run` показывает, что именно будет спрошено или сделано по умолчанию.
## v1.2.6: вопросы при установке

* **README.md переписан целиком:** убрано авторское описание с его командой установки, добавлены
  актуальная команда, флаги, таблица протоколов, список сайтов-заглушек, команды `kit` и `kit local`,
  канал обновлений и оговорки. Две картинки — наши (`manuals/assets/fork-banner.svg` и
  `manuals/assets/script-3x-ui-local.svg`, терминал собран из настоящего вывода скрипта).
* Шов в README больше не нужен (`tools/fork_apply.py`): файл наш целиком, как `kit-local.sh`.
## v1.2.5: суммы релиза в формате, который понимает kit

* Исправлена ошибка нашего релизного конвейера: на Windows `sha256sum` пишет суммы как
  `hash *файл`, а `kit` на сервере сверяет имя строго (`$2 == "файл"`) — то есть `kit update`
  отклонил бы релизы v1.2.1–v1.2.4 как «в подписанном списке нет такого файла». Теперь
  `tools/release.sh` приводит список к POSIX-виду (`hash  файл`) **до** подписи.
* `scripts/3x-ui-local.sh` принимает оба формата, чтобы не спотыкаться о суммы, собранные на
  другой машине.
* Проверка теперь повторяет логику самого `kit`: подпись `SHA256SUMS` + строгая сверка имени
  каждого файла из подписанного списка (а не только `sha256sum -c`, который звёздочку прощает).
## v1.2.4: проверка релиза отдельной командой

* Флаг `--verify-only`: скачать релиз, проверить подпись `SHA256SUMS` и SHA256 установщика и выйти —
  можно проверить канал на сервере, ничего не устанавливая.
* Порядок шагов изменён: проверка подписи теперь идёт до предполётных проверок и до любых
  изменений на сервере, чтобы чужой код не запускался раньше проверки.
## v1.2.3: установка одной командой (`scripts/3x-ui-local.sh`)

* Один скрипт на чистом VPS: проверка сервера → скачивание нашего релиза → проверка подписи
  `SHA256SUMS` и SHA256 самого установщика → установщик автора (панель 3X-UI, протоколы,
  сайт-заглушка, маскировка, сертификат, подписка, ufw) → наши дополнения → проверка.
* По умолчанию досыпает: закрыть ответ на ping (правилом ufw), включить обновления безопасности,
  `kit fix` (время и безопасные починки), в конце `kit check` и сводку `kit local hardening`.
  Отключается флагами `--no-harden`, `--no-time`, `--no-check`.
* Второй порт SSH — только по явному флагу `--ssh-port N`: прежний порт продолжает работать,
  закрытие — отдельным шагом `kit local ssh --close-old N`. Автоматически доступ не запираем.
* Все флаги установщика автора (`--domain`, `--sni`, `--panel-on`, `--host`, `--restore` …)
  передаются как есть; есть `--dry-run` (план без изменений) и `--help`.
* Публичный ключ форка вшит в обёртку — подпись проверяется до запуска чужого кода; при смене
  ключа обновляется и здесь, и в `kit`.
## v1.2.2: команды защиты сервера (поведение из StressOzz/vps-setup)

* Новые команды `kit local`: `ssh <порт>` (добавить порт SSH), `ssh --close-old` (закрыть прежние
  порты), `ping off|on` (не отвечать на ICMP echo), `passwd [--generate]` (сменить пароль),
  `upgrades on|off|status` (автообновления безопасности), `hardening` (сводка по защите сервера).
* Сделано безопаснее, чем в источнике: конфиг sshd проверяется через `sshd -t` **до** перезапуска,
  новый порт сначала открывается в ufw, прежний порт продолжает работать до отдельного шага
  `--close-old`, у правок есть `--dry-run`, а копии изменённых файлов остаются в
  `/root/kit-local-backup-<дата>/` (не в `/tmp`).
* `apt full-upgrade` из источника не выполняется: вместо него включаются обновления безопасности
  (только security, без самовольной перезагрузки) — это не затрагивает закреплённые версии панели
  и ядра, которые ставятся не из apt.
* Учтён Ubuntu 24.04: если SSH слушает systemd (`ssh.socket`), порт добавляется socket-drop-in'ом,
  а закрытие старых портов не делается автоматически — там ошибка запирает доступ к серверу.
* Ping отключается правилом ufw (`before.rules`), а не общесистемным `icmp_echo_ignore_all`:
  видно в `ufw status`, отменяется одной командой и не глушит ICMP для внутренних интерфейсов.
## v1.2.1: сборка форка поверх 3X-UI_autoVPS 1.2

* Источник файлов и обновлений — свой репозиторий Gitea: установка и `kit update` берут релиз
  оттуда, а подпись релиза проверяется ключом форка. Авторский ночной апдейт приходит в наш
  канал, поэтому наши доработки не стираются ночью.
* Дополнения форка живут отдельным файлом `/usr/local/lib/kit/kit-local.sh` и подключаются одной
  строкой: `kit local help | version | channel | seams | masking`.
* Наш файл едет в том же подписанном релизе, что и код автора: он входит в `SHA256SUMS`,
  проверяется по подписи и обновляется вместе с `kit`.
* Швы в коде автора описаны в `tools/fork_apply.py` (источник правды), синхронизация с автором и
  проверки — `tools/fork-sync.sh`.

Основа — 3X-UI_autoVPS 1.2 (панель 3X-UI v3.9.0, ядро Xray v26.6.27). Что нового у автора — в `CHANGELOG.md`.