diff --git a/MANUAL.md b/MANUAL.md
index 6a16a8e..f08327a 100644
--- a/MANUAL.md
+++ b/MANUAL.md
@@ -37,6 +37,22 @@
    (`/etc/nsswitch` и sssd.conf), перезапустить службы, проверить:
    `getent passwd hquser1`.
 4. Проверяем: `getent passwd hquser1`, затем `su - hquser1` — вход работает.
+5. Проверить правило sudo (файл /etc/sudoers.d/hq_group от hq-cli.sh):
+   `su - hquser1 -c 'sudo cat /etc/hostname'` и убедиться, что другие команды
+   (например `sudo vim`) под пользователем группы hq НЕ работают.
+
+## Задание 2: Ansible — ключи на машины
+После br-srv.sh ключ сгенерирован, его надо раскидать вручную (пароль
+запрашивается интерактивно, автоматизации по ТЗ нет):
+```
+ssh-copy-id sshuser@<адрес HQ-SRV>
+ssh-copy-id sshuser@<адрес HQ-CLI>
+ssh-copy-id net_admin@<адрес HQ-RTR>
+ssh-copy-id net_admin@<адрес BR-RTR>
+```
+Затем на BR-SRV: `ansible all -m ping` — все четыре машины должны ответить
+`pong`. Если машина отвечает, а модуль не находит python — установить
+python3: `dnf install -y python3`.
 
 ### HQ-CLI: Яндекс Браузер
 - Если пакет есть в репозитории РЕД ОС 8: `dnf install -y yandex-browser`
diff --git a/QUESTIONS.md b/QUESTIONS.md
index aa21b21..1d5c8b9 100644
--- a/QUESTIONS.md
+++ b/QUESTIONS.md
@@ -47,12 +47,28 @@
   rpm-пакет с флешки/ISO — уточнить, откуда брать пакет.
 
 ## Задание 2 (уточнения по ходу)
-- Ввод HQ-CLI в домен samba на BR-SRV: команде join нужен пароль
-  администратора домена — автоматизировать нельзя, см. MANUAL.md.
-- «Убедитесь, что пользователи группы hq имеют право аутентифицироваться
-  на HQ-CLI»: проверять через su/dominate login — уточнить способ проверки
-  на стенде (у us нет GUI-клиента).
-- Яндекс Браузер установка: возможно, только ручная — смотреть источник пакета.
+- chrony: путь конфига (/etc/chrony.conf?) и имя службы (chronyd?) на РЕД ОС 8.
+- NFS: имя пакета (nfs-utils) и службы (nfs-server) на РЕД ОС 8.
+- mdadm: имя файла конфигурации (/etc/mdadm.conf по заданию; RHEL-вариант
+  /etc/mdadm.conf может дополняться переменными mdadm.conf.d).
+- Веб-приложение: пользователь службы apache на РЕД ОС 8 (apache или httpd?),
+  также формат данных для подключения БД в index.php — смотреть файл из ISO.
+- Samba: точное имя пакета samba-dc и путь samba-tool; команда для порога
+  блокировки (--lockout-attempt / --lockout-threshold, зависит от версии);
+  имя администратора домена (administrator?).
+- Ansible: пакет ansible-core vs ansible; пользователи SSH для каждой машины
+  (из задания 1: sshuser на серверах, net_admin на роутерах).
+- Docker: пакет (docker-engine / docker-ce / podman?), имена файлов образов
+  в Additional.iso (site_latest, mariadb_latest — тары или директории?),
+  содержимое compose.yaml (маппинг портов на 8080?).
+- Autofs: пакет autofs, служба autofs на РЕД ОС 8.
+- Ввод HQ-CLI в домен: realmd+sssd или winbind — заранее выяснить стек.
+- Подтверждение «пользователи группы hq имеют право аутентифицироваться на
+  HQ-CLI»: как проверять (sssd getent / su - hquser1).
+- Яндекс Браузер: имя пакета в репозитории РЕД ОС 8 (yandex-browser-stable?)
+  или источник rpm.
+- Проброс 8080 наружу: на какую сеть идут DNAT-правила (интерфейс ISP), и что
+  разрешён прохождение пакетов в цепочке FORWARD (политика ACCEPT).
 
 ## Задание 3 (уточнения по ходу)
 - «Рекомендуется использовать отечественные алгоритмы шифрования» (ЦС на