diff --git a/check/zadanie3/br-srv.sh b/check/zadanie3/br-srv.sh
new file mode 100644
index 0000000..b233ce0
--- /dev/null
+++ b/check/zadanie3/br-srv.sh
@@ -0,0 +1,73 @@
+#!/bin/bash
+# ============================================================
+# ПРОВЕРКА ЗАДАНИЕ 3 — BR-SRV: импорт пользователей, PC-INFO
+# (только читает состояние; samba-tool требует root)
+# Кибер Бэкап сервер — вручную (в конце список).
+# ============================================================
+
+NAME="br-srv"
+LOG="check_${NAME}_z3.txt"
+
+OK=0; FAIL=0; SKIP=0
+ok()   { echo "[OK]        $1"; OK=$((OK+1)); }
+fail() { echo "[FAIL]      $1 — $2"; FAIL=$((FAIL+1)); }
+skip() { echo "[ПРОПУЩЕНО] $1"; SKIP=$((SKIP+1)); }
+root_or_skip() { if [[ $EUID -ne 0 ]]; then skip "$1 (нужен root)"; return 1; fi; return 0; }
+check_var() { if [[ -z "${!2}" ]]; then skip "$1 — не задано $2"; return 1; fi; return 0; }
+
+# ================= ПЕРЕМЕННЫЕ (заполните для проверки) =================
+EXPECTED_USERS=""          # список имён из users.csv через пробел (заполните после импорта)
+                           # если пусто — пункт [ПРОПУЩЕНО], проверяем только факт import
+ANSIBLE_DIR="/etc/ansible"
+REPORT_DIR="$ANSIBLE_DIR/PC-INFO"   # отчёты инвентаризации по заданию
+EXPECTED_REPORTS="hq-srv hq-cli"    # имена файлов-отчётов = имена ПК (коротные из hostname,
+                                    # без домена — уточните: с точками или подчёркиваниями?)
+
+main () {
+echo "=== Проверка задания 3: BR-SRV ==="
+
+# --- 1. Импорт пользователей из users.csv ---
+if root_or_skip "samba-tool (требует root)"; then
+    if ! command -v samba-tool &>/dev/null; then
+        skip "samba-tool — не найден"
+    elif [[ -n "$EXPECTED_USERS" ]]; then
+        USER_LIST=$(samba-tool user list 2>/dev/null)
+        for USER in $EXPECTED_USERS; do
+            if grep -qx "$USER" <<<"$USER_LIST"; then ok "импортирован $USER"
+            else fail "импорт $USER" "не найден в списке домена"; fi
+        done
+    else
+        N_TOTAL=$(samba-tool user list 2>/dev/null | wc -l)
+        if [[ $N_TOTAL -gt 5 ]]; then
+            ok "доменных пользователей больше 5 (сверх hquser1–5): $N_TOTAL"
+        else fail "импорт пользователей" "в домене только $N_TOTAL пользователей — import.sh не выполнен?"
+        fi
+    fi
+fi
+
+# --- 2. Отчёты PC-INFO (.yml, имя файла = имя ПК) ---
+if [[ -d "$REPORT_DIR" ]]; then
+    YML_COUNT=$(ls "$REPORT_DIR"/*.yml 2>/dev/null | wc -l)
+    if [[ $YML_COUNT -ge 2 ]]; then ok "в $REPORT_DIR есть $YML_COUNT отчёт(ов) .yml"
+    else fail "отчёты $REPORT_DIR" "ожидалось ≥2 .yml файлов, найдено $YML_COUNT"; fi
+    for PC in $EXPECTED_REPORTS; do
+        if ls "$REPORT_DIR"/$PC*.yml &>/dev/null; then ok "отчёт для $PC присутствует ($(ls "$REPORT_DIR"/$PC*.yml 2>/dev/null | head -1))"
+        else fail "отчёт $PC" "файла вида $PC*.yml нет (имена могут отличаться — см. переменную EXPECTED_REPORTS)"; fi
+    done
+else
+    fail "каталог $REPORT_DIR" "не существует"
+fi
+
+echo ""
+echo "=== Проверить вручную ==="
+echo "  — открыть один .yml файл: там имя ПК и IP-адрес"
+echo "  — Кибер Бэкап сервер HQ-SRV работает (скриншот консоли/данные резервных проверок)"
+
+echo ""
+echo "=== Итог: OK=$OK FAIL=$FAIL ПРОПУЩЕНО=$SKIP ==="
+[[ $FAIL -eq 0 ]]
+}
+main 2>&1 | tee "$LOG"
+STATUS=${PIPESTATUS[0]}
+echo "Лог сохранён: $LOG"
+exit $STATUS
diff --git a/check/zadanie3/hq-cli.sh b/check/zadanie3/hq-cli.sh
new file mode 100644
index 0000000..3154b7a
--- /dev/null
+++ b/check/zadanie3/hq-cli.sh
@@ -0,0 +1,80 @@
+#!/bin/bash
+# ============================================================
+# ПРОВЕРКА ЗАДАНИЯ 3 — HQ-CLI: доверие CA, https без -k,
+# принтер по умолчанию, каталог /backup
+# (только читает состояние!) Агент Кибер Бэкап — вручную.
+# ============================================================
+
+NAME="hq-cli"
+LOG="check_${NAME}_z3.txt"
+
+OK=0; FAIL=0; SKIP=0
+ok()   { echo "[OK]         $1"; OK=$((OK+1)); }
+fail() { echo "[FAIL]       $1 — $2"; FAIL=$((FAIL+1)); }
+skip() { echo "[ПРОПУЩЕНО]  $1"; SKIP=$((SKIP+1)); }
+check_var() { if [[ -z "${!2}" ]]; then skip "$1 — не задано $2"; return 1; fi; return 0; }
+expect_eq() { if [[ "$3" == "$2" ]]; then ok "$1"; else fail "$1" "ожидалось '$2', получено '$3'"; fi; }
+
+# ================= ПЕРЕМЕННЫЕ (заполните для проверки) =================
+CA_ANCHORS_DIR="/etc/pki/ca-trust/source/anchors"  # ПРОВЕРИТЬ на РЕД ОС 8
+CA_CN="au-team-CA"        # CN корневого сертификата (переменная CA_SUBJECT)
+WEB_DOMAIN="web.au-team.irpo"
+DOCKER_DOMAIN="docker.au-team.irpo"
+WEB_LOGIN="WEB"           # по заданию 3 п. 3
+WEB_PASS="P@ssw0rd"
+CLIENT_PRINTER="pdf_printer"    # локальное имя принтера на HQ-CLI
+BACKUP_DIR="/backup"      # каталог хранилища по заданию 3 п. 9
+
+main () {
+echo "=== Проверка задания 3: HQ-CLI ==="
+
+# --- 1. Доверие корневому сертификату (установлен в хранилище) ---
+if [[ -d "$CA_ANCHORS_DIR" ]] && ls "$CA_ANCHORS_DIR" | grep -q .; then
+    LISTED=$(ls "$CA_ANCHORS_DIR" | tr '\n' ' ')
+    echo "[ИНФО]      в anchors: $LISTED"
+    SKIP=$((SKIP+1))   # ПРОВЕРИТЬ: имя файла бывает любым — критерий ниже через trust list
+    if command -v trust &>/dev/null; then
+        if trust list 2>/dev/null | grep -q "cn.*$CA_CN"; then ok "корневой сертификат ($CA_CN) в хранилище"
+        else fail "корневой CA" "$CA_CN не найден в trust list"; fi
+    else skip "trust list — команда trust не найдена (ПРОВЕРИТЬ на РЕД ОС 8)"
+    fi
+else
+    fail "anchors $CA_ANCHORS_DIR" "каталог не найден или пуст — файл CA доставлен вручную?"
+fi
+
+# --- 2. https без предупреждений (curl без -k) ---
+check_var "web-домен" WEB_DOMAIN &&
+    { CODE=$(curl -s -o /dev/null -w "%{http_code}" -u "$WEB_LOGIN:$WEB_PASS" "https://$WEB_DOMAIN/" 2>/dev/null)
+    if grep -qE "^(200|301|302)$" <<<"$CODE"; then ok "https://$WEB_DOMAIN — соединение без ошибок сертификата (код $CODE)"
+    else fail "https $WEB_DOMAIN" "код '$CODE' (0 = ошибка соединения/сертификата)"; fi; }
+check_var "docker-домен" DOCKER_DOMAIN &&
+    { CODE=$(curl -s -o /dev/null -w "%{http_code}" "https://$DOCKER_DOMAIN/" 2>/dev/null)
+    if grep -qE "^(200|301|302)$" <<<"$CODE"; then ok "https://$DOCKER_DOMAIN — без ошибок сертификата ($CODE)"
+    else fail "https $DOCKER_DOMAIN" "код '$CODE'"; fi; }
+
+# --- 3. Принтер по умолчанию ---
+if command -v lpstat &>/dev/null; then
+    DEFAULT_P=$(lpstat -d 2>/dev/null | awk '{print $NF}')
+    expect_eq "принтер по умолчанию" "$CLIENT_PRINTER" "$DEFAULT_P"
+    if lpstat -p "$CLIENT_PRINTER" &>/dev/null; then ok "принтер $CLIENT_PRINTER зарегистрирован"
+    else fail "принтер $CLIENT_PRINTER" "не найден в lpstat -p"; fi
+else skip "lpstat — утилита CUPS не найдена (dnf install cups)"; fi
+
+# --- 4. Каталог /backup (узел хранилища) ---
+if [[ -d "$BACKUP_DIR" ]]; then ok "каталог $BACKUP_DIR существует"
+else fail "каталог $BACKUP_DIR" "не найден"; fi
+
+echo ""
+echo "=== Проверить вручную ==="
+echo "  — установка агента Кибер Бэкап на HQ-CLI (GUI), подключение к HQ-SRV"
+echo "  — предупреждения браузера (откройте страницу в Яндекс Браузере)"
+echo "  — печать: echo test | lp -d $CLIENT_PRINTER; проверьте появление pdf у принтера"
+
+echo ""
+echo "=== Итог: OK=$OK FAIL=$FAIL ПРОПУЩЕНО=$SKIP ==="
+[[ $FAIL -eq 0 ]]
+}
+main 2>&1 | tee "$LOG"
+STATUS=${PIPESTATUS[0]}
+echo "Лог сохранён: $LOG"
+exit $STATUS
diff --git a/check/zadanie3/hq-srv.sh b/check/zadanie3/hq-srv.sh
new file mode 100644
index 0000000..5503c71
--- /dev/null
+++ b/check/zadanie3/hq-srv.sh
@@ -0,0 +1,116 @@
+#!/bin/bash
+# ============================================================
+# ПРОВЕРКА ЗАДАНИЯ 3 — HQ-SRV: сертификаты, atop, CUPS, fail2ban
+# (только читает состояние; openssl / lpstat / fail2ban-client
+# могут требовать root — иначе ПРОПУЩЕНО)
+# Кибер Бэкап — вручную (в конце список).
+# ============================================================
+
+NAME="hq-srv"
+LOG="check_${NAME}_z3.txt"
+
+OK=0; FAIL=0; SKIP=0
+ok()   { echo "[OK]        $1"; OK=$((OK+1)); }
+fail() { echo "[FAIL]      $1 — $2"; FAIL=$((FAIL+1)); }
+skip() { echo "[ПРОПУЩЕНО] $1"; SKIP=$((SKIP+1)); }
+root_or_skip() { if [[ $EUID -ne 0 ]]; then skip "$1 (нужен root)"; return 1; fi; return 0; }
+check_var() { if [[ -z "${!2}" ]]; then skip "$1 — не задано $2"; return 1; fi; return 0; }
+expect_eq() { if [[ "$3" == "$2" ]]; then ok "$1"; else fail "$1" "ожидалось '$2', получено '$3'"; fi; }
+
+# ================= ПЕРЕМЕННЫЕ (заполните для проверки) =================
+CA_DIR="/etc/CA"          # каталог ЦС из настройки
+CERT_NAMES="web.au-team.irpo docker.au-team.irpo"   # домены, которые выданы
+
+ATOP_CONF="/etc/sysconfig/atop"   # ПРОВЕРИТЬ путь на РЕД ОС 8
+ATOP_INTERVAL="420"               # интервал 7 минут (в секундах)
+
+PDF_PRINTER="pdf"         # принтер по заданию
+F2B_SSH_PORT="2027"      # порт ssh (fail2ban)
+F2B_JAIL="/etc/fail2ban/jail.d/exam.local"
+F2B_BANTIME="60"          # бан 1 минута (в секундах)
+F2B_MAXRETRY="3"          # 3 попытки
+BACKUP_SERVICE_PATTERN="cyber|backup"   # ПРОВЕРИТЬ: как называется служба на стенде
+
+main () {
+echo "=== Проверка задания 3: HQ-SRV ==="
+
+# --- 1. Сертификаты: срок (не менее ~29 дней) и цепочка ---
+if command -v openssl &>/dev/null; then
+    KNOWN_DAYS_LEFT=$((29*24*3600))   # допустимая погрешность округления (выдан "на 30 дней")
+    check_var "каталог ЦС" CA_DIR &&
+    for NAME in $CERT_NAMES; do
+        CRT="$CA_DIR/$NAME.crt"
+        if [[ -f "$CRT" ]]; then
+            # проверка срока действия через -checkend
+            if openssl x509 -in "$CRT" -checkend "$KNOWN_DAYS_LEFT" &>/dev/null; then
+                ok "сертификат $NAME: срок действия ≥ 29 дней (выдан на 30)"
+            else fail "срок $NAME" "остаётся < 29 дней или сертификат не читается: $(openssl x509 -in "$CRT" -dates 2>&1)"; fi
+            # цепочка: подписан нашим CA
+            if openssl verify -CAfile "$CA_DIR/root.crt" "$CRT" 2>/dev/null | grep -q "OK"; then
+                ok "сертификат $NAME — подписан корневым $CA_DIR/root.crt"
+            else fail "цепочка $NAME" "verify: $(openssl verify -CAfile "$CA_DIR/root.crt" "$CRT" 2>&1)"; fi
+            # SAN
+            if openssl x509 -in "$CRT" -noout -ext subjectAltName 2>/dev/null | grep -qF "DNS:$NAME"; then
+                ok "SAN $NAME корректен"
+            else fail "SAN $NAME" "нет DNS:$NAME в subjectAltName"; fi
+        else
+            fail "сертификат $NAME" "файл $CRT не найден"; fi
+    done
+else
+    skip "сертификаты — openssl не установлен"
+fi
+
+# --- 2. atop: интервал 420 c и служба ---
+if [[ -f "$ATOP_CONF" ]]; then
+    GOT_INT=$(grep -E "^INTERVAL=|^LOGINTERVAL=" "$ATOP_CONF" | head -1)
+    if grep -qE "(=|=)$ATOP_INTERVAL" <<<"$GOT_INT"; then ok "atop: интервал $ATOP_INTERVAL с (7 минут)"
+    else fail "atop интервал" "ожидалось $ATOP_INTERVAL: $GOT_INT"; fi
+else skip "atop конфиг — $ATOP_CONF не найден (ПРОВЕРИТЬ путь/имя параметров на РЕД ОС 8)"; fi
+if systemctl is-active atop &>/dev/null; then ok "служба atop активна"
+else fail "atop служба" "не активна (ПРОВЕРИТЬ имя службы)"; fi
+
+# --- 3. CUPS: pdf-принтер, слушает 631 ---
+if command -v lpstat &>/dev/null; then
+    PINFO=$(lpstat -p 2>/dev/null)
+    if grep -qw "$PDF_PRINTER" <<<"$PINFO" && ! grep -q "disabled" <<<"$PINFO"; then
+        ok "принтер $PDF_PRINTER опубликован и активен"
+    else fail "принтер $PDF_PRINTER" "не активен/отсутствует: $PINFO"; fi
+    if root_or_skip "проверка порта 631"; then
+        if ss -tln 2>/dev/null | grep -q ":631 "; then ok "CUPS слушает порт 631"
+        else fail "порт 631" "не слушает (сеть HQ-CLI не подключится к CUPS)"; fi
+    fi
+else skip "CUPS — не установлен (ПРОВЕРИТЬ пакет cups)"; fi
+
+# --- 4. fail2ban: порт 2027, попыток 3, ban 60 c ---
+if command -v fail2ban-client &>/dev/null; then
+    if root_or_skip "fail2ban-client статус"; then
+        if fail2ban-client status sshd &>/dev/null; then ok "fail2ban: jail sshd активен"
+    else fail "fail2ban sshd" "статус не получен: $(fail2ban-client status sshd 2>&1)"; fi
+        BT=$(fail2ban-client get sshd bantime 2>/dev/null)
+        expect_eq "fail2ban bantime" "$F2B_BANTIME" "$BT"
+        MR=$(fail2ban-client get sshd maxretry 2>/dev/null)
+        expect_eq "fail2ban maxretry" "$F2B_MAXRETRY" "$MR"
+    fi
+    if grep -Eq "port.*$F2B_SSH_PORT" "$F2B_JAIL" 2>/dev/null; then ok "jail использует порт $F2B_SSH_PORT"
+    else fail "fail2ban порт" "нет $F2B_SSH_PORT в $F2B_JAIL"; fi
+else skip "fail2ban — не установлен (ПРОВЕРИТЬ пакет/репозиторий на РЕД ОС 8)"; fi
+
+# --- 5. Служба резервного копирования (Кибер Бэкап) ---
+if systemctl list-unit-files 2>/dev/null | grep -qiE "$BACKUP_SERVICE_PATTERN"; then
+    echo "[ИНФО]      найдены службы: $(systemctl list-unit-files 2>/dev/null | grep -iE "$BACKUP_SERVICE_PATTERN" | awk '{print $1}' | tr '\n' ' ')"
+    SKIP=$((SKIP+1))
+else fail "служба резервного копирования" "ничего не найдено по шаблону '$BACKUP_SERVICE_PATTERN' (ПРОВЕРИТЬ имя службы в QUESTIONS.md)"; fi
+
+echo ""
+echo "=== Проверить вручную ==="
+echo "  — единица бэкапа настроена (GUI Кибер Бэкап на HQ-SRV)"
+echo "  — бэкап директории /etc выполняется на узел HQ-CLI (скриншоты)"
+
+echo ""
+echo "=== Итог: OK=$OK FAIL=$FAIL ПРОПУЩЕНО=$SKIP ==="
+[[ $FAIL -eq 0 ]]
+}
+main 2>&1 | tee "$LOG"
+STATUS=${PIPESTATUS[0]}
+echo "Лог сохранён: $LOG"
+exit $STATUS
diff --git a/check/zadanie3/isp.sh b/check/zadanie3/isp.sh
new file mode 100644
index 0000000..cc3a8d1
--- /dev/null
+++ b/check/zadanie3/isp.sh
@@ -0,0 +1,73 @@
+# ПРОВЕРКА ЗАДАНИЕ 3 — ISP: реверс-прокси, web-аутентификация
+# Проверяем через curl на самом ISP (nginx слушает 80/443 на всех
+# интерфейсах; доменные имена подставляем HOST-заголовком, т.к.
+# собственный DNS ISP про локальные записи не знает).
+# ============================================================
+
+NAME="isp"
+LOG="check_${NAME}_z3.txt"
+
+OK=0; FAIL=0; SKIP=0
+ok()   { echo "[OK]        $1"; OK=$((OK+1)); }
+fail() { echo "[FAIL]      $1 — $2"; FAIL=$((FAIL+1)); }
+skip() { echo "[ПРОПУЩЕНО] $1"; SKIP=$((SKIP+1)); }
+check_var() { if [[ -z "${!2}" ]]; then skip "$1 — не задано $2"; return 1; fi; return 0; }
+expect_eq() { if [[ "$3" == "$2" ]]; then ok "$1"; else fail "$1" "ожидалось '$2', получено '$3'"; fi; }
+
+# ================= ПЕРЕМЕННЫЕ (заполните для проверки) =================
+WEB_DOMAIN="web.au-team.irpo"       # таблица 3
+DOCKER_DOMAIN="docker.au-team.irpo" # таблица 3
+WEB_LOGIN="WEB"                     # по заданию
+WEB_PASS="P@ssw0rd"                 # по заданию
+TLS_MODE=""                         # "https" — если прокси уже на 443, иначе пусто
+TLS_CERT_FILE=""                    # путь к сертификату на ISP (для пункта 4)
+
+main () {
+echo "=== Проверка задания 3: ISP (реверс-прокси) ==="
+
+# --- 1. Служба прокси ---
+if [[ "$TLS_MODE" == "https" ]]; then
+    EXPECT_PORT="443"
+else
+    EXPECT_PORT="80"
+fi
+if ss -tln 2>/dev/null | grep -q "80 "; then ok "сервер слушает порт 80"
+else fail "порт 80" "не слушает (nginx?)"; fi
+if [[ "$TLS_MODE" == "https" ]]; then
+    if ss -tln 2>/dev/null | grep -q "443 "; then ok "сервер слушает порт 443 (TLS)"
+    else fail "порт 443" "не слушает — TLS не настроен"; fi
+fi
+
+# --- 2. docker.au-team.irpo — открывается testapp (без пароля) ---
+check_var "docker-домен" DOCKER_DOMAIN &&
+    { CODE=$(curl -s -o /dev/null -w "%{http_code}" -H "Host: $DOCKER_DOMAIN" "http://127.0.0.1/" 2>/dev/null)
+    if grep -qE "^(200|301|302)$" <<<"$CODE"; then ok "$DOCKER_DOMAIN: testapp отвечает ($CODE)"
+    else fail "$DOCKER_DOMAIN" "ожидалось 200/301/302, получено '$CODE'"; fi; }
+
+# --- 3. web.au-team.irpo — аутентификация: 401 без пароля, 200 с паролем ---
+check_var "web-домен" WEB_DOMAIN &&
+    { CODE=$(curl -s -o /dev/null -w "%{http_code}" -H "Host: $WEB_DOMAIN" "http://127.0.0.1/" 2>/dev/null)
+    if [[ "$CODE" == "401" ]]; then ok "$WEB_DOMAIN без пароля: 401 (требует аутентификации)"
+    else fail "$WEB_DOMAIN без пароля" "ожидалось 401, получено '$CODE'"; fi
+    CODE=$(curl -s -o /dev/null -w "%{http_code}" -u "$WEB_LOGIN:$WEB_PASS" -H "Host: $WEB_DOMAIN" "http://127.0.0.1/" 2>/dev/null)
+    if grep -qE "^(200|301|302)$" <<<"$CODE"; then ok "$WEB_DOMAIN c $WEB_LOGIN:$WEB_PASS: $CODE"
+    else fail "$WEB_DOMAIN с паролем" "ожидалось 200/301/302, получено '$CODE'"; fi; }
+
+# --- 4. TLS-сертификаты (для режима https) ---
+check_var "сертификат TLS" TLS_CERT_FILE &&
+    { if openssl x509 -in "$TLS_CERT_FILE" -noout 2>/dev/null; then ok "tls cert поднят: $TLS_CERT_FILE"
+    else fail "TLS сертификат" "файл не читается: $TLS_CERT_FILE"; fi; }
+
+echo ""
+echo "=== Проверить вручную ==="
+echo "  — браузер клиента: https://web.au-team.irpo (без предупреждений, ввод логина)"
+echo "  — https://docker.au-team.irpo без предупреждений (снято на HQ-CLI/hq-cli.sh)"
+
+echo ""
+echo "=== Итог: OK=$OK FAIL=$FAIL ПРОПУЩЕНО=$SKIP ==="
+[[ $FAIL -eq 0 ]]
+}
+main 2>&1 | tee "$LOG"
+STATUS=${PIPESTATUS[0]}
+echo "Лог сохранён: $LOG"
+exit $STATUS
diff --git a/zadanie3/br-srv.sh b/zadanie3/br-srv.sh
new file mode 100644
index 0000000..de4108f
--- /dev/null
+++ b/zadanie3/br-srv.sh
@@ -0,0 +1,95 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 3. Настройка BR-SRV (Linux / РЕД ОС 8)
+# 1. Импорт пользователей: import.sh + users.csv из Additional.iso
+#    (import.sh сам запрашивает путь к файлу-источнику)
+# 7. Инвентаризация через Ansible: плейбук из образа, отчёты в
+#    /etc/ansible/PC-INFO в формате .yml (имя файла = имя ПК)
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash br-srv.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+ISO_DIR="/mnt/iso"              # точка монтирования Additional.iso
+
+# --- 1. Импорт пользователей ---
+IMPORT_SCRIPT="$ISO_DIR/import.sh"      # по заданию — в корне образа
+USERS_CSV="$ISO_DIR/users.csv"          # файл-источник по заданию
+
+# --- 7. Плейбук для инвентаризации ---
+ANSIBLE_DIR="/etc/ansible"
+PLAYBOOK_SRC="$ISO_DIR/playbook"        # директория плейбука в образе
+PLAYBOOK_DST="$ANSIBLE_DIR/playbook"    # куда копируем на BR-SRV
+REPORT_DIR="$ANSIBLE_DIR/PC-INFO"       # отчёты .yml по имени ПК
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка BR-SRV, задание 3 ==="
+
+# --- 1. Импорт пользователей (import.sh сам спрашивает путь) ---
+echo "--- Импорт пользователей из $USERS_CSV ---"
+if [[ -x "$IMPORT_SCRIPT" || -f "$IMPORT_SCRIPT" ]]; then
+    echo "Скрипт найден: $IMPORT_SCRIPT"
+    echo "Он интерактивно запрашивает файл-источник — запустите вручную:"
+    echo "  bash $IMPORT_SCRIPT    и в ответ на вопрос укажите $USERS_CSV"
+    echo "После импорта проверьте: samba-tool user list"
+    # Проверку запускаем только если обе вещи на месте:
+    bash "$IMPORT_SCRIPT" || echo "ЗАПУСТИТЕ ВРУЧНУЮ с указанием $USERS_CSV (см. выше)"
+else
+    echo "ДЕЛАЕТСЯ ВРУЧНУЮ: $IMPORT_SCRIPT не найден — смонтируйте Additional.iso в $ISO_DIR"
+fi
+
+# --- 2. Плейбук для инвентаризации машин HQ-SRV и HQ-CLI ---
+echo "--- Плейбук инвентаризации ---"
+if [[ -d "$PLAYBOOK_SRC" ]]; then
+    mkdir -p "$PLAYBOOK_DST"
+    cp -f "$PLAYBOOK_SRC"/* "$PLAYBOOK_DST/" 2>/dev/null \
+        || echo "ПРОВЕРИТЬ: в $PLAYBOOK_SRC нет файлов?"
+    ls -l "$PLAYBOOK_DST"
+else
+    echo "ДЕЛАЕТСЯ ВРУЧНУЮ: нет $PLAYBOOK_SRC — смонтируйте Additional.iso в $ISO_DIR"
+fi
+mkdir -p "$REPORT_DIR"
+echo "Плейбуки в $PLAYBOOK_DST. Запуск (с BR-SRV, из задания 2 настроен ansible):"
+# Запускаем первый найденный .yml (имя файла в образе нам неизвестно заранее)
+PLAYBOOK_YML=""
+shopt -s nullglob
+for F in "$PLAYBOOK_DST"/*.yml "$PLAYBOOK_DST"/*.yaml; do
+    PLAYBOOK_YML="$F"
+    break
+done
+shopt -u nullglob
+if [[ -n "$PLAYBOOK_YML" ]]; then
+    echo "  ansible-playbook $PLAYBOOK_YML"
+    ansible-playbook "$PLAYBOOK_YML" \
+        || echo "ПРОВЕРИТЬ: плейбук не отработал — посмотрите его содержимое и ошибки"
+else
+    echo "ДЕЛАЕТСЯ ВРУЧНУЮ: .yml не найден в $PLAYBOOK_DST"
+fi
+
+echo ""
+echo "Отчёты должны появиться в $REPORT_DIR (имя файла = имя ПК):"
+ls -l "$REPORT_DIR" || true
+
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка на BR-SRV ==="
+echo "Импортированные пользователи (должны появиться из users.csv):"
+samba-tool user list
+echo ""
+echo "Отчёты инвентаризации:"
+ls -l "$REPORT_DIR"
diff --git a/zadanie3/hq-cli.sh b/zadanie3/hq-cli.sh
new file mode 100644
index 0000000..5421077
--- /dev/null
+++ b/zadanie3/hq-cli.sh
@@ -0,0 +1,87 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 3. Настройка HQ-CLI (Linux / РЕД ОС 8)
+# 4. Доверие корневому сертификату ЦС (HQ-SRV)
+# 6. Подключение виртуального pdf-принтера как принтера по умолчанию
+# 9. Агент Кибер Бэкап — ДЕЛАЕТСЯ ВРУЧНУЮ (MANUAL.md)
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash hq-cli.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+
+# --- 4. Доверие корневому сертификату ---
+CA_ROOT_FILE=""                 # путь к скопированному корневому сертификату
+                                # (root.crt копируется с HQ-SRV вручную — MANUAL.md)
+CA_ANCHORS_DIR="/etc/pki/ca-trust/source/anchors"   # ПРОВЕРИТЬ на РЕД ОС 8
+CA_TRUST_CMD="update-ca-trust"  # ПРОВЕРИТЬ команду обновления хранилища
+
+# --- 6. Принтер по умолчанию (виртуальный pdf с HQ-SRV) ---
+CUPS_SERVER=""      # адрес HQ-SRV (без префикса)
+PRINTER_NAME="pdf"  # имя принтера, как он опубликован на HQ-SRV
+CLIENT_PRINTER="pdf_printer"        # локальное имя подключения на HQ-CLI
+CUPS_PACKAGE="cups"                 # клиенту нужны утилиты lpadmin/lpstat
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in CA_ROOT_FILE CUPS_SERVER EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка HQ-CLI, задание 3 ==="
+
+# --- 1. Доверие корневому сертификату ЦС ---
+echo "--- Доверие CA ---"
+if [[ ! -f "$CA_ROOT_FILE" ]]; then
+    echo "ДЕЛАЕТСЯ ВРУЧНУЮ: файла $CA_ROOT_FILE нет — скопируйте root.crt с HQ-SRV"
+    echo "  scp root@<адрес HQ-SRV>:$CA_ROOT_FILE "
+    exit 1
+fi
+cp "$CA_ROOT_FILE" "$CA_ANCHORS_DIR/"
+"$CA_TRUST_CMD" && echo "Хранилище сертификатов обновлено" \
+    || echo "ПРОВЕРИТЬ: $CA_TRUST_CMD не выполнился"
+echo "Проверка: curl -I https://web.au-team.irpo   (не должен писать про сертификат)"
+
+# --- 2. Принтер по умолчанию ---
+echo "--- Подключение принтера — $CLIENT_PRINTER <- $CUPS_SERVER:$PRINTER_NAME ---"
+dnf install -y "$CUPS_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $CUPS_PACKAGE не установился"
+if lpstat -p 2>/dev/null | grep -qw "$CLIENT_PRINTER"; then
+    echo "Принтер $CLIENT_PRINTER уже подключён"
+else
+    lpadmin -p "$CLIENT_PRINTER" \
+        -v "ipp://$CUPS_SERVER:631/printers/$PRINTER_NAME" -E \
+        && echo "Принтер добавлен" \
+        || echo "ПРОВЕРИТЬ: lpadmin не смог добавить принтер (CUPS на HQ-SRV слушает 631?)"
+fi
+# Назначить принтер по умолчанию (повторно безопасно)
+lpoptions -d "$CLIENT_PRINTER" >/dev/null && echo "Принтер по умолчанию: $CLIENT_PRINTER"
+lpstat -p -d
+
+# --- 3. Агент Кибер Бэкап — вручную ---
+echo ""
+echo "ДЕЛАЕТСЯ ВРУЧНУЮ (MANUAL.md): установить агент с функциями узла"
+echo "хранилища, подключить к серверу HQ-SRV, создать /backup и выбрать"
+echo "её как устройство хранения. Директорию /backup можно создать сейчас:"
+mkdir -p /backup && echo "  Директория /backup создана"
+
+# --- 4. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка на HQ-CLI ==="
+lpstat -p -d
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  curl -I https://web.au-team.irpo    (без предупреждений о сертификате)"
+echo "  curl -I https://docker.au-team.irpo (без предупреждений + логин WEB/P@ssw0rd на web)"
+echo "  echo test | lp -d $CLIENT_PRINTER   (печать в pdf-принтер)"
+echo "  ls /var/spool/cups-pdf на HQ-SRV    (pdf появился у принтера?)"
diff --git a/zadanie3/hq-srv.sh b/zadanie3/hq-srv.sh
new file mode 100644
index 0000000..1ddd7e5
--- /dev/null
+++ b/zadanie3/hq-srv.sh
@@ -0,0 +1,182 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 3. Настройка HQ-SRV (Linux / РЕД ОС 8)
+# 4. Центр сертификации: root-CA, сертификаты веб-серверам на 30 дней
+#    (поставка на ISP и HQ-CLI — вручную, MANUAL.md)
+# 5. atop: мониторинг с интервалом 7 минут (420 секунд)
+# 6. Спринт-сервер cups: публикация виртуального pdf-принтера
+# 8. fail2ban для ssh: порт 2027, 3 попытки, бан 1 минута
+# 9. Кибер Бэкап — ДЕЛАЕТСЯ ВРУЧНУЮ (MANUAL.md)
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash hq-srv.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+
+# --- 4. Центр сертификации (openssl; ПРОВЕРИТЬ: по заданию рекомендуются
+# отечественные алгоритмы — стандартный openssl гост-подписи не умеет,
+# обсудите требования и инструменты с экзаменатором, см. QUESTIONS.md) ---
+CA_DIR="/etc/CA"                # каталог ЦС (создаётся)
+CA_CERT="root.crt"              # публичный корневой сертификат
+CA_KEY="root.key"               # ключ корневого CA
+CA_DAYS="3650"                  # срок корневого сертификата (срок выдачи задан ниже)
+CA_SUBJECT="/CN=au-team-CA/O=AU-TEAM"    # изменить при желании
+CERT_DAYS="30"                  # срок сертификатов веб-серверов ПО ЗАДАНИЮ
+CERT_NAMES="web.au-team.irpo docker.au-team.irpo"   # домены по таблице 3
+
+# --- 5. atop ---
+ATOP_PACKAGE="atop"             # ПРОВЕРИТЬ: пакет atop на РЕД ОС 8
+ATOP_SERVICE="atop"
+ATOP_CONF="/etc/sysconfig/atop" # ПРОВЕРИТЬ путь конфига atop на РЕД ОС 8
+ATOP_INTERVAL="420"             # 7 минут по заданию (в секундах)
+
+# --- 6. cups + pdf-принтер ---
+CUPS_PACKAGE="cups"             # ПРОВЕРИТЬ: пакет/служба CUPS на РЕД ОС 8
+CUPS_SERVICE="cups"
+CUPS_PDF_PACKAGE="cups-pdf"     # ПРОВЕРИТЬ: наличие пакета cups-pdf
+PDF_PRINTER="pdf"               # имя виртуального pdf-принтера
+
+# --- 8. fail2ban ---
+F2B_PACKAGE="fail2ban"          # ПРОВЕРИТЬ: пакет и репозиторий fail2ban на РЕД ОС 8
+F2B_SERVICE="fail2ban"
+F2B_JAIL="/etc/fail2ban/jail.d/exam.local"   # перезаписывается целиком
+F2B_SSH_PORT="2027"             # порт ssh (задание 1, п. 5)
+F2B_MAXRETRY="3"                # 3 неуспешные попытки по заданию
+F2B_BANTIME="60"                # бан 1 минута (60 с) по заданию
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in CA_DIR CA_CERT CA_KEY CA_SUBJECT CERT_NAMES EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка HQ-SRV, задание 3 ==="
+
+# --- 1. Центр сертификации ---
+echo "--- ЦС (openssl) ---"
+mkdir -p "$CA_DIR" || exit 1
+cd "$CA_DIR" || exit 1
+if [[ ! -f "$CA_CERT" ]]; then
+    openssl req -x509 -newkey rsa:2048 -nodes \
+        -keyout "$CA_KEY" -out "$CA_CERT" -days "$CA_DAYS" \
+        -subj "${CA_SUBJECT}" \
+        && echo "Создан корневой сертификат: $CA_CERT"
+else
+    echo "Корневой сертификат уже существует"
+fi
+
+# Сертификаты веб-серверам (для каждого домена: ключ + сертификат со SAN)
+for NAME in $CERT_NAMES; do
+    if [[ -f "$NAME.crt" ]]; then
+        echo "Сертификат $NAME.crt уже существует"
+        continue
+    fi
+    openssl req -newkey rsa:2048 -nodes -keyout "$NAME.key" \
+        -out "$NAME.csr" -subj "/CN=$NAME/O=AU-TEAM" \
+        -addext "subjectAltName=DNS:$NAME"
+    # Подписываем корневым CA на CERT_DAYS
+    if openssl x509 -req -in "$NAME.csr" \
+        -CA "$CA_CERT" -CAkey "$CA_KEY" -CAcreateserial \
+        -out "$NAME.crt" -days "$CERT_DAYS" \
+        -extfile <(printf "subjectAltName=DNS:%s" "$NAME"); then
+        echo "Сертификат выдан: $NAME.crt (на $CERT_DAYS дней)"
+    else
+        echo "ПРОВЕРИТЬ: не удалось подписать сертификат $NAME"
+    fi
+done
+openssl x509 -in "$CA_CERT" -noout -subject -dates
+echo ""
+echo "ПРОВЕРИТЬ SAN и срок каждого сертификата:"
+for NAME in $CERT_NAMES; do
+    openssl x509 -in "$NAME.crt" -noout -subject -ext subjectAltName -dates 2>/dev/null
+done
+
+# --- 2. atop: интервал 420 с ---
+echo "--- atop (интервал $ATOP_INTERVAL c) ---"
+dnf install -y "$ATOP_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $ATOP_PACKAGE не установился"
+if [[ -f "$ATOP_CONF" ]]; then
+    if grep -qE "^(LOG)?INTERVAL=" "$ATOP_CONF"; then
+        sed -ri "s/^(LOG)?INTERVAL=[0-9]+/INTERVAL=$ATOP_INTERVAL/" "$ATOP_CONF"
+    else
+        echo "INTERVAL=$ATOP_INTERVAL" >> "$ATOP_CONF"
+    fi
+    echo "Интервал задан в $ATOP_CONF"
+else
+    echo "INTERVAL=$ATOP_INTERVAL" > "$ATOP_CONF"
+    echo "Создан $ATOP_CONF (ПРОВЕРИТЬ, подхватывается ли конфиг службой)"
+fi
+systemctl enable --now "$ATOP_SERVICE" \
+    || { echo "ПРОВЕРИТЬ: служба $ATOP_SERVICE не запустилась"; systemctl status "$ATOP_SERVICE" --no-pager; }
+
+# --- 3. cups + виртуальный pdf-принтер ---
+echo "--- cups / pdf-принтер ---"
+dnf install -y "$CUPS_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $CUPS_PACKAGE не установился"
+dnf install -y "$CUPS_PDF_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $CUPS_PDF_PACKAGE не установился (нет ли аналога в репозитории?)"
+systemctl enable --now "$CUPS_SERVICE" \
+    || { echo "ПРОВЕРИТЬ: служба $CUPS_SERVICE не запустилась"; systemctl status "$CUPS_SERVICE" --no-pager; }
+# Публикация принтера (создание + включение как общий) — без дублей
+if lpstat -p 2>/dev/null | grep -qw "$PDF_PRINTER"; then
+    echo "Принтер $PDF_PRINTER уже есть"
+else
+    lpadmin -p "$PDF_PRINTER" -v cups-pdf:/ -E -o printer-is-shared=true \
+        && echo "Публикуем принтер $PDF_PRINTER" \
+        || echo "ПРОВЕРИТЬ: не удалось опубликовать принтер — сделать через веб-интерфейс CUPS вручную"
+fi
+# Слушать на всех интерфейсах, чтобы HQ-CLI подключился по сети (ПРОВЕРИТЬ)
+if ! grep -qE "^Port 631|^Listen [^[:space:]]*:631" /etc/cups/cupsd.conf 2>/dev/null \
+   || grep -qE "^Listen localhost:631" /etc/cups/cupsd.conf 2>/dev/null; then
+    sed -i "s/^Listen localhost:631/Port 631/" /etc/cups/cupsd.conf
+    if ! grep -qE "^Port 631|^Listen [^[:space:]]*:631" /etc/cups/cupsd.conf; then
+        echo "Port 631" >> /etc/cups/cupsd.conf
+    fi
+    systemctl restart "$CUPS_SERVICE"
+fi
+lpstat -p
+
+# --- 4. fail2ban для ssh ---
+echo "--- fail2ban (порт $F2B_SSH_PORT, $F2B_MAXRETRY попыток, $F2B_BANTIME c) ---"
+dnf install -y "$F2B_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $F2B_PACKAGE не установился (репозиторий EPEL?)"
+mkdir -p /etc/fail2ban/jail.d
+cat > "$F2B_JAIL" <<EOF
+[DEFAULT]
+bantime = $F2B_BANTIME
+maxretry = $F2B_MAXRETRY
+
+[sshd]
+enabled = true
+port = $F2B_SSH_PORT
+EOF
+mkdir -p /var/run/fail2ban
+systemctl enable --now "$F2B_SERVICE" \
+    || { echo "ПРОВЕРИТЬ: служба $F2B_SERVICE не запустилась"; systemctl status "$F2B_SERVICE" --no-pager; }
+
+# --- 5. Кибер Бэкап — вручную ---
+echo ""
+echo "ДЕЛАЕТСЯ ВРУЧНУЮ (MANUAL.md): развёртывание Кибер Бэкап, подразделение"
+echo "ирпо, пользователь irpoadmin / P@ssw0rd, план копирования /etc на узел HQ-CLI."
+
+# --- 6. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка на HQ-SRV ==="
+echo "Корневой сертификат и сертификаты:"
+ls -l "$CA_DIR"
+echo ""
+echo "fail2ban статус:"
+fail2ban-client status sshd 2>/dev/null || echo "ПРОВЕРИТЬ: fail2ban-client status sshd"
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  systemd-analyze verify atop 2>/dev/null; journalctl -u $ATOP_SERVICE --since -5min"
+echo "  cat $ATOP_CONF           (INTERVAL=420?)"
+echo "  lpstat -p                (принтер $PDF_PRINTER и активен?)"
+echo "  ssh -p $F2B_SSH_PORT wronguser@localhost  (3 раза с неверным паролем -> fail2ban-client status sshd => banned)"
diff --git a/zadanie3/isp.sh b/zadanie3/isp.sh
new file mode 100644
index 0000000..8b8975e
--- /dev/null
+++ b/zadanie3/isp.sh
@@ -0,0 +1,155 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 3. Обратный прокси-сервер на ISP (Linux / РЕД ОС 8)
+# 2. Реверс-прокси на nginx:
+#    web.au-team.irpo     -> веб-приложение на HQ-SRV
+#    docker.au-team.irpo  -> testapp на BR-SRV
+# 3. Web-based аутентификация на web.au-team.irpo (WEB / P@ssw0rd)
+# 4. HTTPS: сертификаты выдаёт ЦС на HQ-SRV (zadanie3/hq-srv.sh) и
+#    доставляются вручную (MANUAL.md) — после этого задайте
+#    TLS_CERT_FILE/TLS_KEY_FILE и запустите скрипт повторно.
+# ВНИМАНИЕ: проброс 8080 с роутеров (задание 2) больше не основной
+# путь — клиенты заходят через ISP по доменному имени на 80/443.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash isp.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+NGINX_PACKAGE="nginx"   # ПРОВЕРИТЬ: пакет reverse-proxy на РЕД ОС 8
+NGINX_SERVICE="nginx"
+PROXY_CONF="/etc/nginx/conf.d/exam-proxy.conf"   # перезаписывается целиком
+
+WEB_DOMAIN="web.au-team.irpo"       # из таблицы 3
+DOCKER_DOMAIN="docker.au-team.irpo" # из таблицы 3
+
+HQ_SRV_WEB=""   # адрес:порт веб-приложения HQ-SRV, формат IP:порт (apache:80)
+BR_SRV_APP=""   # адрес:порт testapp на BR-SRV, формат IP:порт (8080)
+
+WEB_LOGIN="WEB"     # логин web-аутентификации по заданию
+WEB_PASS="P@ssw0rd" # пароль web-аутентификации по заданию
+HTPASSWD_FILE="/etc/nginx/exam-web.htpasswd"
+
+# --- HTTPS (п. 4 задания 3): после ручной доставки сертификатов — заполнить ---
+TLS_CERT_FILE=""    # путь к сертификату на этом ISP (web/docker domain, SAN)
+TLS_KEY_FILE=""     # путь к связанному ключу
+
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HQ_SRV_WEB BR_SRV_APP EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Обратный прокси на ISP ==="
+
+dnf install -y "$NGINX_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $NGINX_PACKAGE не установился"
+
+# --- 1. Файл с паролем web-аутентификации (htpasswd через openssl) ---
+echo "--- Базовая аутентификация ($WEB_DOMAIN) ---"
+PASS_HASH=$(openssl passwd -apr1 "$WEB_PASS")
+printf "%s:%s\n" "$WEB_LOGIN" "$PASS_HASH" > "$HTPASSWD_FILE"
+chmod 640 "$HTPASSWD_FILE"
+echo "Записан $HTPASSWD_FILE (логин $WEB_LOGIN)"
+
+# --- 2. Конфигурация прокси ---
+echo "--- Конфиг прокси ---"
+if [[ -n "$TLS_CERT_FILE" && -n "$TLS_KEY_FILE" ]]; then
+    if [[ ! -f "$TLS_CERT_FILE" || ! -f "$TLS_KEY_FILE" ]]; then
+        echo "Ошибка: TLS_CERT_FILE/TLS_KEY_FILE указаны, но файлов нет!"
+        exit 1
+    fi
+    cat > "$PROXY_CONF" <<EOF
+server {
+    listen 80;
+    server_name $WEB_DOMAIN;
+    return 301 https://\$host\$request_uri;
+}
+
+server {
+    listen 443 ssl;
+    server_name $WEB_DOMAIN;
+    ssl_certificate     $TLS_CERT_FILE;
+    ssl_certificate_key $TLS_KEY_FILE;
+    auth_basic "Authorized access only";
+    auth_basic_user_file  $HTPASSWD_FILE;
+    location / {
+        proxy_pass http://$HQ_SRV_WEB;
+        proxy_set_header Host \$host;
+    }
+}
+
+server {
+    listen 80;
+    server_name $DOCKER_DOMAIN;
+    return 301 https://\$host\$request_uri;
+}
+
+server {
+    listen 443 ssl;
+    server_name $DOCKER_DOMAIN;
+    ssl_certificate     $TLS_CERT_FILE;
+    ssl_certificate_key $TLS_KEY_FILE;
+    location / {
+        proxy_pass http://$BR_SRV_APP;
+        proxy_set_header Host \$host;
+    }
+}
+EOF
+    echo "Режим: HTTPS (443) + редирект с 80"
+else
+    # Временный вариант до доставки сертификатов: чистый HTTP
+    cat > "$PROXY_CONF" <<EOF
+server {
+    listen 80;
+    server_name $WEB_DOMAIN;
+    auth_basic "Authorized access only";
+    auth_basic_user_file  $HTPASSWD_FILE;
+    location / {
+        proxy_pass http://$HQ_SRV_WEB;
+        proxy_set_header Host \$host;
+    }
+}
+
+server {
+    listen 80;
+    server_name $DOCKER_DOMAIN;
+    location / {
+        proxy_pass http://$BR_SRV_APP;
+        proxy_set_header Host \$host;
+    }
+}
+EOF
+    echo "Обходный режим: HTTP. После выдачи сертификата (hq-srv.sh) и копирования"
+    echo " cert/key вручную задайте TLS_CERT_FILE/TLS_KEY_FILE и ПОВТОРИТЕ скрипт."
+fi
+
+nginx -t && echo "Конфиг nginx корректен" || { echo "ОШИБКА nginx -t"; exit 1; }
+systemctl enable --now "$NGINX_SERVICE" \
+    || { echo "ПРОВЕРИТЬ: служба $NGINX_SERVICE не запустилась"; systemctl status "$NGINX_SERVICE" --no-pager; }
+
+# --- 3. Доступность серверов из ISP ---
+# ISP напрямую знает только сети линков /28 к маршрутизаторам. До
+# HQ-SRV/BR-SRV трафик идёт через офисы — если curl с ISP не работает,
+# добавьте статические маршруты вручную:
+echo "Если curl не работает от ISP до HQ-SRV/BR-SRV — добавьте маршруты вручную:"
+echo "  ip route add <сеть офиса HQ а/п> via <адрес HQ-RTR на линке>"
+echo "  ip route add <сеть офиса BR а/п> via <адрес BR-RTR на линке>"
+
+# --- 4. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка на ISP ==="
+echo "curl для проверки прокси (HTTP-режим, с аутентификацией):"
+echo "  curl -u $WEB_LOGIN:$WEB_PASS http://$WEB_DOMAIN -I"
+echo "  curl http://$DOCKER_DOMAIN -I"
+echo "curl для режима HTTPS: замените http на https"