From 4dffd05f1d387e754ee4d3a1b8bf5230f0e57b29 Mon Sep 17 00:00:00 2001
From: kimoi <kioroglo2410@list.ru>
Date: Fri, 6 Nov 2026 16:46:46 +0500
Subject: [PATCH] =?UTF-8?q?=D0=97=D0=B0=D0=B4=D0=B0=D0=BD=D0=B8=D0=B5=201?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 zadanie1/br-fw.sh  | 162 +++++++++++++++++++++++++++++
 zadanie1/br-rtr.sh | 217 ++++++++++++++++++++++++++++++++++++++
 zadanie1/br-srv.sh | 131 +++++++++++++++++++++++
 zadanie1/hq-cli.sh |  73 +++++++++++++
 zadanie1/hq-rtr.sh | 254 +++++++++++++++++++++++++++++++++++++++++++++
 zadanie1/hq-srv.sh | 186 +++++++++++++++++++++++++++++++++
 zadanie1/hq-sw.sh  | 132 +++++++++++++++++++++++
 zadanie1/isp.sh    | 182 ++++++++++++++++++++++++++++++++
 8 files changed, 1337 insertions(+)
 create mode 100644 zadanie1/br-fw.sh
 create mode 100644 zadanie1/br-rtr.sh
 create mode 100644 zadanie1/br-srv.sh
 create mode 100644 zadanie1/hq-cli.sh
 create mode 100644 zadanie1/hq-rtr.sh
 create mode 100644 zadanie1/hq-srv.sh
 create mode 100644 zadanie1/hq-sw.sh
 create mode 100644 zadanie1/isp.sh

diff --git a/zadanie1/br-fw.sh b/zadanie1/br-fw.sh
new file mode 100644
index 0000000..1f4d472
--- /dev/null
+++ b/zadanie1/br-fw.sh
@@ -0,0 +1,162 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка BR-FW
+# ------------------------------------------------------------
+# ВНИМАНИЕ: СИСТЕМА BR-FW НЕИЗВЕСТНА (УТОЧНИТЬ, что за система).
+# Скрипт написан В ПРЕДПОЛОЖЕНИИ Linux / РЕД ОС 8. Если на стенде
+# BR-FW — не Linux, используйте MANUAL.md и настраивайте по-своему.
+# ------------------------------------------------------------
+# Имя, интерфейсы (к BR-RTR: сеть /30, к BR-SRV: сеть <=16 адресов),
+# маршрут по умолчанию через BR-RTR, OSPF (только интерфейс к BR-RTR),
+# IP forwarding, часовой пояс.
+# NAT для офиса BR НЕ настраивается — NAT делает BR-RTR.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash br-fw.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="br-fw.au-team.irpo"      # таблица 3, запись br-fw.au-team.irpo
+
+# --- Интерфейс в сторону BR-RTR (сеть с минимально возможной маской /30) ---
+BR_RTR_IF=""    # интерфейс к BR-RTR
+BR_RTR_ADDR=""  # адрес BR-FW в этой сети, формат адрес/префикс (/30)
+BR_RTR_GW=""    # адрес BR-RTR в этой же сети — маршрут по умолчанию
+
+# --- Интерфейс в сторону BR-SRV (сеть не более 16 адресов) ---
+BR_SRV_IF=""    # интерфейс к BR-SRV
+BR_SRV_ADDR=""  # адрес BR-FW в этой сети, формат адрес/префикс
+
+# --- OSPF (протокол разрешён ТОЛЬКО на интерфейсе к BR-RTR; пароля нет —
+#     аутентификация по заданию требуется только на туннеле HQ<->BR) ---
+OSPF_AREA="0.0.0.0"
+# ПРОВЕРИТЬ на РЕД ОС 8: пакет, конфиг и службу OSPF (frr / quagga)
+FRR_PACKAGE="frr"
+FRR_CONF="/etc/frr/frr.conf"
+FRR_DAEMONS="/etc/frr/daemons"
+DNS_FW=""       # внешний DNS для BR-FW (необязательно, например 77.88.8.7)
+
+# --- Прочее ---
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+FORWARD_CONF="/etc/sysctl.d/99-ip-forward.conf"   # перезаписывается целиком
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN BR_RTR_IF BR_RTR_ADDR BR_RTR_GW BR_SRV_IF \
+            BR_SRV_ADDR EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка BR-FW (предположение: Linux / РЕД ОС 8) ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Интерфейс в сторону BR-RTR (+ маршрут по умолчанию) ---
+echo "--- Профиль $BR_RTR_IF (статика, шлюз $BR_RTR_GW) ---"
+cat > "$NM_CONF_DIR/$BR_RTR_IF.nmconnection" <<EOF
+[connection]
+id=$BR_RTR_IF
+type=ethernet
+autoconnect=yes
+interface-name=$BR_RTR_IF
+
+[ethernet]
+
+[ipv4]
+address1=$BR_RTR_ADDR
+gateway=$BR_RTR_GW
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$BR_RTR_IF.nmconnection"
+
+# --- 3. Интерфейс в сторону BR-SRV ---
+echo "--- Профиль $BR_SRV_IF (статика) ---"
+cat > "$NM_CONF_DIR/$BR_SRV_IF.nmconnection" <<EOF
+[connection]
+id=$BR_SRV_IF
+type=ethernet
+autoconnect=yes
+interface-name=$BR_SRV_IF
+
+[ethernet]
+
+[ipv4]
+address1=$BR_SRV_ADDR
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$BR_SRV_IF.nmconnection"
+
+nmcli connection reload
+nmcli connection up "$BR_RTR_IF" || echo "ВНИМАНИЕ: не поднялся $BR_RTR_IF"
+nmcli connection up "$BR_SRV_IF" || echo "ВНИМАНИЕ: не поднялся $BR_SRV_IF"
+
+# --- 4. IP forwarding (BR-FW пересылает трафик BR-SRV в сторону BR-RTR) ---
+echo "net.ipv4.ip_forward = 1" > "$FORWARD_CONF"
+sysctl -p "$FORWARD_CONF"
+
+# --- 5. OSPF: рекламируем обе сети BR, но HELLO только на линке к BR-RTR ---
+echo "--- OSPF (${FRR_PACKAGE}) ---"
+dnf install -y "$FRR_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $FRR_PACKAGE не установился"
+LINK_NET=$(python3 -c "import ipaddress,sys; print(ipaddress.ip_network(sys.argv[1], strict=False))" "$BR_RTR_ADDR")
+SRV_NET=$(python3 -c "import ipaddress,sys; print(ipaddress.ip_network(sys.argv[1], strict=False))" "$BR_SRV_ADDR")
+cat > "$FRR_CONF" <<EOF
+frr version 8
+frr defaults traditional
+hostname $(hostname -s)
+service integrated-vtysh-config
+!
+router ospf
+ passive-interface default
+ no passive-interface $BR_RTR_IF
+ network $LINK_NET area $OSPF_AREA
+ network $SRV_NET area $OSPF_AREA
+!
+EOF
+if [[ -f "$FRR_DAEMONS" ]]; then
+    sed -ri 's/^zebra=.*/zebra=yes/; s/^ospfd=.*/ospfd=yes/' "$FRR_DAEMONS"
+fi
+systemctl enable --now "$FRR_PACKAGE" || echo "ПРОВЕРИТЬ: служба $FRR_PACKAGE не запустилась"
+
+# --- 6. DNS (если нужно BR-FW) ---
+if [[ -n "$DNS_FW" ]]; then
+    if grep -q "^nameserver" /etc/resolv.conf 2>/dev/null; then
+        echo "DNS уже прописан: $(grep '^nameserver' /etc/resolv.conf)"
+    else
+        echo "nameserver $DNS_FW" > /etc/resolv.conf
+    fi
+fi
+
+# --- 7. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка для BR-FW ==="
+ip -4 -br address show
+echo ""
+echo "Маршруты:"
+ip route show
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  vtysh -c 'show ip ospf neighbor'   (сосед BR-RTR в FULL?)"
+echo "  ping -c2 $BR_RTR_GW                (BR-RTR доступен?)"
+echo "  ping -c2 77.88.8.7                 (Интернет через BR-RTR, у BR-RTR NAT)"
diff --git a/zadanie1/br-rtr.sh b/zadanie1/br-rtr.sh
new file mode 100644
index 0000000..7a0662a
--- /dev/null
+++ b/zadanie1/br-rtr.sh
@@ -0,0 +1,217 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка BR-RTR (Linux / РЕД ОС 8)
+# Имя, net_admin, интерфейсы (к ISP и к BR-FW: сеть /30),
+# GRE-туннель до HQ-RTR, OSPF (MD5), NAT, часовой пояс.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash br-rtr.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="br-rtr.au-team.irpo"     # таблица 3, запись br-rtr.au-team.irpo
+
+# --- Пользователь net_admin (значения из задания) ---
+NET_ADMIN_USER="net_admin"
+NET_ADMIN_PASS="P@ssw0rd"
+
+# --- Интерфейс в сторону ISP ---
+ISP_IF=""       # интерфейс к ISP (пример: enp0s3)
+ISP_NET=""      # адрес BR-RTR в этой сети, формат адрес/префикс
+                # (по заданию сеть 172.16.2.0/28)
+ISP_GW=""       # шлюз по умолчанию — адрес ISP в этой же сети
+DNS_ROUTER=""   # внешний DNS для роутера (необязательно, например 77.88.8.7)
+
+# --- Интерфейс в сторону BR-FW (сеть с минимально возможной маской) ---
+BR_LINK_IF=""   # интерфейс к BR-FW (пример: enp0s8)
+BR_LINK_ADDR="" # адрес BR-RTR в этой сети, адрес/префикс (маска /30 — см. калькулятор)
+
+# --- Локальная сеть в сторону BR-SRV (через BR-FW; не более 16 адресов) ---
+# Нужна только для правил NAT — адрес BR-RTR здесь назначает BR-FW.
+NAT_NETS=""     # через пробел, например: "<сеть к BR-FW/префикс> <сеть BR-SRV/префикс>"
+
+# --- GRE-туннель до HQ-RTR (сеть 10.10.10.0/24, минимальная маска -> /30) ---
+GRE_IF="gre1"
+GRE_LOCAL=""    # локальный конец туннеля, адрес/префикс (из калькулятора, /30)
+GRE_REMOTE=""   # удалённый конец — адрес HQ-RTR в сети ISP (без префикса)
+
+# --- OSPF (значения из задания) ---
+OSPF_PASSWORD="P@ssw0rd"
+OSPF_AREA="0.0.0.0"
+# ПРОВЕРИТЬ на РЕД ОС 8: пакет, конфиг и службу OSPF (frr / quagga)
+FRR_PACKAGE="frr"
+FRR_CONF="/etc/frr/frr.conf"
+FRR_DAEMONS="/etc/frr/daemons"
+
+# --- Прочее ---
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+FORWARD_CONF="/etc/sysctl.d/99-ip-forward.conf"   # перезаписывается целиком
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+IPTABLES_SERVICE="iptables"     # ПРОВЕРИТЬ
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN ISP_IF ISP_NET ISP_GW BR_LINK_IF BR_LINK_ADDR \
+            NAT_NETS GRE_LOCAL GRE_REMOTE EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка BR-RTR ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Пользователь net_admin с sudo без пароля ---
+echo "--- Пользователь $NET_ADMIN_USER ---"
+if id "$NET_ADMIN_USER" &>/dev/null; then
+    echo "Пользователь уже существует"
+else
+    useradd -m "$NET_ADMIN_USER"
+fi
+echo "$NET_ADMIN_USER:$NET_ADMIN_PASS" | chpasswd
+echo "$NET_ADMIN_USER ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/net_admin
+chmod 440 /etc/sudoers.d/net_admin
+
+# --- 3. Интерфейс в сторону ISP ---
+echo "--- Профиль $ISP_IF (статика, шлюз $ISP_GW) ---"
+cat > "$NM_CONF_DIR/$ISP_IF.nmconnection" <<EOF
+[connection]
+id=$ISP_IF
+type=ethernet
+autoconnect=yes
+interface-name=$ISP_IF
+
+[ethernet]
+
+[ipv4]
+address1=$ISP_NET
+gateway=$ISP_GW
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$ISP_IF.nmconnection"
+
+# --- 4. Интерфейс в сторону BR-FW ---
+echo "--- Профиль $BR_LINK_IF (статика, /30) ---"
+cat > "$NM_CONF_DIR/$BR_LINK_IF.nmconnection" <<EOF
+[connection]
+id=$BR_LINK_IF
+type=ethernet
+autoconnect=yes
+interface-name=$BR_LINK_IF
+
+[ethernet]
+
+[ipv4]
+address1=$BR_LINK_ADDR
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$BR_LINK_IF.nmconnection"
+
+# --- 5. GRE-туннель до HQ-RTR ---
+echo "--- Туннель $GRE_IF ---"
+cat > "$NM_CONF_DIR/$GRE_IF.nmconnection" <<EOF
+[connection]
+id=$GRE_IF
+type=ip-tunnel
+autoconnect=yes
+interface-name=$GRE_IF
+
+[ip-tunnel]
+mode=gre
+remote=$GRE_REMOTE
+
+[ipv4]
+address1=$GRE_LOCAL
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$GRE_IF.nmconnection"
+
+nmcli connection reload
+for C in "$ISP_IF" "$BR_LINK_IF" "$GRE_IF"; do
+    nmcli connection up "$C" || echo "ВНИМАНИЕ: не поднялся профиль $C"
+done
+
+# --- 6. IP forwarding ---
+echo "net.ipv4.ip_forward = 1" > "$FORWARD_CONF"
+sysctl -p "$FORWARD_CONF"
+
+# --- 7. NAT в сторону ISP ---
+echo "--- NAT (MASQUERADE) ---"
+for SRC_NET in $NAT_NETS; do
+    if iptables -t nat -C POSTROUTING -s "$SRC_NET" -o "$ISP_IF" -j MASQUERADE 2>/dev/null; then
+        echo "Правило для $SRC_NET уже есть"
+    else
+        iptables -t nat -A POSTROUTING -s "$SRC_NET" -o "$ISP_IF" -j MASQUERADE
+        echo "Добавлено MASQUERADE для $SRC_NET"
+    fi
+done
+iptables-save > /etc/sysconfig/iptables
+systemctl enable --now "$IPTABLES_SERVICE" 2>/dev/null \
+    || echo "ПРОВЕРИТЬ: служба $IPTABLES_SERVICE не запустилась"
+
+# --- 8. OSPF: туннель (MD5) + интерфейс к BR-FW (сосед BR-FW) ---
+echo "--- OSPF (${FRR_PACKAGE}) ---"
+dnf install -y "$FRR_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $FRR_PACKAGE не установился"
+TUN_NET=$(python3 -c "import ipaddress,sys; print(ipaddress.ip_network(sys.argv[1], strict=False))" "$GRE_LOCAL")
+LINK_NET=$(python3 -c "import ipaddress,sys; print(ipaddress.ip_network(sys.argv[1], strict=False))" "$BR_LINK_ADDR")
+cat > "$FRR_CONF" <<EOF
+frr version 8
+frr defaults traditional
+hostname $(hostname -s)
+service integrated-vtysh-config
+!
+router ospf
+ passive-interface default
+ no passive-interface $GRE_IF
+ no passive-interface $BR_LINK_IF_SHORT
+ network $TUN_NET area $OSPF_AREA
+ network $LINK_NET area $OSPF_AREA
+!
+interface $GRE_IF
+ ip ospf authentication message-digest
+ ip ospf message-digest-key 1 md5 $OSPF_PASSWORD
+!
+EOF
+if [[ -f "$FRR_DAEMONS" ]]; then
+    sed -ri 's/^zebra=.*/zebra=yes/; s/^ospfd=.*/ospfd=yes/' "$FRR_DAEMONS"
+fi
+systemctl enable --now "$FRR_PACKAGE" || echo "ПРОВЕРИТЬ: служба $FRR_PACKAGE не запустилась"
+
+# --- 9. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка для BR-RTR ==="
+ip -4 -br address show
+echo ""
+echo "Правила NAT:"
+iptables -t nat -L POSTROUTING -n -v
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  nmcli connection show              (все профили активны?)"
+echo "  ip -4 addr show $GRE_IF            (туннель поднят?)"
+echo "  vtysh -c 'show ip ospf neighbor'   (соседи HQ-RTR и BR-FW в FULL?)"
+echo "  ping -c2 $ISP_GW                   (шлюз ISP доступен?)"
diff --git a/zadanie1/br-srv.sh b/zadanie1/br-srv.sh
new file mode 100644
index 0000000..7a0c97b
--- /dev/null
+++ b/zadanie1/br-srv.sh
@@ -0,0 +1,131 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка BR-SRV (Linux / РЕД ОС 8)
+# Имя, адрес в сети BR (через BR-FW), пользователь sshuser
+# (UID 2027, sudo без пароля), SSH: порт 2027, только sshuser,
+# 2 попытки, баннер, часовой пояс.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash br-srv.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="br-srv.au-team.irpo"     # таблица 3, запись br-srv.au-team.irpo
+
+# --- Сеть ---
+SRV_IF=""       # интерфейс в сторону BR-FW
+SRV_ADDR=""     # адрес BR-SRV в сети BR (сеть не более 16 адресов), адрес/префикс
+SRV_GW=""       # шлюз — адрес BR-FW в этой же сети
+DNS_SRV=""      # DNS для сервера — адрес HQ-SRV (основной DNS по заданию)
+                # либо внешний, например 77.88.8.7 — уточните у экзаменатора
+
+# --- Пользователь sshuser (значения из задания) ---
+SSH_USER="sshuser"
+SSH_USER_PASS="P@ssw0rd"
+SSH_USER_UID="2027"
+
+# --- SSH (значения из задания) ---
+SSH_PORT="2027"
+SSH_BANNER_TEXT="Authorized access only"
+SSH_BANNER_FILE="/etc/ssh/exam-banner"
+SSHD_CONF="/etc/ssh/sshd_config"
+
+# --- Прочее ---
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN SRV_IF SRV_ADDR SRV_GW SSH_USER SSH_USER_PASS \
+            SSH_USER_UID SSH_PORT EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка BR-SRV ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Сеть ---
+echo "--- Профиль $SRV_IF ---"
+cat > "$NM_CONF_DIR/$SRV_IF.nmconnection" <<EOF
+[connection]
+id=$SRV_IF
+type=ethernet
+autoconnect=yes
+interface-name=$SRV_IF
+
+[ethernet]
+
+[ipv4]
+address1=$SRV_ADDR
+gateway=$SRV_GW
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$SRV_IF.nmconnection"
+nmcli connection reload
+nmcli connection up "$SRV_IF" || echo "ВНИМАНИЕ: не поднялся $SRV_IF"
+if [[ -n "$DNS_SRV" ]]; then
+    if grep -q "^nameserver" /etc/resolv.conf 2>/dev/null; then
+        echo "DNS уже прописан: $(grep '^nameserver' /etc/resolv.conf)"
+    else
+        echo "nameserver $DNS_SRV" > /etc/resolv.conf
+    fi
+fi
+
+# --- 3. Пользователь sshuser: UID 2027, пароль, sudo без пароля ---
+if id "$SSH_USER" &>/dev/null; then
+    echo "Пользователь уже существует"
+else
+    useradd -u "$SSH_USER_UID" -m "$SSH_USER"
+fi
+echo "$SSH_USER:$SSH_USER_PASS" | chpasswd
+echo "$SSH_USER ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/sshuser
+chmod 440 /etc/sudoers.d/sshuser
+echo "Проверка UID: id $SSH_USER"
+
+# --- 4. SSH: порт 2027, только sshuser, MaxAuthTries 2, баннер ---
+echo "--- Настройка SSH (порт $SSH_PORT) ---"
+echo "$SSH_BANNER_TEXT" > "$SSH_BANNER_FILE"
+for KEY in Port AllowUsers MaxAuthTries Banner; do
+    sed -riE "s/^[[:space:]]*[#]*[[:space:]]*${KEY}[[:space:]].*$//" "$SSHD_CONF"
+done
+cat >> "$SSHD_CONF" <<EOF
+Port $SSH_PORT
+AllowUsers $SSH_USER
+MaxAuthTries 2
+Banner $SSH_BANNER_FILE
+EOF
+if command -v getenforce >/dev/null 2>&1 && [[ $(getenforce) == "Enforcing" ]]; then
+    if ! semanage port -l | grep -qw "$SSH_PORT" 2>/dev/null; then
+        semanage port -a -t ssh_port_t -p tcp "$SSH_PORT" 2>/dev/null \
+            || echo "ПРОВЕРИТЬ: не удалось добавить SELinux-порт $SSH_PORT"
+    fi
+fi
+sshd -t && echo "Конфиг sshd корректен" || echo "ПРОВЕРИТЬ: sshd -t вернул ошибку"
+systemctl restart sshd || systemctl restart ssh
+echo "Проверка: ss -tlnp | grep ':$SSH_PORT'"
+
+# --- 5. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка для BR-SRV ==="
+ip -4 -br address show
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  ss -tlnp | grep ':$SSH_PORT'   (SSH на порту 2027?)"
+echo "  ping -c2 $SRV_GW               (BR-FW доступен?)"
diff --git a/zadanie1/hq-cli.sh b/zadanie1/hq-cli.sh
new file mode 100644
index 0000000..50296ae
--- /dev/null
+++ b/zadanie1/hq-cli.sh
@@ -0,0 +1,73 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка HQ-CLI (Linux / РЕД ОС 8, только консоль)
+# Имя, адрес по DHCP от HQ-RTR (VLAN 200), часовой пояс.
+# DHCP-сервер находится на HQ-RTR: выдаёт адрес, шлюз (HQ-RTR),
+# DNS (HQ-SRV) и суффикс au-team.irpo.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash hq-cli.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="hq-cli.au-team.irpo"     # таблица 3, запись hq-cli.au-team.irpo
+
+CLI_IF=""       # интерфейс к HQ-SW (access-порт VLAN 200; тег ставит только HQ-SW)
+
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN CLI_IF EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка HQ-CLI ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Интерфейс: адрес по DHCP ---
+echo "--- Профиль $CLI_IF (DHCP) ---"
+cat > "$NM_CONF_DIR/$CLI_IF.nmconnection" <<EOF
+[connection]
+id=$CLI_IF
+type=ethernet
+autoconnect=yes
+interface-name=$CLI_IF
+
+[ethernet]
+
+[ipv4]
+method=auto
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$CLI_IF.nmconnection"
+nmcli connection reload
+nmcli connection up "$CLI_IF" || echo "ВНИМАНИЕ: не поднялся $CLI_IF (DHCP на HQ-RTR запущен?)"
+
+# --- 3. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка для HQ-CLI ==="
+ip -4 -br address show
+echo ""
+echo "Дополнительные проверки вручную (после получения адреса по DHCP):"
+echo "  hostnamectl                    (имя и часовой пояс?)"
+echo "  cat /etc/resolv.conf           (DNS = адрес HQ-SRV, суффикс au-team.irpo?)"
+echo "  ip route                       (шлюз по умолчанию = адрес HQ-RTR?)"
+echo "  ping -c2 <адрес HQ-SRV>"
diff --git a/zadanie1/hq-rtr.sh b/zadanie1/hq-rtr.sh
new file mode 100644
index 0000000..d9bb0ac
--- /dev/null
+++ b/zadanie1/hq-rtr.sh
@@ -0,0 +1,254 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка HQ-RTR (Linux / РЕД ОС 8)
+# Имя, net_admin, интерфейс к ISP, VLAN 100/200/999 на ОДНОМ адаптере,
+# GRE-туннель до BR-RTR, OSPF (MD5) в туннеле, NAT, DHCP для VLAN 200,
+# часовой пояс.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash hq-rtr.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="hq-rtr.au-team.irpo"     # таблица 3, запись hq-rtr.au-team.irpo
+
+# --- Пользователь net_admin (значения из задания) ---
+NET_ADMIN_USER="net_admin"
+NET_ADMIN_PASS="P@ssw0rd"
+
+# --- Интерфейс в сторону ISP ---
+ISP_IF=""       # интерфейс к ISP (пример: enp0s3)
+ISP_NET=""      # адрес HQ-RTR в этой сети, формат адрес/префикс
+                # (по заданию сеть 172.16.1.0/28)
+ISP_GW=""       # шлюз по умолчанию — адрес ISP в этой же сети
+DNS_ROUTER=""   # внешний DNS для роутера (необязательно, например 77.88.8.7)
+
+# --- Локальные VLAN на ОДНОМ физическом адаптере ---
+LAN_IF=""       # физический адаптер в сторону HQ-SW (пример: enp0s8)
+VLAN100_ADDR="" # адрес HQ-RTR в VLAN 100 (сеть не более 32 адресов), адрес/префикс
+VLAN200_ADDR="" # адрес HQ-RTR в VLAN 200 (сеть не более 16 адресов), адрес/префикс
+VLAN999_ADDR="" # адрес HQ-RTR в VLAN 999 (сеть не более 8 адресов), адрес/префикс
+
+# --- GRE-туннель до BR-RTR (сеть 10.10.10.0/24, минимальная маска -> /30) ---
+GRE_IF="gre1"
+GRE_LOCAL=""    # локальный конец туннеля, адрес/префикс (из calculator, /30)
+GRE_REMOTE=""   # удалённый конец туннеля — адрес BR-RTR в сети ISP (без префикса)
+
+# --- OSPF (значения из задания) ---
+OSPF_PASSWORD="P@ssw0rd"
+OSPF_AREA="0.0.0.0"
+# ПРОВЕРИТЬ на РЕД ОС 8: пакет, конфиг и службу OSPF (frr / quagga)
+FRR_PACKAGE="frr"
+FRR_CONF="/etc/frr/frr.conf"
+FRR_DAEMONS="/etc/frr/daemons"
+
+# --- NAT в сторону ISP (адресации не содержит) ---
+# Список сетей офиса для NAT — адреса сетей с префиксом (для правил iptables).
+NAT_NETS=""     # через пробел, например: "<сеть VLAN100/префикс> <сеть VLAN200/префикс> <сеть VLAN999/префикс>"
+
+# --- DHCP для VLAN 200 (клиент — HQ-CLI) ---
+DHCP_PACKAGE="dhcp-server"      # ПРОВЕРИТЬ: пакет DHCP-сервера в РЕД ОС 8
+DHCPD_SERVICE="dhcpd"           # ПРОВЕРИТЬ: имя службы
+DHCPD_CONF="/etc/dhcp/dhcpd.conf"
+DHCP_SUBNET=""                  # адрес сети VLAN 200 (без префикса)
+DHCP_NETMASK=""                 # маска этой сети (255.255.255.x)
+DHCP_RANGE_FIRST=""             # первый адрес выдачи (АДРЕС HQ-RTR ВЫПАДАЕТ: он вне range)
+DHCP_RANGE_LAST=""              # последний адрес выдачи
+DHCP_DOMAIN="au-team.irpo"
+HQ_SRV_IP=""                    # адрес HQ-SRV (VLAN 100) — DNS-сервер для HQ-CLI
+
+# --- Прочее ---
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+FORWARD_CONF="/etc/sysctl.d/99-ip-forward.conf"   # перезаписывается целиком
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+IPTABLES_SERVICE="iptables"     # ПРОВЕРИТЬ
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN ISP_IF ISP_NET ISP_GW LAN_IF VLAN100_ADDR VLAN200_ADDR \
+            VLAN999_ADDR GRE_LOCAL GRE_REMOTE NAT_NETS DHCP_SUBNET DHCP_NETMASK \
+            DHCP_RANGE_FIRST DHCP_RANGE_LAST HQ_SRV_IP EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка HQ-RTR ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Пользователь net_admin с sudo без пароля ---
+echo "--- Пользователь $NET_ADMIN_USER ---"
+if id "$NET_ADMIN_USER" &>/dev/null; then
+    echo "Пользователь уже существует"
+else
+    useradd -m "$NET_ADMIN_USER"
+fi
+echo "$NET_ADMIN_USER:$NET_ADMIN_PASS" | chpasswd
+# Файл в sudoers.d перезаписывается целиком — дублей нет
+echo "$NET_ADMIN_USER ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/net_admin
+chmod 440 /etc/sudoers.d/net_admin
+echo "Проверка: su - $NET_ADMIN_USER -c 'sudo -n true && echo sudo OK'"
+
+# --- 3. Интерфейс в сторону ISP ---
+echo "--- Профиль $ISP_IF (статика, шлюз $ISP_GW) ---"
+cat > "$NM_CONF_DIR/$ISP_IF.nmconnection" <<EOF
+[connection]
+id=$ISP_IF
+type=ethernet
+autoconnect=yes
+interface-name=$ISP_IF
+
+[ethernet]
+
+[ipv4]
+address1=$ISP_NET
+gateway=$ISP_GW
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$ISP_IF.nmconnection"
+
+# --- 4. VLAN-интерфейсы (100/200/999) на одном физическом адаптере ---
+make_vlan_profile () {
+    printf '%s\n' \
+"[connection]
+id=$1
+type=vlan
+autoconnect=yes
+interface-name=$1
+
+[vlan]
+parent=$LAN_IF
+id=$2
+
+[ipv4]
+address1=$3
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]" > "$NM_CONF_DIR/$1.nmconnection"
+    chmod 600 "$NM_CONF_DIR/$1.nmconnection"
+}
+echo "--- VLAN 100 ---"; make_vlan_profile vlan100 100 "$VLAN100_ADDR"
+echo "--- VLAN 200 ---"; make_vlan_profile vlan200 200 "$VLAN200_ADDR"
+echo "--- VLAN 999 ---"; make_vlan_profile vlan999 999 "$VLAN999_ADDR"
+
+# --- 5. GRE-туннель ---
+echo "--- Туннель $GRE_IF ---"
+cat > "$NM_CONF_DIR/$GRE_IF.nmconnection" <<EOF
+[connection]
+id=$GRE_IF
+type=ip-tunnel
+autoconnect=yes
+interface-name=$GRE_IF
+
+[ip-tunnel]
+mode=gre
+remote=$GRE_REMOTE
+
+[ipv4]
+address1=$GRE_LOCAL
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$GRE_IF.nmconnection"
+
+nmcli connection reload
+for C in "$ISP_IF" vlan100 vlan200 vlan999 "$GRE_IF"; do
+    nmcli connection up "$C" || echo "ВНИМАНИЕ: не поднялся профиль $C"
+done
+
+# --- 6. IP forwarding ---
+echo "net.ipv4.ip_forward = 1" > "$FORWARD_CONF"
+sysctl -p "$FORWARD_CONF"
+
+# --- 7. NAT в сторону ISP ---
+echo "--- NAT (MASQUERADE) ---"
+for SRC_NET in $NAT_NETS; do
+    if iptables -t nat -C POSTROUTING -s "$SRC_NET" -o "$ISP_IF" -j MASQUERADE 2>/dev/null; then
+        echo "Правило для $SRC_NET уже есть"
+    else
+        iptables -t nat -A POSTROUTING -s "$SRC_NET" -o "$ISP_IF" -j MASQUERADE
+        echo "Добавлено MASQUERADE для $SRC_NET"
+    fi
+done
+iptables-save > /etc/sysconfig/iptables
+systemctl enable --now "$IPTABLES_SERVICE" 2>/dev/null \
+    || echo "ПРОВЕРИТЬ: служба $IPTABLES_SERVICE не запустилась"
+
+# --- 8. OSPF в туннеле с аутентификацией MD5 ---
+echo "--- OSPF (${FRR_PACKAGE}) ---"
+dnf install -y "$FRR_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $FRR_PACKAGE не установился"
+# Сеть туннеля вычисляем из адреса туннеля (нужен python3)
+TUN_NET=$(python3 -c "import ipaddress,sys; print(ipaddress.ip_network(sys.argv[1], strict=False))" "$GRE_LOCAL")
+cat > "$FRR_CONF" <<EOF
+frr version 8
+frr defaults traditional
+hostname $(hostname -s)
+service integrated-vtysh-config
+!
+router ospf
+ passive-interface default
+ no passive-interface $GRE_IF
+ network $TUN_NET area $OSPF_AREA
+!
+interface $GRE_IF
+ ip ospf authentication message-digest
+ ip ospf message-digest-key 1 md5 $OSPF_PASSWORD
+!
+EOF
+# Включаем нужные демоны frr (zebra + ospfd) — файл правим точечно, без дублей
+if [[ -f "$FRR_DAEMONS" ]]; then
+    sed -ri 's/^zebra=.*/zebra=yes/; s/^ospfd=.*/ospfd=yes/' "$FRR_DAEMONS"
+fi
+systemctl enable --now "$FRR_PACKAGE" || echo "ПРОВЕРИТЬ: служба $FRR_PACKAGE не запустилась"
+
+# --- 9. DHCP для VLAN 200 ---
+echo "--- DHCP ($DHCP_PACKAGE) ---"
+dnf install -y "$DHCP_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $DHCP_PACKAGE не установился"
+cat > "$DHCPD_CONF" <<EOF
+# Клиент HQ-CLI получает адрес из указанного range.
+# Адрес HQ-RTR в выдачу не попадает (он вне range) — это и есть исключение.
+subnet $DHCP_SUBNET netmask $DHCP_NETMASK {
+    range $DHCP_RANGE_FIRST $DHCP_RANGE_LAST;
+    option routers $VLAN200_ADDR;      # шлюз — HQ-RTR (его адрес в VLAN 200)
+    option domain-name-servers $HQ_SRV_IP;
+    option domain-name "$DHCP_DOMAIN";
+}
+EOF
+systemctl enable --now "$DHCPD_SERVICE" || echo "ПРОВЕРИТЬ: служба $DHCPD_SERVICE не запустилась"
+
+# --- 10. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка для HQ-RTR ==="
+ip -4 -br address show
+echo ""
+echo "Правила NAT:"
+iptables -t nat -L POSTROUTING -n -v
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  nmcli connection show          (все профили активны?)"
+echo "  ip -4 addr show $GRE_IF        (туннель поднят?)"
+echo "  vtysh -c 'show ip ospf neighbor'   (сосед BR-RTR в состоянии FULL?)"
+echo "  ss -clip -n | grep 67          (DHCP слушает?)"
+echo "  ping -c2 $ISP_GW               (шлюз ISP доступен?)"
diff --git a/zadanie1/hq-srv.sh b/zadanie1/hq-srv.sh
new file mode 100644
index 0000000..5cc3b5d
--- /dev/null
+++ b/zadanie1/hq-srv.sh
@@ -0,0 +1,186 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка HQ-SRV (Linux / РЕД ОС 8)
+# Имя, адрес в VLAN 100, пользователь sshuser (UID 2027, sudo без пароля),
+# SSH: порт 2027, только sshuser, 2 попытки, баннер,
+# DNS-сервер (dnsmasq): зона au-team.irpo по таблице 3, forwarder,
+# часовой пояс.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash hq-srv.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="hq-srv.au-team.irpo"     # таблица 3, запись hq-srv.au-team.irpo
+
+# --- Сеть ---
+SRV_IF=""       # интерфейс к HQ-SW (access-порт VLAN 100; на HQ-SRV тег не ставится)
+SRV_ADDR=""     # адрес HQ-SRV в VLAN 100, формат адрес/префикс
+SRV_GW=""       # шлюз — адрес HQ-RTR в VLAN 100
+DNS_SRV=""      # внешний DNS для самого сервера (необязательно, напр. 77.88.8.7)
+
+# --- Пользователь sshuser (значения из задания) ---
+SSH_USER="sshuser"
+SSH_USER_PASS="P@ssw0rd"
+SSH_USER_UID="2027"
+
+# --- SSH (значения из задания) ---
+SSH_PORT="2027"                 # порт подключения
+SSH_BANNER_TEXT="Authorized access only"
+SSH_BANNER_FILE="/etc/ssh/exam-banner"
+SSHD_CONF="/etc/ssh/sshd_config"
+
+# --- DNS-сервер (dnsmasq; ПРОВЕРИТЬ: пакет/служба на РЕД ОС 8) ---
+DNS_PACKAGE="dnsmasq"
+DNS_SERVICE="dnsmasq"
+DNS_HOSTS_FILE="/etc/exam.hosts"        # наши записи A/PTR, перезаписывается целиком
+DNS_EXTRA_CONF="/etc/dnsmasq.d/exam.conf"
+DNS_DOMAIN="au-team.irpo"
+DNS_UPSTREAM=""                 # forwarder по заданию: любой общий DNS (77.88.8.7 / 77.88.8.3 / др.)
+DNS_LISTEN=""                   # адрес, на котором слушать DNS (адрес HQ-SRV в VLAN 100)
+
+# --- Адреса для записей таблицы 3 (все без префикса) ---
+HQ_RTR_IP=""    # hq-rtr.au-team.irpo
+BR_RTR_IP=""    # br-rtr.au-team.irpo
+BR_FW_IP=""     # br-fw.au-team.irpo
+HQ_CLI_IP=""    # hq-cli.au-team.irpo
+BR_SRV_IP=""    # br-srv.au-team.irpo
+ISP_TO_HQ_IP="" # docker.au-team.irpo — ISP со стороны HQ-RTR
+ISP_TO_BR_IP="" # web.au-team.irpo — ISP со стороны BR-RTR
+
+# --- Прочее ---
+EXAM_TZ="Europe/Moscow"         # проверить на экзамене
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN SRV_IF SRV_ADDR SRV_GW SSH_USER SSH_USER_PASS SSH_USER_UID \
+            SSH_PORT DNS_UPSTREAM DNS_LISTEN HQ_RTR_IP BR_RTR_IP BR_FW_IP HQ_CLI_IP \
+            BR_SRV_IP ISP_TO_HQ_IP ISP_TO_BR_IP EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+# Адрес HQ-SRV без префикса — для записи A/PTR на себя
+SRV_ADDR_HOST="${SRV_ADDR%/*}"
+
+echo "=== Настройка HQ-SRV ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Сеть ---
+echo "--- Профиль $SRV_IF ---"
+cat > "$NM_CONF_DIR/$SRV_IF.nmconnection" <<EOF
+[connection]
+id=$SRV_IF
+type=ethernet
+autoconnect=yes
+interface-name=$SRV_IF
+
+[ethernet]
+
+[ipv4]
+address1=$SRV_ADDR
+gateway=$SRV_GW
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$SRV_IF.nmconnection"
+nmcli connection reload
+nmcli connection up "$SRV_IF" || echo "ВНИМАНИЕ: не поднялся $SRV_IF"
+if [[ -n "$DNS_SRV" ]]; then
+    if grep -q "^nameserver" /etc/resolv.conf 2>/dev/null; then
+        echo "DNS уже прописан: $(grep '^nameserver' /etc/resolv.conf)"
+    else
+        echo "nameserver $DNS_SRV" > /etc/resolv.conf
+    fi
+fi
+
+# --- 3. Пользователь sshuser: UID 2027, пароль, sudo без пароля ---
+if id "$SSH_USER" &>/dev/null; then
+    echo "Пользователь уже существует"
+else
+    useradd -u "$SSH_USER_UID" -m "$SSH_USER"
+fi
+echo "$SSH_USER:$SSH_USER_PASS" | chpasswd
+echo "$SSH_USER ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/sshuser
+chmod 440 /etc/sudoers.d/sshuser
+echo "Проверка UID: id $SSH_USER"
+
+# --- 4. SSH: порт 2027, только sshuser, MaxAuthTries 2, баннер ---
+echo "--- Настройка SSH (порт $SSH_PORT) ---"
+echo "$SSH_BANNER_TEXT" > "$SSH_BANNER_FILE"
+# Удаляем старые значения (в т.ч. закомментированные), затем дописываем новые.
+# Повторный запуск не создаёт дублей: сначала чистим, потом пишем.
+for KEY in Port AllowUsers MaxAuthTries Banner; do
+    sed -riE "s/^[[:space:]]*[#]*[[:space:]]*${KEY}[[:space:]].*$//" "$SSHD_CONF"
+done
+cat >> "$SSHD_CONF" <<EOF
+Port $SSH_PORT
+AllowUsers $SSH_USER
+MaxAuthTries 2
+Banner $SSH_BANNER_FILE
+EOF
+# Если включён SELinux, порт 2027 нужно разрешить политике sshd
+# (ПРОВЕРИТЬ на РЕД ОС 8; для semanage может понадобиться пакет
+# policycoreutils-python-utils)
+if command -v getenforce >/dev/null 2>&1 && [[ $(getenforce) == "Enforcing" ]]; then
+    if ! semanage port -l | grep -qw "$SSH_PORT" 2>/dev/null; then
+        semanage port -a -t ssh_port_t -p tcp "$SSH_PORT" 2>/dev/null \
+            || echo "ПРОВЕРИТЬ: не удалось добавить SELinux-порт $SSH_PORT"
+    fi
+fi
+sshd -t && echo "Конфиг sshd корректен" || echo "ПРОВЕРИТЬ: sshd -t вернул ошибку"
+systemctl restart sshd || systemctl restart ssh
+
+echo "Проверка: ss -tlnp | grep ':$SSH_PORT'"
+
+# --- 5. DNS-сервер (dnsmasq): зона au-team.irpo по таблице 3 ---
+echo "--- DNS ($DNS_PACKAGE) ---"
+dnf install -y "$DNS_PACKAGE" || echo "ПРОВЕРИТЬ: пакет $DNS_PACKAGE не установился"
+# Записи A и PTR (PTR появляется автоматически по записям hosts —
+# убедитесь на стенде, что обратные зоны отвечают)
+cat > "$DNS_HOSTS_FILE" <<EOF
+$HQ_RTR_IP    hq-rtr.au-team.irpo hq-rtr
+$BR_RTR_IP    br-rtr.au-team.irpo br-rtr
+$BR_FW_IP     br-fw.au-team.irpo br-fw
+$SRV_ADDR_HOST hq-srv.au-team.irpo hq-srv
+$HQ_CLI_IP    hq-cli.au-team.irpo hq-cli
+$BR_SRV_IP    br-srv.au-team.irpo br-srv
+$ISP_TO_HQ_IP docker.au-team.irpo docker
+$ISP_TO_BR_IP web.au-team.irpo web
+EOF
+cat > "$DNS_EXTRA_CONF" <<EOF
+domain=$DNS_DOMAIN
+local=/$DNS_DOMAIN/
+listen-address=127.0.0.1,$DNS_LISTEN
+server=$DNS_UPSTREAM
+addn-hosts=$DNS_HOSTS_FILE
+EOF
+systemctl enable --now "$DNS_SERVICE" \
+    || { echo "ПРОВЕРИТЬ: служба $DNS_SERVICE не запустилась"; systemctl status "$DNS_SERVICE" --no-pager; }
+
+# --- 6. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+
+echo ""
+echo "=== Самопроверка для HQ-SRV ==="
+ip -4 -br address show
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  ss -tlnp | grep ':$SSH_PORT'   (SSH на порту 2027?)"
+echo "  ss -uln | grep ':53'           (DNS слушает?)"
+echo "  dig +short hq-rtr.$DNS_DOMAIN @127.0.0.1"
+echo "  dig +short -x $SRV_ADDR_HOST @127.0.0.1   (проверка PTR HQ-SRV)"
+echo "  ping -c2 $SRV_GW               (шлюз HQ-RTR доступен?)"
diff --git a/zadanie1/hq-sw.sh b/zadanie1/hq-sw.sh
new file mode 100644
index 0000000..c739252
--- /dev/null
+++ b/zadanie1/hq-sw.sh
@@ -0,0 +1,132 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка HQ-SW как Linux-ВМ (вариант 1)
+# Bridge с vlan_filtering на трёх адаптерах:
+#   - к HQ-RTR: trunk VLAN 100, 200, 999;
+#   - к HQ-SRV: access VLAN 100 (untagged) — тегов сервер не видит;
+#   - к HQ-CLI: access VLAN 200 (untagged) — тегов клиент не видит.
+# Управление коммутатором — адрес в VLAN 999 (подынтерфейс bridge).
+# Часовой пояс на HQ-SW НЕ настраивается (по п. 11 задания 1).
+# ПРОВЕРИТЬ на стенде: имена интерфейсов и persistence-подход.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash hq-sw.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+HOSTNAME_FQDN="hq-sw.au-team.irpo"      # записи в таблице 3 нет — уточнить имя
+
+BRIDGE="br0"            # имя создаваемого моста
+RTR_IF=""               # интерфейс к HQ-RTR (trunk)   (пример: enp0s3)
+SRV_IF=""               # интерфейс к HQ-SRV (access)  (пример: enp0s8)
+CLI_IF=""               # интерфейс к HQ-CLI (access)  (пример: enp0s9)
+
+VLAN_SRV="100"          # VLAN трафика HQ-SRV (по заданию)
+VLAN_CLI="200"          # VLAN трафика HQ-CLI (по заданию)
+VLAN_MGMT="999"         # VLAN управления (по заданию)
+
+MGMT_ADDR=""            # адрес HQ-SW в VLAN 999, формат адрес/префикс
+                        # (сеть управления не более 8 адресов)
+MGMT_GW=""              # адрес HQ-RTR в VLAN 999 (необязательно — шлюз управления)
+
+UNIT_FILE="/etc/systemd/system/hq-sw-bridge.service"   # перезапуск моста после reboot
+SELF_COPY="/usr/local/sbin/hq-sw-bridge"
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN RTR_IF SRV_IF CLI_IF MGMT_ADDR; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка HQ-SW (bridge + VLAN filtering) ==="
+
+# --- 1. Имя хоста ---
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Имя хоста: $(hostname)"
+
+# --- 2. Мост с фильтрацией VLAN (повторный запуск безопасен: не падает, если мост есть) ---
+echo "--- Мост $BRIDGE ---"
+ip link add "$BRIDGE" type bridge vlan_filtering 1 2>/dev/null \
+    || echo "Мост $BRIDGE уже существует — продолжаем"
+ip link set dev "$BRIDGE" up
+
+# --- 3. Порты в мост ---
+echo "--- Порты в мост ---"
+for IF in "$RTR_IF" "$SRV_IF" "$CLI_IF"; do
+    ip link set dev "$IF" nomaster 2>/dev/null || true
+    ip link set dev "$IF" master "$BRIDGE" || echo "ВНИМАНИЕ: $IF не вошёл в мост"
+    ip link set dev "$IF" up
+done
+
+# --- 4. VLAN-конфигурация портов ---
+# ВАЖНО: сначала убираем дефолтный untagged vid 1, иначе трафик уйдёт в VLAN 1.
+echo "--- VLAN-порты ---"
+
+# Порт к HQ-RTR: trunk (все VLAN тегированными, без untagged)
+bridge vlan del dev "$RTR_IF" vid 1 2>/dev/null || true
+for VID in $VLAN_SRV $VLAN_CLI $VLAN_MGMT; do
+    bridge vlan add dev "$RTR_IF" vid "$VID"
+done
+
+# Порты к HQ-SRV и HQ-CLI: access — VLAN уходит наружу без тега
+bridge vlan del dev "$SRV_IF" vid 1 2>/dev/null || true
+bridge vlan add dev "$SRV_IF" vid "$VLAN_SRV" pvid untagged
+bridge vlan del dev "$CLI_IF" vid 1 2>/dev/null || true
+bridge vlan add dev "$CLI_IF" vid "$VLAN_CLI" pvid untagged
+
+# --- 5. Управление коммутатором: адрес в VLAN 999 на подынтерфейсе моста ---
+VLAN_IF="$BRIDGE.$VLAN_MGMT"
+ip link add link "$BRIDGE" name "$VLAN_IF" type vlan id "$VLAN_MGMT" 2>/dev/null \
+    || true
+ip addr replace "$MGMT_ADDR" dev "$VLAN_IF"
+ip link set dev "$VLAN_IF" up
+if [[ -n "$MGMT_GW" ]]; then
+    ip route replace default via "$MGMT_GW" dev "$VLAN_IF"
+fi
+echo "Управление: $VLAN_IF = $MGMT_ADDR"
+
+# --- 6. Сохраняем после reboot: копия скрипта + systemd-юнит ---
+# (скрипт идемпотентен, повторный запуск безопасен)
+install -m 755 "$0" "$SELF_COPY" \
+    || echo "ПРОВЕРИТЬ: не удалось скопировать $0 в $SELF_COPY"
+cat > "$UNIT_FILE" <<'EOF'
+[Unit]
+Description=HQ-SW: bridge с VLAN filtering и управлением в VLAN 999
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=oneshot
+ExecStart=/usr/local/sbin/hq-sw-bridge
+
+[Install]
+WantedBy=multi-user.target
+EOF
+systemctl daemon-reload
+systemctl enable hq-sw-bridge \
+    && echo "После reboot мост восстановится автоматически" \
+    || echo "ПРОВЕРИТЬ: не включился автозапуск hq-sw-bridge.service"
+
+echo ""
+echo "=== Самопроверка для HQ-SW ==="
+echo "Порты и мост:"
+ip -br link show
+echo ""
+echo "VLAN-конфигурация портов:"
+bridge vlan show
+echo ""
+echo "Управление:"
+ip -4 addr show "$VLAN_IF" 2>/dev/null
+[[ -n "$MGMT_GW" ]] && ip route show default
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  bridge -d link show         (порты в состоянии forward?)"
+echo "  ping -c2 <адрес HQ-RTR в VLAN 999>"
+echo "  После reboot: systemctl status hq-sw-bridge"
diff --git a/zadanie1/isp.sh b/zadanie1/isp.sh
new file mode 100644
index 0000000..a17a5e8
--- /dev/null
+++ b/zadanie1/isp.sh
@@ -0,0 +1,182 @@
+#!/bin/bash
+# ============================================================
+# ЗАДАНИЕ 1. Настройка ISP (Linux / РЕД ОС 8)
+# Имя, интерфейсы (WAN по DHCP, линки к HQ-RTR и BR-RTR),
+# NAT для сетей HQ-RTR и BR-RTR, часовой пояс.
+# ============================================================
+
+# --- Проверка прав root ---
+if [[ $EUID -ne 0 ]]; then
+    echo "Запустите скрипт с правами root (sudo bash isp.sh)"
+    exit 1
+fi
+
+# ================= ПЕРЕМЕННЫЕ (заполните перед запуском) =================
+# Полное доменное имя ISP. В таблице 3 задания записи ISP нет — уточните имя.
+HOSTNAME_FQDN=""
+
+# Администрирование ниже настраивается без запросов — только переменные.
+
+WAN_IF=""       # интерфейс к провайдеру (пример: enp0s3), получит адрес по DHCP
+HQ_IF=""        # интерфейс в сторону HQ-RTR
+HQ_NET=""       # адрес ISP на этом интерфейсе, формат адрес/префикс
+                # (по заданию сеть 172.16.1.0/28 — вписать свой адрес/префикс)
+BR_IF=""        # интерфейс в сторону BR-RTR
+BR_NET=""       # адрес ISP здесь, формат адрес/префикс
+                # (по заданию сеть 172.16.2.0/28)
+
+DNS_ISP=""      # внешний DNS-сервер, если DHCP провайдера его не выдаёт
+                # (необязательно, например 77.88.8.7)
+
+# Часовой пояс — поставьте пояс места проведения экзамена
+EXAM_TZ="Europe/Moscow"     # проверить на экзамене
+
+# Служба сохранения iptables на РЕД ОС 8 — проверить на стенде (ПРОВЕРИТЬ:
+# пакет iptables-services и имя службы)
+IPTABLES_SERVICE="iptables"
+
+NM_CONF_DIR="/etc/NetworkManager/system-connections"
+FORWARD_CONF="/etc/sysctl.d/99-ip-forward.conf"   # перезаписывается целиком
+
+# ============ Проверка заполнения переменных ============
+MISSING=()
+for NAME in HOSTNAME_FQDN WAN_IF HQ_IF HQ_NET BR_IF BR_NET EXAM_TZ; do
+    [[ -z "${!NAME}" ]] && MISSING+=("$NAME")
+done
+if [[ ${#MISSING[@]} -gt 0 ]]; then
+    echo "Заполните переменные в начале скрипта: ${MISSING[*]}"
+    exit 1
+fi
+
+echo "=== Настройка ISP ==="
+
+# --- 1. Имя хоста ---
+echo "Имя хоста: $HOSTNAME_FQDN"
+hostnamectl set-hostname "$HOSTNAME_FQDN"
+echo "Проверка: hostnamectl"
+
+# --- 2. WAN-интерфейс: адрес по DHCP ---
+echo "--- Профиль $WAN_IF (DHCP) ---"
+cat > "$NM_CONF_DIR/$WAN_IF.nmconnection" <<EOF
+[connection]
+id=$WAN_IF
+type=ethernet
+autoconnect=yes
+interface-name=$WAN_IF
+
+[ethernet]
+
+[ipv4]
+method=auto
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$WAN_IF.nmconnection"
+echo "Записан $NM_CONF_DIR/$WAN_IF.nmconnection"
+
+# --- 3. Интерфейс в сторону HQ-RTR ---
+echo "--- Профиль $HQ_IF (статика) ---"
+cat > "$NM_CONF_DIR/$HQ_IF.nmconnection" <<EOF
+[connection]
+id=$HQ_IF
+type=ethernet
+autoconnect=yes
+interface-name=$HQ_IF
+
+[ethernet]
+
+[ipv4]
+address1=$HQ_NET
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$HQ_IF.nmconnection"
+
+# --- 4. Интерфейс в сторону BR-RTR ---
+echo "--- Профиль $BR_IF (статика) ---"
+cat > "$NM_CONF_DIR/$BR_IF.nmconnection" <<EOF
+[connection]
+id=$BR_IF
+type=ethernet
+autoconnect=yes
+interface-name=$BR_IF
+
+[ethernet]
+
+[ipv4]
+address1=$BR_NET
+method=manual
+
+[ipv6]
+method=disabled
+
+[proxy]
+EOF
+chmod 600 "$NM_CONF_DIR/$BR_IF.nmconnection"
+
+# --- 5. Применяем профили ---
+nmcli connection reload
+nmcli connection up "$WAN_IF" || echo "ВНИМАНИЕ: не поднялся $WAN_IF (DHCP? кабель?)"
+nmcli connection up "$HQ_IF"
+nmcli connection up "$BR_IF"
+
+# --- 6. IP forwarding (файл перезаписывается целиком — дублей не будет) ---
+echo "--- Включаем маршрутизацию пакетов ---"
+echo "net.ipv4.ip_forward = 1" > "$FORWARD_CONF"
+sysctl -p "$FORWARD_CONF"
+
+# --- 7. NAT для сетей HQ-RTR и BR-RTR ---
+# Динамическая трансляция (MASQUERADE) на выходе в Интернет только для
+# адресов сетей HQ-RTR и BR-RTR. Правила добавляются, только если их нет.
+echo "--- NAT (MASQUERADE) ---"
+for SRC_NET in "$HQ_NET" "$BR_NET"; do
+    if iptables -t nat -C POSTROUTING -s "$SRC_NET" -o "$WAN_IF" -j MASQUERADE 2>/dev/null; then
+        echo "Правило для $SRC_NET уже есть"
+    else
+        iptables -t nat -A POSTROUTING -s "$SRC_NET" -o "$WAN_IF" -j MASQUERADE
+        echo "Добавлено MASQUERADE для $SRC_NET"
+    fi
+done
+
+# --- 8. Сохраняем правила iptables и включаем службу ---
+echo "--- Сохранение правил iptables ---"
+if command -v iptables-save >/dev/null 2>&1; then
+    iptables-save > /etc/sysconfig/iptables
+    systemctl enable --now "$IPTABLES_SERVICE" 2>/dev/null \
+        || echo "ПРОВЕРИТЬ: служба $IPTABLES_SERVICE не запустилась"
+else
+    echo "ПРОВЕРИТЬ: iptables-save недоступен — как сохранить правила на РЕД ОС 8?"
+fi
+
+# --- 9. DNS (если DHCP провайдера не выдал) ---
+if [[ -n "$DNS_ISP" ]]; then
+    echo "ПРОВЕРИТЬ: DNS-сервер для ISP задаётся здесь ($DNS_ISP)."
+    echo "Если resolv.conf пустой — впишите DNS через nmcli или вручную."
+fi
+
+# --- 10. Часовой пояс ---
+timedatectl set-timezone "$EXAM_TZ"
+echo "Часовой пояс: $(timedatectl show -p Timezone --value)"
+
+echo ""
+echo "=== Самопроверка для ISP ==="
+echo "Адреса интерфейсов:"
+ip -4 -br address show
+echo ""
+echo "Маршруты (маршрут по умолчанию должен идти через $WAN_IF):"
+ip route show
+echo ""
+echo "Правила NAT:"
+iptables -t nat -L POSTROUTING -n -v
+echo ""
+echo "Дополнительные проверки вручную:"
+echo "  ping -c2 77.88.8.7          (доступ в Интернет от ISP)"
+echo "  ping -c2 <адрес HQ-RTR>     (линк к HQ-RTR)"
+echo "  ping -c2 <адрес BR-RTR>     (линк к BR-RTR)"