diff --git a/MANUAL.md b/MANUAL.md
index f08327a..b7cbd35 100644
--- a/MANUAL.md
+++ b/MANUAL.md
@@ -73,11 +73,42 @@ python3: `dnf install -y python3`.
 5. Создаём план «копирование /etc и всех поддиректорий» для HQ-SRV.
 6. Запускаем план, показываем результат, снимаем скриншоты для отчёта.
 
+## Задание 3
+
+### HQ-SRV: HTTPS на реверс-прокси (доставка сертификатов)
+Сертификаты выпущены hq-srv.sh (zadanie3) в /etc/CA. Их надо вручную доставить:
+1. На ISP скопировать сертификат web/docker-домена и ключ:
+   `scp /etc/CA/веб_домен.crt root@<адрес ISP>:/etc/nginx/`
+   (аналогично ключ .key).
+2. На ISP поправить пути в zadanie3/isp.sh (TLS_CERT_FILE/TLS_KEY_FILE)
+   и запустить скрипт повторно — он перенастроит прокси на 443.
+3. На HQ-CLI скопировать root.crt и запустить zadanie3/hq-cli.sh
+   (укажите CA_ROOT_FILE) — доверие установится, браузер без предупреждений.
+4. Проверить в браузере HQ-CLI (если GUI есть) либо curl: `curl -v https://...`
+
+### HQ-SRV: Кибер Бэкап 18 (или аналог)
+1. Установить сервер управления (источник — Additional.iso/локальный
+   репозиторий, точка задания 3 п. 9; ПрИл_6 содержит точные шаги).
+2. В веб-интерфейсе создать подразделение «irpo», пользователя
+   «irpoadmin» с паролем P@ssw0rd.
+3. На HQ-CLI установить агент с функциями узла хранилища, подключить
+   агент к серверу HQ-SRV.
+4. На узел HQ-CLI выбрать/создать директорию /backup как устройство
+   хранения в консоли сервера.
+5. Создать план резервного копирования: HQ-SRV, директория /etc со всеми
+   поддиректориями, целевой узел хранения — HQ-CLI /backup.
+6. Запустить план, проверить архив в хранилище. Отметить шаги в отчёте.
+
+### HQ-CLI: подключение pdf-принтера (если CLI без CUPS)
+lpadmin/lpoptions из zadanie3/hq-cli.sh должны работать в консоли. Если
+на стенде требуется GUI-подключение (GUI может отсутствовать) — сделать
+через system-config-printer или настройки окружения, отметить в отчёте способ.
+
 ### Импорт пользователей через import.sh (задание 3, п. 1)
 1. Монтируем Additional.iso в каталог (переменная ISO_DIR=/mnt/iso в
    скриптах задания 3).
-2. Запускаем файл с образа: `bash $ISO_DIR/import.sh` — скрипт спросит путь
-   к источнику, вводим `$ISO_DIR/users.csv`. Импорт идёт со всеми
-   атрибутами из CSV, повторить при необходимости (см. задание 3 п. 1).
-3. Проверка: пользователи должны логиниться на HQ-CLI вручную
-   (`su - имя_пользователя` или через GUI-вход). Результат в отчёт.
+2. Запускаем файл с образа: `bash /mnt/iso/import.sh` — скрипт сам запросит
+   путь к источнику, вводим `/mnt/iso/users.csv`. Импорт идёт со всеми
+   атрибутами. Повторно допустимо (см. задание 3 п. 1).
+3. Проверка: `samba-tool user list` на BR-SRV; пользователи должны
+   логиниться на HQ-CLI вручную (`su - имя_пользователя`). Результат в отчёт.
diff --git a/QUESTIONS.md b/QUESTIONS.md
index 1d5c8b9..694a14b 100644
--- a/QUESTIONS.md
+++ b/QUESTIONS.md
@@ -71,10 +71,22 @@
   разрешён прохождение пакетов в цепочке FORWARD (политика ACCEPT).
 
 ## Задание 3 (уточнения по ходу)
-- «Рекомендуется использовать отечественные алгоритмы шифрования» (ЦС на
-  HQ-SRV): обычный openssl ГОСТ-подписи не умеет; рассмотреть
-  crypto-pro/ViPNet — уточнить требования экзаменатора. Пока в планах
-  openssl RSA/ECDA на 30 дней.
-- Кибер Бэкап: GUI-продукт, ставится в MANUAL.md вручную.
-- Принт-сервер: виртуальный PDF-принтер на HQ-SRV достижим через
-  CUPS-pdf; подключение на клиенте через lpadmin/lpoptions — проверить.
+- ЦС «отечественные алгоритмы»: обычный openssl RSA/EC — гост-подписи не умеет.
+  Уточнить у экзаменатора, оправдывает ли RSA критерий (или требуется
+  ГОСТ-пакет, например crypto-pro/ViPNet — что доступно на стенде?).
+- nginx: пакет и наличие рестаров ok (ПРОВЕРИТЬ на РЕД ОС 8).
+- Обратный прокси: HQ-SRV/BR-SRV резолвятся с ISP только через статические
+  маршруты (office nets за маршрутизаторами) — с ISP curl пробовать до запуска.
+- atop: какой конфиг-файл читает служба на РЕД ОС 8 (/etc/sysconfig/atop?
+  /etc/atop/atop.conf?) и как называется параметр интервала.
+- cups-pdf: есть ли пакет в репозитории РЕД ОС 8; имя pdf-принтера по умолчанию
+  (обычно pdf); доступность порта 631 извне (файрвол/SELinux).
+- fail2ban: доступен ли пакет на РЕД ОС 8 (нужен EPEL?), формат порта в jail
+  (2027) и backend systemd.
+- Кибер Бэкап 18: откуда брать дистрибутив на стенде (ISO/файл-сервер).
+- Плейбук из Additional.iso/playbook: какие переменные/инвентарь ожидает,
+  где создаёт отчёты PC-INFO (path в плейбуке может отличаться).
+- import.sh: точно интерактивен? Если использует свой механизм вопросов —
+  подготовить ответы заранее (cat answers | import.sh) — изучить на стенде.
+- HQ-CLI: update-ca-trust на РЕД ОС 8; есть ли поддержка ipp-подключения
+  принтера без GUI (lpadmin/lpoptions).