Bump version to 0.1.4.2

Ships the AWG_GEN/AWG_PIN installer switches and module-version
surfacing from the previous commit.

awg-ctrl/index.ts

@@ -196,6 +196,28 @@ function genOf(p: AwgParams): "2" | "3.1" {
     return p.HeaderProtectionKey ? "3.1" : "2";
 }
 
+// Версия модуля/tools для /health — показывает оператору, что реально работает
+// в ядре сейчас (см. install.sh: apt может обновить пакет, пока в ядре живёт
+// старый загруженный модуль, коммит 6fdacd7). Загруженная версия важнее версии
+// на диске ровно по той же причине. Вызывается на старте и при restartAwg() —
+// это единственные моменты, когда модуль может реально смениться в течение
+// жизни процесса; из обработчика /health не вызывается — этот роут без
+// авторизации, спавнить подпроцессы на каждый его опрос нельзя.
+function readAwgVersions(): { module: string; tools: string } {
+    let module = "";
+    try {
+        module = readFileSync("/sys/module/amneziawg/version", "utf8").trim();
+    } catch {
+        try { module = run("modinfo -F version amneziawg"); } catch { /* модуль не загружен */ }
+    }
+    let tools = "";
+    try {
+        const out = run("awg --version");
+        tools = out.split(/\s+/).find(t => /^v?\d/.test(t)) ?? "";
+    } catch { /* awg-tools не найден */ }
+    return { module, tools };
+}
+
 // PersistentKeepalive в 3.1 задаётся диапазоном (дефолт клиента AmneziaVPN);
 // в 2.0 это одно число. Уходит и в серверные [Peer], и в клиентский конфиг.
 const KEEPALIVE_BY_GEN: Record<"2" | "3.1", string> = { "2": "25", "3.1": "25-35" };
@@ -203,6 +225,7 @@ const KEEPALIVE_BY_GEN: Record<"2" | "3.1", string> = { "2": "25", "3.1": "25-35
 const runtimeConfig = initConfig();
 const AWG_PARAMS    = readAwgParams();
 const AWG_GEN       = genOf(AWG_PARAMS);
+const AWG_VERSIONS  = readAwgVersions();
 const CONFIG = {
     interface:  "awg1",
     confDir:    "/etc/amnezia/amneziawg",
@@ -216,6 +239,10 @@ const CONFIG = {
     keepalive:  KEEPALIVE_BY_GEN[AWG_GEN],
     awgParams:  AWG_PARAMS,
     gen:        AWG_GEN,
+    // Мутируются в restartAwg() — единственном месте, где модуль может
+    // реально смениться в течение жизни процесса.
+    awgModule:  AWG_VERSIONS.module,
+    awgTools:   AWG_VERSIONS.tools,
 };
 
 interface UserRow {
@@ -582,7 +609,10 @@ function restartAwg() {
     const up = spawnSync("awg-quick", ["up", CONFIG.interface]);
     if (up.status !== 0) throw new Error(`awg-quick up failed: ${up.stderr?.toString()}`);
     syncPeers();
-    logger.info("AWG restart: done");
+    const versions = readAwgVersions();
+    CONFIG.awgModule = versions.module;
+    CONFIG.awgTools  = versions.tools;
+    logger.info("AWG restart: done", versions);
 }
 
 function startInterface() {
@@ -697,7 +727,7 @@ app.get("/health", (_req, res) => {
         server: CONFIG.serverName,
         ip:     CONFIG.serverIp,
         gen:    CONFIG.gen,
-        awg:    { status: up ? "ok" : "down", peers },
+        awg:    { status: up ? "ok" : "down", peers, module: CONFIG.awgModule, tools: CONFIG.awgTools },
     });
 });
 

awg-ctrl/package.json

@@ -1,6 +1,6 @@
 {
   "name": "awg-control",
-  "version": "0.1.4",
+  "version": "0.1.4+2",
   "description": "",
   "main": "dist/index.js",
   "scripts": {

awg-ui/package.json

@@ -1,6 +1,6 @@
 {
   "name": "awg-ui",
-  "version": "0.1.4",
+  "version": "0.1.4+2",
   "private": true,
   "scripts": {
     "dev": "vite",

awg-ui/src/App.css

@@ -406,6 +406,13 @@ body {
     color: var(--neutral-text);
     line-height: 1.2;
 }
+.server-gen-wrap { align-self: flex-start; margin-top: 2px; }
+.server-gen-chip {
+    align-self: flex-start;
+    margin-top: 2px;
+    font-size: 11px;
+    padding: 2px 8px;
+}
 .server-card-peers {
     font-size: 12px;
     color: var(--neutral-text);

awg-ui/src/App.tsx

@@ -36,7 +36,10 @@ export default function App() {
     // вкладок (юзеры, ключи) грузят сами вкладки.
     const startSession = useCallback(async (tok: string) => {
         const { data: h } = await axios.get('/health', { headers: { Authorization: `Bearer ${tok}` } });
-        setServerInfo({ name: h.server || 'VPN', ip: h.ip || '', peers: h.awg?.peers ?? 0, gen: h.gen || '2' });
+        setServerInfo({
+            name: h.server || 'VPN', ip: h.ip || '', peers: h.awg?.peers ?? 0, gen: h.gen || '2',
+            mod: h.awg?.module ?? '', tools: h.awg?.tools ?? '',
+        });
         setStatusText('online:' + (h.server || 'ok') + ' · peers: ' + (h.awg?.peers ?? '?'));
     }, []);
 
@@ -214,7 +217,7 @@ export default function App() {
                         >
                             <div className="sidebar-logo">
                                 <span className="logo-name">Forgetting</span>
-                                <span className="sidebar-version">Alpha 0.1.4</span>
+                                <span className="sidebar-version">Alpha 0.1.4.2</span>
                             </div>
                             <hr className="drawer-divider" />
                             {TABS.map(t => (

awg-ui/src/components/ServerBar.tsx

@@ -1,7 +1,7 @@
 // Copyright (c) 2026 Ivan Vasilev
 // This source code is licensed under the MIT license found in the
 // LICENSE file in the root directory of this source tree.
-import { type ServerInfo } from '../lib/shared';
+import { type ServerInfo, genLabel } from '../lib/shared';
 import { IcoPlus, IcoRefresh } from './icons';
 
 // Сервер-бар: карточка активного сервера + «Добавить сервер» + (на мобильной)
@@ -38,6 +38,16 @@ export default function ServerBar({
                     <div className="server-card-info">
                         <span className="server-card-name">{serverInfo.name}</span>
                         <span className="server-card-ip">{serverInfo.ip}</span>
+                        {(serverInfo.mod || serverInfo.tools) ? (
+                            <span
+                                className="tip-wrap server-gen-wrap"
+                                data-tip={`модуль ${serverInfo.mod || '?'} · tools ${serverInfo.tools || '?'}`}
+                            >
+                                <span className="chip chip--offline server-gen-chip">{genLabel(serverInfo.gen)}</span>
+                            </span>
+                        ) : (
+                            <span className="chip chip--offline server-gen-chip">{genLabel(serverInfo.gen)}</span>
+                        )}
                     </div>
                     <span className="server-card-peers">{serverInfo.peers} peers</span>
                 </div>

awg-ui/src/lib/shared.ts

@@ -21,7 +21,11 @@ export interface ServerInfo {
     ip:    string;
     peers: number;
     gen:   AwgGen;
+    mod:   string;   // версия загруженного модуля amneziawg, из /health awg.module
+    tools: string;   // версия awg-tools, из /health awg.tools
 }
+// На проводе (users.key_gen, /health gen) поколение — '2', человеку показываем '2.0'.
+export const genLabel = (g: AwgGen): string => (g === '3.1' ? 'AWG 3.1' : 'AWG 2.0');
 export interface ApiKey {
     id:         number;
     label:      string;

awg-ui/src/tabs/users/index.tsx

@@ -4,7 +4,7 @@
 import { useState, useEffect, useRef, useCallback } from 'react';
 import QRCode from 'qrcode';
 import {
-    apiFetch, vpnKeyToConf, downloadFile, copyText, bytes, timeAgo,
+    apiFetch, vpnKeyToConf, downloadFile, copyText, bytes, timeAgo, genLabel,
     type User, type PageProps, type AwgGen,
 } from '../../lib/shared';
 import { IcoPlus, IcoRefresh, IcoQR, IcoTrash, IcoGlobe } from '../../components/icons';
@@ -50,7 +50,7 @@ export default function UsersPage({ token, showMsg }: PageProps) {
     // IP и ключевая пара сохраняются, но клиентам нужно заново импортировать ключ.
     const reissueKeys = useCallback(async () => {
         if (!confirm(
-            `Перевыпустить ключи (${stale.length} шт.) на поколении ${serverGen}?\n\n` +
+            `Перевыпустить ключи (${stale.length} шт.) на поколении ${genLabel(serverGen)}?\n\n` +
             'Старые ключи перестанут работать — всем придётся импортировать ключ заново.',
         )) return;
         try {
@@ -162,11 +162,11 @@ export default function UsersPage({ token, showMsg }: PageProps) {
                                     {u.key_gen !== serverGen && (
                                         <span
                                             className="tip-wrap user-gen"
-                                            data-tip={`Ключ выдан на AWG ${u.key_gen}, сервер работает на ${serverGen}`}
+                                            data-tip={`Ключ выдан на ${genLabel(u.key_gen)}, сервер работает на ${genLabel(serverGen)}`}
                                         >
                                             <span className="chip chip--error">
                                                 <span className="chip-dot" />
-                                                AWG {u.key_gen}
+                                                {genLabel(u.key_gen)}
                                             </span>
                                         </span>
                                     )}
@@ -207,7 +207,7 @@ export default function UsersPage({ token, showMsg }: PageProps) {
                                 {u.key_gen !== serverGen && (
                                     <span className="chip chip--error">
                                         <span className="chip-dot" />
-                                        AWG {u.key_gen}
+                                        {genLabel(u.key_gen)}
                                     </span>
                                 )}
                             </div>

cli/package.json

@@ -1,6 +1,6 @@
 {
   "name": "awg-cli",
-  "version": "0.1.4",
+  "version": "0.1.4+2",
   "private": true,
   "dependencies": {
     "tsx": "^4.7.0",

cli/src/index.ts

@@ -196,7 +196,27 @@ async function restart(name: SvcName) {
     await start(name);
 }
 
-function status() {
+// GET /health и разбор JSON-тела. Любая ошибка (не запущен, таймаут, не JSON)
+// молча даёт null — health-строка в status() тогда просто не печатается.
+interface HealthBody {
+    gen?: string;
+    awg?: { module?: string; tools?: string };
+}
+function fetchHealth(url: string, timeoutMs = 1000): Promise<HealthBody | null> {
+    return new Promise(resolve => {
+        const req = http.get(url, res => {
+            let body = "";
+            res.on("data", (c: Buffer) => { body += c; });
+            res.on("end", () => {
+                try { resolve(JSON.parse(body) as HealthBody); } catch { resolve(null); }
+            });
+        });
+        req.on("error", () => resolve(null));
+        req.setTimeout(timeoutMs, () => { req.destroy(); resolve(null); });
+    });
+}
+
+async function status() {
     console.log("");
     for (const name of ALL) {
         const running = isRunning(name);
@@ -205,6 +225,13 @@ function status() {
         const info    = running ? green("running") + `  pid ${pid}` : grey("stopped");
         console.log(`  ${dot} ${SERVICES[name].label.padEnd(12)} ${info}`);
     }
+    if (isRunning("awgctrl")) {
+        const h = await fetchHealth(`http://127.0.0.1:${SERVICES.awgctrl.env.PORT}/health`);
+        if (h?.gen) {
+            const gen = h.gen === "3.1" ? "3.1" : "2.0";
+            console.log(`  ${dim(`AmneziaWG ${gen} · модуль ${h.awg?.module || "?"} · tools ${h.awg?.tools || "?"}`)}`);
+        }
+    }
     console.log("");
 }
 
@@ -287,7 +314,7 @@ async function interactiveMenu() {
 
     const printMenu = () => {
         console.clear();
-        console.log(`\n${bold(`${C.blue}── Forgetting Alpha 0.1.4 ──${C.reset}`)}\n`);
+        console.log(`\n${bold(`${C.blue}── Forgetting Alpha 0.1.4.2 ──${C.reset}`)}\n`);
 
         for (const name of ALL) {
             const running = isRunning(name);
@@ -321,7 +348,7 @@ async function interactiveMenu() {
             case "1": await startAll();             break;
             case "2": await stopAll();              break;
             case "3": await restartAll();           break;
-            case "4": status();                     break;
+            case "4": await status();               break;
             case "5": await setCredentials("user");  break;
             case "6": await setCredentials("pass");  break;
             case "0": rl.close(); process.exit(0);
@@ -350,7 +377,7 @@ async function main() {
         case "start":       await startAll();                                  break;
         case "stop":        await stopAll();                                   break;
         case "restart":     await restartAll();                                break;
-        case "status":      status();                                          break;
+        case "status":      await status();                                    break;
         case "credentials":
             if (sub === "user") await setCredentials("user");
             else if (sub === "pass") await setCredentials("pass");

install.sh

@@ -19,7 +19,7 @@ trap 'rc=$?; echo -e "\n  ${RED}✗ НЕОЖИДАННАЯ ОШИБКА${NC}  с
 [[ $EUID -ne 0 ]]          && fail "Запусти от root: sudo bash install.sh"
 [[ -z "${BASH_VERSION:-}" ]] && fail "Нужен bash: bash install.sh"
 
-VERSION="0.1.4"
+VERSION="0.1.4.2"
 GH_REPO="maeneko/forgetting"
 BASE_URL="https://github.com/${GH_REPO}/releases/download/v${VERSION}"
 PROJECT="/opt/awg-control"
@@ -134,6 +134,22 @@ H2="2122053282-2133204808"
 H3="2133604274-2140756116"
 H4="2143656228-2147444225"
 
+# Поколение протокола и закрепление версии пакета — управляются переменными
+# окружения, задаются ДО запуска: `AWG_GEN=2.0 bash install.sh`.
+#   AWG_GEN=auto (по умолчанию) — как раньше: 3.1, если модуль 3.x и ядро ≥ 5.5,
+#     иначе 2.0, без лишних вопросов.
+#   AWG_GEN=2.0  — не трогать модуль (ни апгрейд, ни перезагрузка), сразу 2.0.
+#   AWG_GEN=3.1  — требовать 3.1: если условия не выполняются, install.sh падает
+#     с диагностикой вместо тихого отката (апстрим ещё нестабилен, см. issues
+#     #215/#216/#217 в amneziawg-linux-kernel-module — тихий откат на 2.0 здесь
+#     нежелателен, если оператор явно просил 3.1).
+AWG_GEN="${AWG_GEN:-auto}"
+[[ "$AWG_GEN" =~ ^(auto|2\.0|3\.1)$ ]] || fail "AWG_GEN должен быть auto, 2.0 или 3.1 (задано: $AWG_GEN)"
+# AWG_PIN=y (по умолчанию) — после успешной установки держит amneziawg{,-dkms,-tools}
+# через `apt-mark hold`: unattended-upgrades не должен подменять модуль под живым
+# сервером (issue #215 — именно так словили регрессию между dkms-сборками).
+AWG_PIN="${AWG_PIN:-y}"
+
 NET_IFACE=$(ip route show default 2>/dev/null | awk '/default/{print $5; exit}')
 [[ -z "$NET_IFACE" ]] && fail "Не могу определить сетевой интерфейс"
 
@@ -457,10 +473,11 @@ fi
 #   - ядро: header protection использует библиотечный chacha-API
 #     (chacha_init/chacha20_crypt), которого нет до 5.5 — модуль там не соберётся
 #     (upstream issue #210). Проблема с nla_put_uint на ядрах < 6.7 уже исправлена.
-# Если 3.1 недоступен — не падаем, а пишем 2.0-конфиг: awg-ctrl определяет
-# поколение по наличию HeaderProtectionKey в конфиге, так что всё продолжит
-# работать ровно как раньше.
-AWG3="y"
+# Если 3.1 недоступен и AWG_GEN=auto — не падаем, а пишем 2.0-конфиг: awg-ctrl
+# определяет поколение по наличию HeaderProtectionKey в конфиге, так что всё
+# продолжит работать ровно как раньше. При AWG_GEN=3.1 недоступность — fail
+# (см. AWG_GEN выше): апстрим модуля ещё нестабилен, тихий откат при явном
+# запросе 3.1 может незаметно подсунуть более слабую обфускацию.
 
 kernel_lt_5_5() {
     local maj min
@@ -469,23 +486,70 @@ kernel_lt_5_5() {
     [[ "$maj" -lt 5 || ( "$maj" -eq 5 && "$min" -lt 5 ) ]]
 }
 
-MOD_VER=$(modinfo -F version amneziawg 2>/dev/null || echo "")
+# 🛑 Версий у модуля две, и путать их нельзя:
+#   modinfo                       — что лежит на диске (после apt/DKMS);
+#   /sys/module/amneziawg/version — что реально загружено в ядро.
+# `apt --only-upgrade` пересобирает модуль, но НЕ переставляет уже загруженный.
+# Ориентироваться на modinfo — значит написать 3.1-конфиг, который старый
+# загруженный модуль отвергнет: `awg setconf` вернёт «Unable to modify
+# interface: Invalid argument», и awg-quick up упадёт. Решает перезагрузка модуля.
+disk_mod_ver()   { modinfo -F version amneziawg 2>/dev/null || echo ""; }
+loaded_mod_ver() { cat /sys/module/amneziawg/version 2>/dev/null || echo ""; }
+
+if [[ "$AWG_GEN" == "2.0" ]]; then
+    AWG3="n"
+    MOD_VER=$(disk_mod_ver)
+    ok "Поколение задано вручную (AWG_GEN=2.0) — модуль не трогаем, ставим 2.0."
+else
+    AWG3="y"
+
+    MOD_VER=$(disk_mod_ver)
     if [[ "${MOD_VER%%.*}" != "3" ]]; then
         warn "Модуль amneziawg версии '${MOD_VER:-неизвестно}' — для AmneziaWG 3.1 нужна 3.x. Пробуем обновить."
+        # Прошлая установка могла закрепить пакет (apt-mark hold, см. ниже) —
+        # снимаем, иначе --only-upgrade молча не тронет held-версию.
+        apt-mark unhold amneziawg amneziawg-dkms amneziawg-tools >/dev/null 2>&1 || true
         apt-get update >/dev/null 2>&1 || true
         DEBIAN_FRONTEND=noninteractive NEEDRESTART_MODE=a \
             apt-get install -y --only-upgrade amneziawg amneziawg-dkms amneziawg-tools >/dev/null 2>&1 || true
-    MOD_VER=$(modinfo -F version amneziawg 2>/dev/null || echo "")
+        MOD_VER=$(disk_mod_ver)
     fi
 
+    # Загруженный отстал от дискового — перезагружаем. Интерфейс держит модуль,
+    # поэтому сначала опускаем его; awg1 на этом шаге ещё не нужен.
+    LOADED_VER=$(loaded_mod_ver)
+    if [[ -n "$LOADED_VER" && "$LOADED_VER" != "$MOD_VER" ]]; then
+        warn "В ядре загружен модуль $LOADED_VER, на диске $MOD_VER — перезагружаем модуль."
+        awg-quick down "$IFACE" 2>/dev/null || true
+        ip link delete dev "$IFACE" 2>/dev/null || true
+        if modprobe -r amneziawg 2>/dev/null && modprobe amneziawg 2>/dev/null; then
+            LOADED_VER=$(loaded_mod_ver)
+            ok "Модуль перезагружен: в ядре теперь $LOADED_VER"
+        else
+            warn "Не удалось перезагрузить модуль (занят?). Нужна перезагрузка сервера."
+        fi
+    fi
+
+    # Дальше решает ТОЛЬКО загруженная версия — именно она обслуживает интерфейс.
+    [[ -n "$LOADED_VER" ]] && MOD_VER="$LOADED_VER"
+
     if [[ "${MOD_VER%%.*}" != "3" ]]; then
         AWG3="n"
-    warn "Модуль остался на версии '${MOD_VER:-неизвестно}' — ставим сервер на AmneziaWG 2.0."
+        if [[ "$AWG_GEN" == "3.1" ]]; then
+            fail "AWG_GEN=3.1 запрошен явно, но в ядре модуль версии '${MOD_VER:-неизвестно}' (на диске $(disk_mod_ver)) — нужна 3.x."
+        fi
+        warn "В ядре модуль версии '${MOD_VER:-неизвестно}' — ставим сервер на AmneziaWG 2.0."
+        [[ "$(disk_mod_ver)" == 3.* ]] && \
+            warn "На диске уже 3.x — после перезагрузки сервера можно переустановить и получить 3.1."
     elif kernel_lt_5_5; then
         AWG3="n"
+        if [[ "$AWG_GEN" == "3.1" ]]; then
+            fail "AWG_GEN=3.1 запрошен явно, но ядро $KERNEL старше 5.5 — header protection не соберётся (upstream issue #210)."
+        fi
         warn "Ядро $KERNEL старше 5.5 — header protection не соберётся (upstream issue #210)."
         warn "Ставим сервер на AmneziaWG 2.0."
     fi
+fi
 
 if [[ "$AWG3" == "y" ]]; then
     ok "AmneziaWG 3.1 доступен (модуль $MOD_VER, ядро $KERNEL)"
@@ -637,7 +701,43 @@ if awg show "$IFACE" &>/dev/null; then
     awg-quick down "$IFACE" 2>/dev/null || true
 fi
 
-awg-quick up "$IFACE" || fail "awg-quick up $IFACE завершился с ошибкой"
+# Подъём интерфейса — единственная настоящая проверка, что ядро приняло
+# 3.1-параметры. Модуль на отказ отвечает лишь «Invalid argument», причину
+# печатает только в dmesg и только при включённом dynamic debug. Поэтому:
+# упали → включаем debug, пробуем ещё раз, показываем причину, и если и это не
+# помогло — снимаем 3.x-ключи и поднимаемся на 2.0, а не валим установку.
+AWG3_KEY_RE='^(HeaderProtectionKey|ContentPaddingAddition|RekeyAfterTime|RekeyTimeout|RejectAfterTime|KeepaliveTimeout|MaxHandshakeAttempts|RandomTrailers|DisableCookies) *='
+
+if ! awg-quick up "$IFACE"; then
+    ip link delete dev "$IFACE" 2>/dev/null || true
+
+    if [[ "$AWG3" != "y" ]]; then
+        fail "awg-quick up $IFACE завершился с ошибкой"
+    fi
+
+    warn "Ядро отвергло конфиг AmneziaWG 3.1. Выясняем причину."
+    echo "module amneziawg +p" > /sys/kernel/debug/dynamic_debug/control 2>/dev/null || true
+
+    if awg-quick up "$IFACE"; then
+        ok "Со второй попытки интерфейс поднялся"
+    else
+        ip link delete dev "$IFACE" 2>/dev/null || true
+        echo "  ── dmesg (последние 15 строк) ─────────────────"
+        dmesg 2>/dev/null | grep -i amneziawg | tail -n 15 | sed 's/^/    /' || true
+        echo "  ───────────────────────────────────────────────"
+
+        cp "$AWG_CONF" "${AWG_CONF}.awg31"
+        sed -i -E "/$AWG3_KEY_RE/d" "$AWG_CONF"
+        AWG3="n"; NEW_GEN="2.0"
+        warn "Откатываемся на AmneziaWG 2.0. Конфиг 3.1 сохранён: ${AWG_CONF}.awg31"
+        [[ "$AWG_GEN" == "3.1" ]] && \
+            warn "Запрошено AWG_GEN=3.1, но интерфейс поднялся на 2.0 — см. ${AWG_CONF}.awg31 и dmesg выше."
+
+        awg-quick up "$IFACE" \
+            || fail "awg-quick up $IFACE не работает даже на 2.0 — смотри dmesg выше"
+        ok "Интерфейс поднят на AmneziaWG 2.0"
+    fi
+fi
 
 # awg-quick не всегда применяет приватный ключ из [Interface]/PostUp
 # (наблюдалось: awg show public-key = none сразу после up). Если ключ не
@@ -655,6 +755,37 @@ else
     fail "Ключ на $IFACE не совпал: ${RUNNING_PUB:-none} ≠ $PUB_KEY"
 fi
 
+TOOLS_VER=$(awg --version 2>/dev/null | awk '{print $2; exit}')
+
+# Закрепляем версию пакета, чтобы unattended-upgrades не подменил модуль под
+# живым сервером (issue #215: между двумя dkms-сборками словили регрессию —
+# хендшейк проходит, данные не идут). Unhold перед апгрейдом уже сделан выше;
+# hold ставим только теперь, когда версия проверена и интерфейс реально поднялся.
+if [[ "$AWG_PIN" == "y" ]]; then
+    apt-mark hold amneziawg amneziawg-dkms amneziawg-tools >/dev/null 2>&1 || true
+    ok "Версия пакета закреплена (apt-mark hold) — снять: apt-mark unhold amneziawg amneziawg-dkms amneziawg-tools"
+fi
+
+GEN_LABEL=$([[ "$AWG3" == "y" ]] && echo "3.1" || echo "2.0")
+ok "AmneziaWG $GEN_LABEL · модуль ${MOD_VER:-?} · tools ${TOOLS_VER:-?}$([[ "$AWG_PIN" == "y" ]] && echo " · версия закреплена")"
+
+# UFW. PostUp делает `iptables -A FORWARD` — правило ДОПИСЫВАЕТСЯ в конец
+# цепочки, а UFW вставляет свои переходы в начало, поэтому до нашего ACCEPT
+# дело не доходит и трафик клиентов наружу режется: в dmesg сыплется
+# «[UFW BLOCK] IN=awg1 OUT=eth0». Симптом — «VPN подключается, интернета нет».
+# Лечится штатным `ufw route allow`, менять DEFAULT_FORWARD_POLICY не нужно.
+if command -v ufw &>/dev/null && ufw status 2>/dev/null | grep -qi '^Status: active'; then
+    echo "  → UFW активен, открываем маршрут и порты"
+    ufw route allow in on "$IFACE" out on "$NET_IFACE" >/dev/null 2>&1 \
+        || warn "ufw route allow не сработал — трафик клиентов может резаться"
+    ufw allow "${AWG_PORT}/udp" >/dev/null 2>&1 || warn "не удалось открыть ${AWG_PORT}/udp"
+    ufw allow "${UI_PORT}/tcp"  >/dev/null 2>&1 || warn "не удалось открыть ${UI_PORT}/tcp"
+    ufw reload >/dev/null 2>&1 || true
+    ok "UFW: форвардинг $IFACE → $NET_IFACE, порты ${AWG_PORT}/udp и ${UI_PORT}/tcp"
+else
+    echo "  → UFW не активен, правила фаервола не трогаем"
+fi
+
 step "6/7  npm install"
 
 npm_install_all