From 5956b21fcc724247ea815458846766bfefd37e61 Mon Sep 17 00:00:00 2001
From: dttb <ai@MacBookPro.lan>
Date: Wed, 29 Apr 2026 07:51:50 +0300
Subject: [PATCH] =?UTF-8?q?=D0=9C=D0=9C=D0=A4=D0=91=20=D0=AE=D1=80=D0=B8?=
 =?UTF-8?q?=D0=B9:=20=D0=B0=D0=BF=D0=B3=D1=80=D0=B5=D0=B9=D0=B4=20Win10?=
 =?UTF-8?q?=E2=86=92Win11=2025H2=20+=20=D0=BE=D1=82=D1=87=D1=91=D1=82=20?=
 =?UTF-8?q?=D0=BA=D0=BB=D0=B8=D0=B5=D0=BD=D1=82=D1=83=20PDF?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 ...2026-04-28-netbird-watchdog-lxc-132-137.md |  66 +++++
 ...26-04-28-niikn-uookn-sev-gov-fakeip-fix.md |  56 ++++
 ...�-сессии-которых-уже-очень-много-можещь-почис.md |  23 ++
 ...�-сессии-которых-уже-очень-много-можещь-почис.md |  23 ++
 ...�-сессии-которых-уже-очень-много-можещь-почис.md |  33 +++
 ...�-сессии-которых-уже-очень-много-можещь-почис.md |  32 +++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 254 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 261 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 257 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 263 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 257 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 253 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 258 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 257 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 249 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 253 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 263 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 260 +++++++++++++++++
 ...-04-28-134112-можешь-найти-кп-мичуринец.md |  32 +++
 ...-04-28-134235-можешь-найти-кп-мичуринец.md |  36 +++
 ...-04-28-140758-можешь-найти-кп-мичуринец.md |  32 +++
 ...-04-28-141015-можешь-найти-кп-мичуринец.md |  23 ++
 ...-04-28-141423-можешь-найти-кп-мичуринец.md |  34 +++
 ...-04-28-142120-можешь-найти-кп-мичуринец.md |  29 ++
 ...-04-28-142300-можешь-найти-кп-мичуринец.md |  29 ++
 ...-04-28-143138-можешь-найти-кп-мичуринец.md |  29 ++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 265 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 257 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 260 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 257 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 255 ++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 258 +++++++++++++++++
 ...для-claude-code-развёртывание-rustdesk-api-s.md | 256 +++++++++++++++++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  30 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  30 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  25 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  23 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  30 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  25 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  33 +++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  31 ++
 ...на-компе-юрия-продолжим-проверь-он-сети.md |  25 ++
 projects/dttb/vpn-clients.md                  |  81 ++++++
 projects/glavtorg/README.md                   |  21 ++
 projects/mmfb/otchet-yuri-2026-04.md          | 138 +++++++++
 projects/mmfb/otchet-yuri-2026-04.pdf         | Bin 0 -> 116153 bytes
 projects/mmfb/yuri-vitalievich.md             | 170 +++++++----
 snippets/amnezia-vpn-client-instruction.md    |  61 ++++
 snippets/apple-id-us-on-russia.md             |  61 ++++
 snippets/clients/yaroslav-amnezia-setup.md    | 169 +++++++++++
 .../netbird-watchdog/netbird-watchdog.service |   7 +
 snippets/netbird-watchdog/netbird-watchdog.sh |  38 +++
 .../netbird-watchdog/netbird-watchdog.timer   |  10 +
 snippets/telegraph-md-to-page.py              | 272 ++++++++++++++++++
 .../telegraph-publish-client-instruction.py   | 171 +++++++++++
 templates/vpn-client.md                       |  23 ++
 77 files changed, 8664 insertions(+), 55 deletions(-)
 create mode 100644 decisions/2026-04-28-netbird-watchdog-lxc-132-137.md
 create mode 100644 decisions/2026-04-28-niikn-uookn-sev-gov-fakeip-fix.md
 create mode 100644 notes/claude/2026-04-27-113631-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
 create mode 100644 notes/claude/2026-04-27-113658-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
 create mode 100644 notes/claude/2026-04-27-113851-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
 create mode 100644 notes/claude/2026-04-27-115429-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
 create mode 100644 notes/claude/2026-04-28-113558-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-113833-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-114407-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-114727-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-121230-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-122042-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-122436-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-123440-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-123746-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-124148-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-124222-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-124737-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-131205-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-131714-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-132639-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-132949-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-134112-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-134235-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-140758-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-141015-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-141423-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-142120-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-142300-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-143138-можешь-найти-кп-мичуринец.md
 create mode 100644 notes/claude/2026-04-28-225344-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-225834-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-230326-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-230902-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-232212-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-232315-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-232613-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-232745-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-28-233128-промт-для-claude-code-развёртывание-rustdesk-api-s.md
 create mode 100644 notes/claude/2026-04-29-001625-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-001915-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-002932-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-003731-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-003802-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-003836-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-003904-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004009-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004111-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004212-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004319-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004424-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004523-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004630-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004734-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004838-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-004941-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-005618-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-005622-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-070034-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-070530-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-070744-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-071329-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 notes/claude/2026-04-29-074459-на-компе-юрия-продолжим-проверь-он-сети.md
 create mode 100644 projects/dttb/vpn-clients.md
 create mode 100644 projects/mmfb/otchet-yuri-2026-04.md
 create mode 100644 projects/mmfb/otchet-yuri-2026-04.pdf
 create mode 100644 snippets/amnezia-vpn-client-instruction.md
 create mode 100644 snippets/apple-id-us-on-russia.md
 create mode 100644 snippets/clients/yaroslav-amnezia-setup.md
 create mode 100644 snippets/netbird-watchdog/netbird-watchdog.service
 create mode 100644 snippets/netbird-watchdog/netbird-watchdog.sh
 create mode 100644 snippets/netbird-watchdog/netbird-watchdog.timer
 create mode 100755 snippets/telegraph-md-to-page.py
 create mode 100644 snippets/telegraph-publish-client-instruction.py
 create mode 100644 templates/vpn-client.md

diff --git a/decisions/2026-04-28-netbird-watchdog-lxc-132-137.md b/decisions/2026-04-28-netbird-watchdog-lxc-132-137.md
new file mode 100644
index 0000000..f9a0ced
--- /dev/null
+++ b/decisions/2026-04-28-netbird-watchdog-lxc-132-137.md
@@ -0,0 +1,66 @@
+---
+date: 2026-04-28
+type: decision
+tags: [decision, openclaw, netbird, code-server, monitoring]
+---
+
+# 2026-04-28: NetBird watchdog на LXC 132 и 137 (фикс "бот молчит")
+
+## Симптом
+
+Олег пишет Максимке (openclaw, LXC 137) с 10:10 до 11:09 — **9 сообщений без ответа**. В логах gateway:
+
+```
+FailoverError: LLM request failed: network connection error
+502 [kiro/claude-sonnet-4.5]: fetch failed (reset after 1s)
+502 [claude/claude-sonnet-4-6]: fetch failed (reset after 5s)
+502 [codex/gpt-5.4]: fetch failed (reset after 2s)
+```
+
+Все 3 модели в failover-цепочке падают с TCP-reset за 1-5 секунд.
+
+## Корень
+
+NetBird daemon на **LXC 132 (code-server, OmniRoute + CLIProxy)** в зомби-состоянии:
+
+```
+Management: Connected
+Signal: Connected
+Relays: 0/4 Available     ← застряло
+Nameservers: 0/0 Available
+```
+
+DNS-запросы к `1.1.1.1` через `wt0`-туннель падают мгновенно с `write: required key not available` — WireGuard handshake с пиром не завершён, ключ не загружен в ядро. Поэтому curl на `api.anthropic.com` / `api.openai.com` отвечает `HTTP 000` за 0.0001s. CLIProxy без апстрима возвращает HTTP 500 на каждый POST.
+
+Ручной `systemctl restart netbird` сразу чинит — Relays поднимаются 4/4, DNS работает, curl Anthropic = 405, OpenAI = 401.
+
+## Решение
+
+Watchdog на LXC 132 и LXC 137:
+
+- `/usr/local/bin/netbird-watchdog.sh` — проверяет `netbird status`. Если `Relays: 0/N` или `Peers count: 0/N` (при N>0 и Management=Connected) — `systemctl restart netbird`. Минимум 5 мин между рестартами (lock-файл `/run/netbird-watchdog.last-restart`).
+- `netbird-watchdog.service` (oneshot) + `netbird-watchdog.timer` (каждые 2 мин).
+
+## Деплой
+
+```bash
+for CT in 132 137; do
+  pct push $CT netbird-watchdog.sh /usr/local/bin/ --perms 0755
+  pct push $CT netbird-watchdog.service /etc/systemd/system/
+  pct push $CT netbird-watchdog.timer /etc/systemd/system/
+  pct exec $CT -- systemctl daemon-reload
+  pct exec $CT -- systemctl enable --now netbird-watchdog.timer
+done
+```
+
+Скрипты — `snippets/netbird-watchdog/`.
+
+## Логи
+
+Решение пишет в journalctl с tag `netbird-watchdog`:
+
+```bash
+journalctl -t netbird-watchdog -n 20
+```
+
+Если за неделю не было ни одного срабатывания — проблема была разовой. Если срабатывает регулярно — нужно копать корень почему wireguard handshake разваливается (MTU? фрагментация UDP? провайдер режет?).
diff --git a/decisions/2026-04-28-niikn-uookn-sev-gov-fakeip-fix.md b/decisions/2026-04-28-niikn-uookn-sev-gov-fakeip-fix.md
new file mode 100644
index 0000000..4fce220
--- /dev/null
+++ b/decisions/2026-04-28-niikn-uookn-sev-gov-fakeip-fix.md
@@ -0,0 +1,56 @@
+---
+date: 2026-04-28
+type: decision
+tags: [decision, niikn, network, dns, podkop]
+---
+
+# 2026-04-28: Открыть uookn.sev.gov.ru из НИИКН (DNS override)
+
+## Проблема
+
+Сотрудники НИИКН жалуются — не открывается `https://uookn.sev.gov.ru/` (Управление по охране объектов культурного наследия Севастополя, на Bitrix).
+
+## Диагноз
+
+По алгоритму [[notes/govru-diagnosis]]:
+
+| Точка | HTTP | Real IP |
+|-------|------|---------|
+| Mac (Ростелеком Истра) | 200 | 213.59.161.38 |
+| pve-LionART (чистый WAN) | 200 | 213.59.161.38 |
+| pve-niikn vmbr0 (МТС B2B) | 200 | 213.59.161.38 |
+| OpenWrt 192.168.1.50 (DNS клиентов НИИКН) | — | **198.18.1.123 (FakeIP)** |
+
+Оба WAN отдают сайт. МТС не блочит. **Причина** — `sev.gov.ru` подпадает под podkop community-list (вероятно `russia_outside`), DNS подменяется FakeIP, трафик уходит в awg0 Финляндию и не возвращается. Тот же паттерн, что `zakupki.gov.ru`.
+
+## Решение
+
+OpenWrt `192.168.1.50` — добавлен root-домен в dnsmasq `server=`:
+
+```bash
+ssh root@192.168.1.50
+uci add_list dhcp.@dnsmasq[0].server='/sev.gov.ru/8.8.8.8'
+uci commit dhcp
+/etc/init.d/dnsmasq restart
+```
+
+NetBird route **НЕ требуется** (в отличие от nspd).
+
+## Проверка
+
+```
+DNS 192.168.1.50:    uookn.sev.gov.ru → 213.59.161.38
+МТС vmbr0 + curl:    HTTP 200, 216 KB
+OpenWrt curl:        HTTP 200, 216 KB
+```
+
+Клиентам НИИКН — `ipconfig /flushdns` для сброса кэша FakeIP.
+
+## Текущий список dnsmasq override на 192.168.1.50
+
+```
+'127.0.0.42'                 # podkop sing-box
+'/nspd.gov.ru/8.8.8.8'       # + NetBird route 2.63.246.0/24
+'/zakupki.gov.ru/8.8.8.8'    # только DNS
+'/sev.gov.ru/8.8.8.8'        # только DNS — добавлено сегодня
+```
diff --git a/notes/claude/2026-04-27-113631-вопрос-сессии-которых-уже-очень-много-можещь-почис.md b/notes/claude/2026-04-27-113631-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
new file mode 100644
index 0000000..6026bf9
--- /dev/null
+++ b/notes/claude/2026-04-27-113631-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-27
+type: claude-session
+session_id: dfd000ce-577d-46c3-8842-66ffd2e175a3
+started: 2026-04-27T08:33:30.181Z
+ended: 2026-04-27T08:36:31.981Z
+messages: 2
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# вопрос сессии которых уже очень много можещь почистить но вся предыдущая информа
+
+## Запрос
+
+вопрос сессии которых уже очень много можещь почистить но вся предыдущая информация должна быть сохраннена
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Закоммичено: [4b53b9a](commit) — 361 файл, -11279 строк. Push не делаю без отдельного запроса. Остальные изменения (credentials, glavtorg/README, ММФБ, новые VPN-клиенты, snippets) — не моих рук, оставил как есть.
+
+---
+*Автосохранено из session [`dfd000ce`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/dfd000ce-577d-46c3-8842-66ffd2e175a3.jsonl) — 2 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-27-113658-вопрос-сессии-которых-уже-очень-много-можещь-почис.md b/notes/claude/2026-04-27-113658-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
new file mode 100644
index 0000000..e1e9891
--- /dev/null
+++ b/notes/claude/2026-04-27-113658-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-27
+type: claude-session
+session_id: dfd000ce-577d-46c3-8842-66ffd2e175a3
+started: 2026-04-27T08:33:30.181Z
+ended: 2026-04-27T08:36:58.987Z
+messages: 3
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# вопрос сессии которых уже очень много можещь почистить но вся предыдущая информа
+
+## Запрос
+
+вопрос сессии которых уже очень много можещь почистить но вся предыдущая информация должна быть сохраннена
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Запушено: `8599da3..4b53b9a` → `git.dttb.ru/oleg/knowledge-base`. Через 5–15 минут изменения подхватят code-server (LXC 132) и openclaw (LXC 137) по cron.
+
+---
+*Автосохранено из session [`dfd000ce`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/dfd000ce-577d-46c3-8842-66ffd2e175a3.jsonl) — 3 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-27-113851-вопрос-сессии-которых-уже-очень-много-можещь-почис.md b/notes/claude/2026-04-27-113851-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
new file mode 100644
index 0000000..a122d8e
--- /dev/null
+++ b/notes/claude/2026-04-27-113851-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
@@ -0,0 +1,33 @@
+---
+date: 2026-04-27
+type: claude-session
+session_id: dfd000ce-577d-46c3-8842-66ffd2e175a3
+started: 2026-04-27T08:33:30.181Z
+ended: 2026-04-27T08:38:51.314Z
+messages: 4
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# вопрос сессии которых уже очень много можещь почистить но вся предыдущая информа
+
+## Запрос
+
+вопрос сессии которых уже очень много можещь почистить но вся предыдущая информация должна быть сохраннена
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Домофон **не появился**. Ситуация та же, что 4 дня назад.
+
+**Сейчас на MikroTik 192.168.1.1:**
+- `192.168.1.9` (AirPort Express) — ARP `stale`, ping 0/4 (100% loss)
+- `192.168.1.71` (Hikvision панель) — ARP `stale`, ping 0/4 (100% loss)
+
+MAC-адреса оба те же (54:E4:3A:E5:3A:77 и 24:28:FD:51:59:7E), значит после AirPort никто новый в эту пару PLC не приходил.
+
+**Что нужно физически в НИИКН** (как и 23-го):
+1. Перезагрузить AirPort Express (выдернуть/воткнуть из розетки)
+2. Глянуть LED на обоих TP
+
+---
+*Автосохранено из session [`dfd000ce`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/dfd000ce-577d-46c3-8842-66ffd2e175a3.jsonl) — 4 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-27-115429-вопрос-сессии-которых-уже-очень-много-можещь-почис.md b/notes/claude/2026-04-27-115429-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
new file mode 100644
index 0000000..98157bd
--- /dev/null
+++ b/notes/claude/2026-04-27-115429-вопрос-сессии-которых-уже-очень-много-можещь-почис.md
@@ -0,0 +1,32 @@
+---
+date: 2026-04-27
+type: claude-session
+session_id: dfd000ce-577d-46c3-8842-66ffd2e175a3
+started: 2026-04-27T08:33:30.181Z
+ended: 2026-04-27T08:54:29.500Z
+messages: 5
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# вопрос сессии которых уже очень много можещь почистить но вся предыдущая информа
+
+## Запрос
+
+вопрос сессии которых уже очень много можещь почистить но вся предыдущая информация должна быть сохраннена
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+ПК Юрия проходит **все требования Windows 11**:
+
+| Требование | Что есть | ✓ |
+|---|---|---|
+| CPU 64-bit, 2+ ядра, 1ГГц+ | i5-8250U, 4×1.6 ГГц, 64-bit | ✓ |
+| **CPU в списке совместимости** | i5-8250U (Kaby Lake-R, 8th gen) — есть в [официальном списке Microsoft](https://learn.microsoft.com/windows-hardware/design/minimum/supported/windows-11-supported-intel-processors) | ✓ |
+| RAM ≥ 4 ГБ | 7.9 ГБ | ✓ |
+| Диск ≥ 64 ГБ | 237 ГБ, свободно 70.8 | ✓ |
+| Системный диск GPT | GPT | ✓ |
+| UEFI Secure 
+
+---
+*Автосохранено из session [`dfd000ce`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/dfd000ce-577d-46c3-8842-66ffd2e175a3.jsonl) — 5 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-28-113558-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-113558-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..d2efb85
--- /dev/null
+++ b/notes/claude/2026-04-28-113558-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T08:35:58.057Z
+messages: 2
+tools: [Bash, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Подтвердилось: бинарь `hbbs` — чистый OSS (поддерживает только `ALWAYS_USE_RELAY`), `MUST_LOGIN` он игнорирует. Apt-репозиторий с pro-версией не подключён, пакет ставился локально community-script'ом.
+
+## Стоп — нужно твоё решение
+
+**Главная цель твоего промта — "техник Клиента-А не может подключиться к Клиенту-Б даже зная ID и пароль".** В терминах rustdesk-стека это именно `MUST_LOGIN=Y`, который читает `hbbs-pro`. С OSS hbbs этого не получить никаким конфигом — бинарь физически не умеет.
+
+Раз
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 2 сообщ., тулы: Bash, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-28-113833-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-113833-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..8dd7c73
--- /dev/null
+++ b/notes/claude/2026-04-28-113833-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,254 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T08:38:33.580Z
+messages: 3
+tools: [Bash, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+**A1.**
+
+Почему именно A1:
+- A2 не закрывает твою главную задачу из промта (изоляция Клиента-А от Клиента-Б). Тогда вся миграция теряет смысл.
+- A3 (Docker s6) технически правильнее, но *сейчас* — overkill: LXC 2G диск, Docker не стоит, надо расширять rootfs, ставить Docker, делать compose, переносить БД, тестировать миграцию схемы. Это половина дня работы и больше точек отказа ради того же результата.
+- A1 — три команды (`systemctl stop`, `cp` двух бинарей, `systemctl start`) поверх работающей 
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 3 сообщ., тулы: Bash, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-28-114407-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-114407-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..6fc50d9
--- /dev/null
+++ b/notes/claude/2026-04-28-114407-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,261 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T08:44:07.272Z
+messages: 4
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+## ✅ Фаза 2 успешно завершена
+
+**Главное — посмотри в hbbs.log:**
+
+```
+[2026-04-28 11:43:07] Private key comes from id_ed25519
+[2026-04-28 11:43:07] Key: R0lA4r77hAGw6YRL1qG3JioVqQ0Q0fJfzkwlAGqR6jU=  ← тот же ключ
+[2026-04-28 11:43:07] Listening on tcp/udp :21116
+[2026-04-28 11:43:07] Listening on websocket :21118
+[2026-04-28 11:43:07] relay-servers=["remot.dttb.ru:21117"]
+[2026-04-28 11:43:07] ALWAYS_USE_RELAY=N
+[2026-04-28 11:43:07] MUST_LOGIN=Y                                     ← включено
+`
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 4 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-28-114727-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-114727-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..86f0cf4
--- /dev/null
+++ b/notes/claude/2026-04-28-114727-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,257 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T08:47:27.682Z
+messages: 5
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+## Что в NPM реально настроено
+
+| Элемент | Куда смотрит | Должно быть | Статус |
+|---|---|---|---|
+| Proxy Host 14 (`remot.dttb.ru`) | `10.0.0.43:21114` | `10.0.0.244:21114` | **мёртвый IP → 502 Bad Gateway** |
+| Stream 30 (TCP 21114) | `10.0.0.44:21114` | вообще лишний (это HTTP API, идёт через 443) | — |
+| Stream 31 (TCP 21115) | `10.0.0.44:21115` | `10.0.0.244:21115` | мёртвый IP |
+| Stream 32 (UDP 21116) | `10.0.0.44:21116` | `10.0.0.244:21116` | мёртвый IP |
+| Stream 33 (TCP 21117) | `10.0
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 5 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-28-121230-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-121230-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..0209513
--- /dev/null
+++ b/notes/claude/2026-04-28-121230-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,263 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:12:30.649Z
+messages: 6
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Отчёт записан. Финальный summary.
+
+## ✅ Миграция RustDesk OSS → lejianwen-pro завершена (Вариант A1)
+
+### Что работает
+
+| Компонент | Статус |
+|---|---|
+| `https://remot.dttb.ru/_admin/` | **200 OK** (раньше 502) |
+| `https://remot.dttb.ru/swagger/index.html` | **200** |
+| `MUST_LOGIN=Y` в hbbs.log | **подтверждено** |
+| Ключ `id_ed25519` sha256 до/после | **идентичен** |
+| 13 существующих peers, БД, NetBird | **не тронуты** |
+| Сервисы (hbbs/hbbr/api) | active |
+| Все 7 портов 21114-21119 | слу
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 6 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-28-122042-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-122042-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..ac76e05
--- /dev/null
+++ b/notes/claude/2026-04-28-122042-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,257 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:20:42.414Z
+messages: 8
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово, всё в kb и запушено в Gitea.
+
+## Что сохранено
+
+| Файл | Статус |
+|---|---|
+| [decisions/2026-04-28-rustdesk-lejianwen-pro-migration.md](decisions/2026-04-28-rustdesk-lejianwen-pro-migration.md) | новый — полная история миграции, грабли, варианты, rollback |
+| [projects/dttb/rustdesk.md](projects/dttb/rustdesk.md) | новый справочник по серверу (порты, ключи, CLI, шаблон) |
+| [projects/dttb/credentials.md](projects/dttb/credentials.md) | добавлен блок RustDesk Server (admin pw, JWT, publi
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 8 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-28-122436-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-122436-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..183937f
--- /dev/null
+++ b/notes/claude/2026-04-28-122436-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,253 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:24:36.345Z
+messages: 8
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Закоммичено и запушено (`5f40c26`).
+
+Попробуй обновить вкладку с `/webclient2/#/134222114` — теперь должно открыться (301 → `/webclient/`, hash остаётся, Flutter возьмёт peer-id 134222114 и подключится).
+
+Если в браузере есть кеш от 404 — `Cmd+Shift+R` (hard reload) или открой ссылку в новой вкладке.
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 8 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-28-123440-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-123440-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..8c3a358
--- /dev/null
+++ b/notes/claude/2026-04-28-123440-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,258 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:34:40.329Z
+messages: 9
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Конфиг отдаётся с правильным `ws_host`. **Скорее всего у тебя в браузере закеширован старый webclient-config + Service Worker.**
+
+В Chrome (вкладка с RustDesk):
+1. **F12** (DevTools) → вкладка **Application**
+2. Левый блок: **Storage → Clear site data** (нажми кнопку "Clear site data")
+3. Закрой вкладку, открой заново `https://remot.dttb.ru/webclient/`
+
+Или быстрее: правой кнопкой по reload → "Empty Cache and Hard Reload".
+
+Если после этого всё равно ошибка — открой DevTools → Network → попробуй
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 9 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-28-123746-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-123746-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..294b729
--- /dev/null
+++ b/notes/claude/2026-04-28-123746-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,257 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 6936f7cb-387a-4118-a3da-49367030abce
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:37:46.829Z
+messages: 10
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Нет подключенного браузера — у тебя похоже не стоит расширение **"Claude in Chrome"**. Без него я не могу управлять твоим браузером удалённо.
+
+Два варианта:
+
+**Вариант 1 — поставь расширение (5 минут):**
+https://chromewebstore.google.com/detail/claude-for-chrome/jacalmlcbihecbjdhjhjegelcbpljkjg
+После установки нажмёшь иконку → "Connect to Claude" → я смогу открыть webclient у тебя в Chrome, посмотреть DevTools-консоль/Network и понять причину ошибки.
+
+**Вариант 2 — diy debug, ты делаешь, я смотр
+
+---
+*Автосохранено из session [`6936f7cb`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/6936f7cb-387a-4118-a3da-49367030abce.jsonl) — 10 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-124148-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-124148-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..6820c3b
--- /dev/null
+++ b/notes/claude/2026-04-28-124148-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,249 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:41:48.228Z
+messages: 11
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Жду. После установки расширения нажми его иконку в правом верхнем углу Chrome → "Connect" / "Pair with Claude". Когда подключишься — напиши "готово" или просто "ок", и я проверю список браузеров и пойду дебажить webclient у тебя.
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 11 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-124222-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-124222-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..c4a4cbe
--- /dev/null
+++ b/notes/claude/2026-04-28-124222-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:42:22.019Z
+messages: 12
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Расширение пока не подключено к моей сессии. Проверь:
+
+1. **Кликни на иконку Claude в Chrome** (паззл-иконка справа от адресной строки → "Claude"). Открывается панель.
+2. **Войди в свой Anthropic-аккаунт** в этой панели — без логина расширение неактивно.
+3. **В панели должна быть кнопка типа "Allow Claude on this site" или "Pair / Connect"** — нажми её.
+
+Ещё одна частая штука: после установки нужно **перезапустить Chrome** (закрыть все окна) или открыть `chrome://extensions/` → найти Claude → уб
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 12 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-124737-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-124737-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..e6101bd
--- /dev/null
+++ b/notes/claude/2026-04-28-124737-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T09:47:37.636Z
+messages: 14
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Это другое — у тебя открылся Claude **внутри** Chrome (как помощник в боковой панели). А мне нужен MCP-bridge, чтобы я (этот Claude из терминала) дотягивался до твоего браузера. Это разные вещи, и MCP-bridge у тебя видимо не настроен — `list_connected_browsers` пуст.
+
+Не будем тратить время на это. Сделаем проще — diy debug:
+
+1. Перейди в Chrome на вкладку RustDesk (`https://remot.dttb.ru/webclient/#/`)
+2. Нажми **F12** (или `Cmd+Opt+I`) → откроется DevTools панель
+3. Сверху в DevTools переключи
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 14 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-131205-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-131205-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..27140ae
--- /dev/null
+++ b/notes/claude/2026-04-28-131205-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T10:12:05.080Z
+messages: 14
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+WebSocket-коннект к `remot.dttb.ru` **установился** (статус Finished, тип websocket) — значит handshake прошёл, NPM правильно проксирует. Но "Pending" → видимо соединение открыто, ничего не передаётся, либо сервер сразу закрывает.
+
+И сверху видно **❌37 ошибок в Console** — там и будет суть.
+
+**Сделай два клика:**
+
+1. Кликни **по строке `remot.dttb.ru`** (первая, с типом websocket) → справа в Network появятся вкладки **Headers / Messages / Initiator**. Кликни **Messages** — там видно frames котор
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 14 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-131714-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-131714-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..067d541
--- /dev/null
+++ b/notes/claude/2026-04-28-131714-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,253 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T10:17:14.291Z
+messages: 14
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+NPM streams API не принимает `certificate_id` (отдаёт 400 `additional properties` — TLS-termination на streams через API не настраивается, только через UI с другой схемой). Я уперся.
+
+## Что мы выяснили из твоих скриншотов
+
+WebClient (Flutter в браузере, версия из rustdesk-api 2.7) **жёстко** строит ws-URL как `wss://<id-host>:<id-port+2>` = `wss://remot.dttb.ru:21118`. Наш `window.ws_host = 'wss://remot.dttb.ru'` он **игнорирует** — это фича только новой версии WebClient'а, которой в твоём 2.7 
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 14 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-132639-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-132639-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..23b3368
--- /dev/null
+++ b/notes/claude/2026-04-28-132639-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,263 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T10:26:39.249Z
+messages: 15
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Откатил всё к стабильному состоянию. Делал TLS termination в NPM (custom `stream.conf`) — но упёрся в более фундаментальную проблему.
+
+## Главный вывод: web-client *сейчас* не получится "за минуту"
+
+**Что я обнаружил при попытке:**
+
+`docker port npm-app-1` показывает что **NPM публикует наружу контейнера только 80, 81, 443**. Порты **21115-21119 не проброшены**:
+
+```
+80/tcp -> 0.0.0.0:80
+81/tcp -> 0.0.0.0:81
+443/tcp -> 0.0.0.0:443
+```
+
+То есть **streams 21115-21119, которые ты создал в NPM, нико
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 15 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-132949-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-132949-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..196a739
--- /dev/null
+++ b/notes/claude/2026-04-28-132949-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,260 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T10:29:49.046Z
+messages: 16
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Закоммичено (`ebe4358`).
+
+## Итог
+
+**Стабильное состояние сейчас:**
+- Desktop RustDesk-клиенты работают как раньше + теперь с `MUST_LOGIN=Y` (изоляция через адресные книги)
+- 13 peers активны, БД сохранена, ключ тот же
+- `https://remot.dttb.ru/_admin/` работает с новым admin pw
+- Web-client отложен — задокументировано в [projects/dttb/rustdesk.md](projects/dttb/rustdesk.md) что и почему
+
+**Тебе осталось руками:**
+1. Войти в [https://remot.dttb.ru/_admin/](https://remot.dttb.ru/_admin/) (admin / 
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 16 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-134112-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-134112-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..0f0421a
--- /dev/null
+++ b/notes/claude/2026-04-28-134112-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,32 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T10:41:12.627Z
+messages: 2
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Прошёлся по vault — **ни цен, ни истории закупок UniFi не нашёл**. Что есть только инвентарь установленного железа:
+
+**Знаменское** ([projects/dttb/znamenskoye-network-topology.md](projects/dttb/znamenskoye-network-topology.md)):
+- 1× UDM-Pro
+- 4× коммутатора (1× USW-16-PoE `USL16PB`, 3× USW Lite 16 PoE `USL16LPB`)
+- 3× **U6-LR** (1× BZ2LR Гараж + 2× UALR6v2 Охрана/Гостевой)
+
+**Бенелюкс** ([claude-memory/benelux-topology.md](claude-memory/benelux-topology.md)):
+- 1× Cloud Key Gen2 Plus (UCKP)
+- 
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 2 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-28-134235-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-134235-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..9398f89
--- /dev/null
+++ b/notes/claude/2026-04-28-134235-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,36 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T10:42:35.082Z
+messages: 3
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Вот закупка из **КП-Мичуринец-Unifi.md** (Nextcloud, корень admin), от **18 марта 2026**:
+
+### Закупка через ubiquiti.ru
+| Позиция | Кол-во | Цена/шт | Сумма |
+|---|---|---|---|
+| USW-LITE-16-POE | 1 | 20 550 ₽ | 20 550 ₽ |
+| **U7-LR** (WiFi 7) | 4 | 18 073 ₽ | 72 292 ₽ |
+| U-POE-AT (инжектор) | 3 | 2 900 ₽ | 8 700 ₽ |
+| | | **Итого** | **101 542 ₽** |
+
+### В наличии (без оплаты)
+- Ubiquiti USG (маршрутизатор)
+- Ubiquiti U6-LR (на 3-й этаж)
+- Orange Pi Zero 3 (4 ГБ) — UniFi controller + Podkop +
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 3 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-28-140758-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-140758-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..1aee95d
--- /dev/null
+++ b/notes/claude/2026-04-28-140758-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,32 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T11:07:58.400Z
+messages: 6
+tools: [Bash, Read]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+## Диагноз: FakeIP ломает (тот же паттерн, что nspd/zakupki)
+
+**Тесты:**
+- pve-LionART (чистый WAN) → **HTTP 200**
+- pve-niikn (МТС WAN, vmbr0) → **HTTP 200**, сайт отдаёт нормально (Bitrix, 216 KB)
+- OpenWrt 192.168.1.50 на запрос uookn.sev.gov.ru → **198.18.1.123** (FakeIP sing-box)
+
+Реальный IP `213.59.161.38` (ASN 59833, Севастополь). Оба WAN отдают сайт, **МТС не блочит**. Значит NetBird route не нужен — только DNS-override в dnsmasq OpenWrt, как для `zakupki.gov.ru`.
+
+`sev.gov.ru` подпадае
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 6 сообщ., тулы: Bash, Read*
diff --git a/notes/claude/2026-04-28-141015-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-141015-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..00dd5e4
--- /dev/null
+++ b/notes/claude/2026-04-28-141015-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T11:10:15.749Z
+messages: 7
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Сайт работает, конфиг сохранён, decisions и memory обновлены. Клиенту в НИИКН пусть сделает `ipconfig /flushdns`.
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 7 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-04-28-141423-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-141423-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..18175bc
--- /dev/null
+++ b/notes/claude/2026-04-28-141423-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,34 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T11:14:23.879Z
+messages: 9
+tools: [Bash, Edit, Read, Skill, Write]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+## Итог: 🔴 Бот молчит весь час
+
+| Что | Статус |
+|---|---|
+| LXC 137 / gateway | ✅ running, active |
+| CLIProxy (LXC 132) | ✅ active, **перезапущен 1m 49s назад** (11:12 UTC) |
+| Telegram 1292155421 (Олег) | 🔴 **9 сообщений с 10:10 до 11:09 — ни одного ответа**, всё `FailoverError` |
+| Все 3 модели omniroute | 🔴 `kr/claude-sonnet-4.5`, `cc/claude-sonnet-4-6`, `cx/gpt-5.4` — **все возвращают 502 "fetch failed (reset after 1-5s)"** |
+
+## Корень проблемы
+
+Не "Network unreachable" (это было бы оффла
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 9 сообщ., тулы: Bash, Edit, Read, Skill, Write*
diff --git a/notes/claude/2026-04-28-142120-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-142120-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..30c9f22
--- /dev/null
+++ b/notes/claude/2026-04-28-142120-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,29 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T11:21:20.798Z
+messages: 11
+tools: [Bash, Edit, Read, Skill, Write]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+## Готово ✅
+
+**Что было:** на LXC 132 (code-server) NetBird-daemon застрял — `Management: Connected`, но `Relays: 0/4`. WireGuard handshake разваленный → DNS на `1.1.1.1` через wt0 падает с `write: required key not available` → curl к Anthropic/OpenAI/Codex отвечает HTTP 000 за 0.0001s → CLIProxy 500 → omniroute 502 на все модели → `FailoverError` в Telegram.
+
+**Что сделал:**
+1. `systemctl restart netbird` на LXC 132 — Relays 4/4, Anthropic=405, OpenAI=401.
+2. `systemctl restart cliproxy.service
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 11 сообщ., тулы: Bash, Edit, Read, Skill, Write*
diff --git a/notes/claude/2026-04-28-142300-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-142300-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..bbced40
--- /dev/null
+++ b/notes/claude/2026-04-28-142300-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,29 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T11:23:00.986Z
+messages: 11
+tools: [Bash, Edit, Read, Skill, Write]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Сам сервис **жив**, нет ошибок после 11:18 (когда починил netbird):
+
+- code-server@root.service: **active**, слушает :8080, отвечает HTTP 200 локально
+- ai.dttb.ru снаружи (через NPM): HTTP 200 → /login страница
+- DNS работает (open-vsx.org резолвится, curl HTTP 200)
+
+Но в логах последние 4 минуты до рестарта netbird (11:16:27–11:16:58) был шквал `EAI_AGAIN open-vsx.org` — code-server пытался подгрузить расширения **Anthropic Claude Code** и **Cline (saoudrizwan.claude-dev)** пока DNS лежал. Они
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 11 сообщ., тулы: Bash, Edit, Read, Skill, Write*
diff --git a/notes/claude/2026-04-28-143138-можешь-найти-кп-мичуринец.md b/notes/claude/2026-04-28-143138-можешь-найти-кп-мичуринец.md
new file mode 100644
index 0000000..a5696b1
--- /dev/null
+++ b/notes/claude/2026-04-28-143138-можешь-найти-кп-мичуринец.md
@@ -0,0 +1,29 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 761a834d-9ac5-476f-8005-ff02e386bf3a
+started: 2026-04-28T10:38:37.073Z
+ended: 2026-04-28T11:31:38.727Z
+messages: 12
+tools: [Bash, Edit, Read, Skill, Write]
+tags: [claude, session]
+---
+
+# можешь найти КП Мичуринец
+
+## Запрос
+
+можешь найти КП Мичуринец
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово:
+- code-server@root.service **active**, поднят в 11:31:28 UTC
+- Слушает :8080 (HTTP 200 на /healthz)
+- ai.dttb.ru → HTTP 200 (login страница)
+- В логах чисто — никаких EAI_AGAIN
+
+Открой вкладку заново — расширения должны переподгрузиться нормально (DNS теперь работает, open-vsx.org доступен).
+
+---
+*Автосохранено из session [`761a834d`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/761a834d-9ac5-476f-8005-ff02e386bf3a.jsonl) — 12 сообщ., тулы: Bash, Edit, Read, Skill, Write*
diff --git a/notes/claude/2026-04-28-225344-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-225344-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..4ef60f6
--- /dev/null
+++ b/notes/claude/2026-04-28-225344-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,265 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T19:53:44.472Z
+messages: 17
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+🎉 **Поехало!**
+
+```
+HTTP/1.1 101 Switching Protocols  ← /ws/id через :21118 wss
+HTTP/1.1 101 Switching Protocols  ← /ws/relay через :21119 wss
+```
+
+Стек теперь полный:
+- Браузер → `wss://remot.dttb.ru:21118` (TLS) 
+- → docker port mapping NPM :21118 
+- → nginx TLS-decrypt (мой `stream.conf`)
+- → plain WebSocket → `10.0.0.244:21118` (hbbs)
+- → hbbs отвечает 101 ✅
+
+Что сделано:
+1. Положил compose в `/data/compose/2/docker-compose.yml` (host) с портами 21115-21119
+2. `docker compose -p npm up -d` п
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 17 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-225834-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-225834-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..9f3d3af
--- /dev/null
+++ b/notes/claude/2026-04-28-225834-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,257 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T19:58:34.956Z
+messages: 17
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Понял в чём дело — **ты пытаешься подключиться к самому себе**:
+
+- Peer ID `134222114` = `macbookpro.lan` / `ai` — это **твой Mac**
+- На `/webclient2/#/134222114` ты зашёл с того же Mac → нельзя подключиться к самому себе через relay
+- В localStorage остался этот peer ID и WebClient автоматически пытается с ним коннектиться при загрузке
+
+Также **все 13 peers были online 3+ часа назад** — сейчас все могут быть offline (cloud-niikn, cloud-dttb, etc — это VM на Proxmox, могут быть в idle/sleep).
+
+#
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 17 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-230326-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-230326-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..8799ae4
--- /dev/null
+++ b/notes/claude/2026-04-28-230326-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,260 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:03:26.324Z
+messages: 18
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+OK, начнём с твоего Mac. У тебя в API уже есть user_token для peer `134222114` (Mac), значит ты раньше логинился. Но last_online = 19:57 (3 часа назад) — RustDesk на Mac сейчас не отправляет heartbeat (закрыт / sleep / разлогинен).
+
+## Настройки на Mac (RustDesk-клиент)
+
+1. Открой приложение **RustDesk** на Mac (Applications)
+2. Слева в самом низу окна → шестерёнка ⚙ → **Settings**
+3. **Network** (или ID/Relay Server):
+
+| Поле | Значение |
+|---|---|
+| ID server | `remot.dttb.ru:21116` |
+| Relay 
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 18 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-230902-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-230902-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..5b25d82
--- /dev/null
+++ b/notes/claude/2026-04-28-230902-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:09:02.365Z
+messages: 19
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+`rhJpxDDDurHfpEyCQjyi`
+
+Лежит в:
+- `/root/rustdesk-backup-20260428-1134/admin-password.txt` на LXC 116
+- В kb: `projects/dttb/credentials.md` → раздел "RustDesk Server"
+
+Логин: `admin`
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 19 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-232212-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-232212-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..b461beb
--- /dev/null
+++ b/notes/claude/2026-04-28-232212-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:22:12.731Z
+messages: 20
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Заметил: в URL у тебя `remot.dttb.ru` (без `/webclient/`), и сервер редиректит на `/_admin/`. Но заголовок вкладки "RustDesk" + ошибка как у WebClient — значит **YandexBrowser держит кеш + Service Worker** от прошлой сессии WebClient. Service worker перехватывает навигацию.
+
+С infrastructure всё ок: мой curl на `:21118` и `:21119` отдаёт 101.
+
+## Сделай так
+
+**Открой YandexBrowser в режиме инкогнито** (Cmd+Shift+N) и зайди на `https://remot.dttb.ru/webclient/` — там не будет кеша / service worke
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 20 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-232315-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-232315-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..11a5261
--- /dev/null
+++ b/notes/claude/2026-04-28-232315-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,257 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:23:15.980Z
+messages: 20
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Проблема в YandexBrowser — там кеш + service worker от прошлой сессии WebClient. URL `remot.dttb.ru` должен был редиректить на `/_admin/`, но твой браузер этого не делает — обслуживает закешированный webclient.
+
+## Закрой YandexBrowser полностью и открой Safari (или любой другой браузер)
+
+В Safari/Firefox (нет кеша от наших экспериментов):
+1. Открой `https://remot.dttb.ru/_admin/`
+2. Должна появиться форма логина админки
+3. `admin` / `rhJpxDDDurHfpEyCQjyi`
+4. Зайдёшь — увидишь интерфейс с peers,
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 20 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-232613-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-232613-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..42f8df5
--- /dev/null
+++ b/notes/claude/2026-04-28-232613-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,255 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:26:13.193Z
+messages: 21
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Закоммичено в kb (`441491e`).
+
+**Итого:** web-client инфраструктура готова и задокументирована, не дёргаем. Сейчас ты в админке — заведи юзеров/группы, и параллельно настрой Mac как desktop-клиент.
+
+Когда Mac будет настроен и появится online + залогинен, можешь с **телефона** (Safari/Chrome на iPhone) открыть `https://remot.dttb.ru/webclient/` → ввести ID Mac'а → должно подключиться. Это и будет реальный тест web-client.
+
+Жду пока настроишь Mac (или скриншот если что-то не складывается с Setting
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 21 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-232745-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-232745-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..5005cf9
--- /dev/null
+++ b/notes/claude/2026-04-28-232745-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,258 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:27:45.586Z
+messages: 22
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Какой Windows-сервер пробовал? У тебя в БД из ~13 peers есть несколько Windows-машин:
+
+| Peer ID | Hostname | User | Last online |
+|---|---|---|---|
+| `290879238` | win-8bv3idjc8i5 | Администратор | 2026-04-04 |
+| `365722536` | laptop-3ir5ea9j | Антонина | 2026-04-28 17:40 |
+| `300746289` | desktop-p63ve9j | Пользователь | 2026-02-28 |
+| `439312650` | desktop-ic5a0k2 | Максим Мауль | 2026-02-24 |
+
+Все **давно offline** (от 4 часов до 2 месяцев). RustDesk-клиент на них либо выключен, либо потерял
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 22 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-28-233128-промт-для-claude-code-развёртывание-rustdesk-api-s.md b/notes/claude/2026-04-28-233128-промт-для-claude-code-развёртывание-rustdesk-api-s.md
new file mode 100644
index 0000000..9562a51
--- /dev/null
+++ b/notes/claude/2026-04-28-233128-промт-для-claude-code-развёртывание-rustdesk-api-s.md
@@ -0,0 +1,256 @@
+---
+date: 2026-04-28
+type: claude-session
+session_id: 3ccbd317-34fd-4954-ade5-01248b0bfd07
+started: 2026-04-28T08:27:41.560Z
+ended: 2026-04-28T20:31:28.819Z
+messages: 23
+tools: [Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser]
+tags: [claude, session]
+---
+
+# # Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Запрос
+
+# Промт для Claude Code: развёртывание RustDesk API Server (lejianwen)
+
+## Контекст
+
+Я системный администратор. У меня уже работает Proxmox VE на домене [dttb.ru](http://dttb.ru) с следующей инфраструктурой:
+
+- **LXC-контейнер с RustDesk OSS Server** (hbbs + hbbr) — текущая рабочая инсталляция, `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` в `/data/rustdesk/server/` (примерно, путь уточни через ls)
+- **LXC с Nginx Proxy Manager** на [dttb.ru](http://dttb.ru) — управляет всеми reverse-proxy и Let's Encrypt сертификатами
+- **Домен**: `[remot.dttb.ru](http://remot.dttb.ru)` уже настроен и работает (проброс TCP/UDP стримами на hbbs/hbbr)
+- **NetBird VPN-mesh** между площадками для админ-доступа
+- **DNS** управляется через Cloudflare
+- Клиенты RustDesk развёрнуты на ~30-50 машинах (НИИКН + несколько клиентских организаций)
+
+## Цель
+
+Мигрировать с базового RustDesk OSS Server на **stack от lejianwen** (https://github.com/lejianwen/rustdesk-api + парный rustdesk-server-s6) для получения:
+
+1. **Жёсткой изоляции клиентов** через `MUST_LOGIN=Y` — техник Клиента-А не должен иметь возможности подключиться к машинам Клиента-Б даже зная ID и пароль
+2. **Адресных книг и групп** — каждый техник видит только свои устройства
+3. **Аудит-логов** (login, connection, file_transfer)
+4. **All-In-HTTPS+WebSocket** архитектуры — весь трафик через 443/HTTPS, чтобы работать из-за корпоративных фаерволов клиентов
+5. **REST API + Swagger** для автоматизации через Claude Code и потенциальную MCP-интеграцию
+
+**Критическое требование**: миграция должна сохранить существующий ключ сервера (`id_ed25519` / `id_[ed25519.pub](http://ed25519.pub)`), чтобы клиенты на местах продолжили работать без перенастройки. Это нужно проверить отдельно — НИ В КОЕМ СЛУЧАЕ не генерировать новый ключ, не удалять старый.
+
+## Задачи
+
+### Фаза 1: Аудит и подготовка
+
+1. Подключись к Proxmox-хосту по SSH (узнай адрес у меня если нет в `~/.ssh/config`).
+2. Найди LXC-контейнер с текущим RustDesk Server. Подскажи команду `pct list` и `pct config <id>` чтобы я понял какой именно.
+3. **Проверь и зафиксируй**:
+   - Точный путь к `/data/rustdesk/server/` (где лежат `id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)`)
+   - Содержимое текущего `compose.yml` или `docker run` параметров hbbs/hbbr
+   - Какие порты сейчас слушает hbbs (`ss -tulpn | grep -E '2111[4-9]'`)
+   - Версию текущего OSS-сервера
+   - Размер БД (если есть `db_v2.sqlite3`)
+4. **Сделай полный бэкап** перед любыми изменениями:
+   - `tar` всей директории `/data/rustdesk/`
+   - Сохрани бэкап в `/root/rustdesk-backup-YYYYMMDD-HHMM.tar.gz`
+   - Дополнительно скопируй `id_ed25519*` отдельно в `/root/rustdesk-keys-backup/`
+5. Покажи мне план действий и ЖДИ моего подтверждения перед фазой 2.
+
+### Фаза 2: Развёртывание lejianwen stack
+
+6. Останови текущий контейнер (`docker compose down` в текущей директории), но **не удаляй** ни том с ключами, ни саму директорию.
+7. Создай новую директорию для нового стека: `/opt/rustdesk-lejianwen/` с подкаталогами `data/api/` и оставь существующий `/data/rustdesk/server/` нетронутым (новый стек будет смонтирован на него).
+8. Сгенерируй случайный JWT-ключ длиной 32+ символов: `openssl rand -base64 48`. Сохрани его в файл `/opt/rustdesk-lejianwen/.env` с переменной `JWT_KEY=...`. Покажи мне, я сохраню его в свою password-store.
+9. Создай `/opt/rustdesk-lejianwen/compose.yml` со следующим содержимым (проверь актуальный формат env-переменных в README — он мог обновиться):
+
+```yaml
+networks:
+  rustdesk-net:
+    external: false
+
+services:
+  rustdesk:
+    image: lejianwen/rustdesk-server-s6:latest
+    container_name: rustdesk
+    environment:
+      - RELAY=remot.dttb.ru:21117
+      - ENCRYPTED_ONLY=1
+      - MUST_LOGIN=Y
+      - TZ=Europe/Moscow
+      - RUSTDESK_API_LANG=ru
+      - RUSTDESK_API_RUSTDESK_ID_SERVER=remot.dttb.ru:21116
+      - RUSTDESK_API_RUSTDESK_RELAY_SERVER=remot.dttb.ru:21117
+      - RUSTDESK_API_RUSTDESK_API_SERVER=https://remot.dttb.ru
+      - RUSTDESK_API_RUSTDESK_KEY_FILE=/data/id_[ed25519.pub](http://ed25519.pub)
+      - RUSTDESK_API_JWT_KEY=${JWT_KEY}
+      - RUSTDESK_API_APP_REGISTER=false
+      - RUSTDESK_API_APP_DISABLE_PWD_LOGIN=false
+      - RUSTDESK_API_APP_CAPTCHA_THRESHOLD=3
+      - RUSTDESK_API_APP_BAN_THRESHOLD=5
+      - RUSTDESK_API_ADMIN_TITLE=Remote Support Portal
+    volumes:
+      - /data/rustdesk/server:/data
+      - /opt/rustdesk-lejianwen/data/api:/app/data
+    networks:
+      - rustdesk-net
+    ports:
+      - "21114:21114"
+      - "21115:21115"
+      - "21116:21116"
+      - "21116:21116/udp"
+      - "21117:21117"
+      - "21118:21118"
+      - "21119:21119"
+    restart: unless-stopped
+```
+
+10. **Перед запуском убедись**:
+    - Файлы `/data/rustdesk/server/id_ed25519` и `id_[ed25519.pub](http://ed25519.pub)` существуют и не пустые
+    - Контейнер не будет генерировать новый ключ (если в логах после старта появится "generating new key" — это критическая ошибка, останавливай немедленно)
+11. Запусти `docker compose up -d`, отслеживай логи: `docker compose logs -f rustdesk`. В логах должен появиться сгенерированный пароль `admin` — поймай его и сохрани в `/root/rustdesk-admin-initial-password.txt` с правами 600.
+12. **Проверь работоспособность**:
+    - `curl -I http://localhost:21114/_admin/` — должен вернуть 200 или 301
+    - `curl http://localhost:21114/api/heartbeat` (если такой endpoint есть, иначе пропусти)
+    - `ss -tulpn | grep -E '2111[4-9]'` — все порты должны слушаться
+    - **Сравни `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)` с бэкапом** — должен быть идентичен. Если отличается — стоп, ключ перегенерировался, нужен rollback.
+
+### Фаза 3: Настройка Nginx Proxy Manager
+
+13. Подключись к LXC с NPM (или используй его API). Найди существующий Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)` (или Stream-секции).
+14. **Текущая конфигурация со Stream'ами для портов 21115-21119 должна остаться** — это для совместимости со старыми клиентами без WebSocket.
+15. **Обнови** Proxy Host для `[remot.dttb.ru](http://remot.dttb.ru)`:
+    - Forward Hostname: IP нового LXC с lejianwen-stack
+    - Forward Port: `21114`
+    - WebSocket Support: включить
+    - Block Common Exploits: включить
+    - SSL: уже должен быть Let's Encrypt, проверь что Force SSL и HTTP/2 включены
+16. В **Advanced → Custom Nginx Configuration** добавь:
+
+```nginx
+location /ws/id {
+    proxy_pass http://IP_LXC:21118;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+
+location /ws/relay {
+    proxy_pass http://IP_LXC:21119;
+    proxy_http_version 1.1;
+    proxy_set_header Upgrade $http_upgrade;
+    proxy_set_header Connection "Upgrade";
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 86400s;
+    proxy_send_timeout 86400s;
+}
+```
+
+(подставь реальный IP LXC вместо IP_LXC)
+
+17. Проверь `nginx -t` внутри контейнера NPM, перезагрузи если ОК.
+18. С внешней машины (попроси меня проверить или используй curl с другого хоста через NetBird):
+    - `curl -I https://remot.dttb.ru/_admin/` — должно отвечать 200/301
+    - `curl -I https://remot.dttb.ru/swagger/index.html` — Swagger доступен
+
+### Фаза 4: Первичная настройка через web-консоль
+
+19. Открой `https://remot.dttb.ru/_admin/`, залогинься admin / `<пароль из /root/rustdesk-admin-initial-password.txt>`.
+20. Помоги мне сменить пароль admin'а (через `docker exec rustdesk ./apimain reset-admin-pwd <новый_пароль>` или через UI).
+21. Создай начальную структуру (если возможно через API/CLI — сделай скриптом):
+
+**Группы (shared):**
+- `НИИКН-парк`
+- `Клиент-template` (как образец, потом дублировать)
+
+**Тестовые пользователи:**
+- `niikn-admin` (полные права на группу НИИКН)
+- `niikn-tech1` (только подключение)
+- `test-client` (для проверки изоляции)
+
+22. Создай шаблон `RustDesk2.toml` для клиентов:
+
+```toml
+rendezvous_server = 'remot.dttb.ru:21116'
+nat_type = 1
+serial = 1
+
+[options]
+custom-rendezvous-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+relay-server = '[remot.dttb.ru](http://remot.dttb.ru)'
+api-server = 'https://remot.dttb.ru'
+key = '<СЮДА_ПОДСТАВЬ_СОДЕРЖИМОЕ_id_[ed25519.pub](http://ed25519.pub)>'
+allow-websocket = 'Y'
+verification-method = 'use-permanent-password'
+approve-mode = 'password'
+```
+
+Прочитай актуальный публичный ключ из `/data/rustdesk/server/id_[ed25519.pub](http://ed25519.pub)`, подставь в шаблон. Сохрани готовый файл в `/root/RustDesk2.toml.template`.
+
+### Фаза 5: Тестирование и rollback-план
+
+23. Подними тестовый клиент (можешь использовать docker `rustdesk/rustdesk` или попросить меня запустить на тестовой машине). Проверь:
+    - Подключение к серверу проходит
+    - Без логина соединение **не устанавливается** (это ключевая проверка MUST_LOGIN)
+    - С логином `niikn-tech1` доступны только машины из его адресной книги
+    - С логином `test-client` машины НИИКН не видны и подключение к ним по ID отклоняется
+
+24. **Подготовь rollback-скрипт** на случай провала: `/root/[rustdesk-rollback.sh](http://rustdesk-rollback.sh)`, который:
+    - Останавливает новый стек: `cd /opt/rustdesk-lejianwen && docker compose down`
+    - Восстанавливает из бэкапа `/root/rustdesk-backup-*.tar.gz`
+    - Поднимает старый OSS: возвращается в его директорию и `docker compose up -d`
+    - В NPM возвращает старую конфигурацию (тут лучше через бэкап настроек NPM `/data/database.sqlite` если NPM запущен в Docker)
+
+25. Сделай финальный отчёт в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` со всем что сделано: пути, IP, пароли (хеши), команды для дальнейшего обслуживания, известные проблемы.
+
+## Что важно соблюдать
+
+- **Действуй пошагово**, после каждой фазы дожидайся моего подтверждения. Не уходи в Фазу 3 без ОК на Фазу 2.
+- **Не удаляй ничего** до успешного теста новой системы. Старый OSS-стек должен оставаться на диске минимум 7 дней.
+- **При любой ошибке с ключом сервера** (`id_[ed25519.pub](http://ed25519.pub)` изменился, hbbs его перегенерировал, не подхватил из volume) — немедленный stop и rollback. Это самый критичный риск всей миграции.
+- Если что-то непонятно в моей инфраструктуре — спрашивай, не предполагай. Например, точный IP контейнеров, реальные пути в моём compose, версии Docker.
+- Команды, требующие sudo, обязательно объясни перед запуском.
+- **Не выкладывай в логи и не сохраняй в git** значения `JWT_KEY`, паролей и публичный домен в открытом виде в файлах, которые могут быть закоммичены.
+- Всё, что меняется в системе, должно быть idempotent или иметь rollback. Никаких `rm -rf` без бэкапа на соседнем диске или площадке.
+
+## Что НЕ делать
+
+- НЕ переходить сразу на MySQL-схему с репликацией — это будет отдельная задача после стабилизации базового стека на SQLite
+- НЕ настраивать LDAP/OIDC до того, как обычный логин/пароль протестирован и работает
+- НЕ обновлять клиенты RustDesk на местах (это я делаю отдельно через свои существующие GPO/скрипты)
+- НЕ трогать существующие VPN-конфигурации (NetBird, AmneziaVPN и прочее)
+- НЕ менять DNS-записи в Cloudflare без моего явного согласия
+- НЕ публиковать `_admin` интерфейс без аутентификации, не открывать его из публичного интернета без проверки fail2ban / bantreshold
+
+## После завершения
+
+Когда всё работает и протестировано, отдельной задачей мы:
+1. Раскатаем новый `RustDesk2.toml` на парк через GPO/скрипт
+2. Заведём полную структуру клиентских групп
+3. Настроим бэкапы БД API + ключей на ArtLeon (cron + rsync через NetBird)
+4. Поднимем второй экземпляр на НИИКН Proxmox с общей MySQL для отказоустойчивости
+5. Напишем MCP-обёртку поверх Swagger API для работы из Claude Code
+
+Начинай с Фазы 1, фиксируй всё в `/root/[rustdesk-migration-report.md](http://rustdesk-migration-report.md)` по ходу.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Важная находка из логов:
+
+```
+hbbr.log latest: 22:56 (1.5 часа назад, твои Mac→Mac попытки)
+hbbr.log сейчас: НИЧЕГО НОВОГО — твоя свежая попытка из webclient даже не дошла до hbbr
+```
+
+WebClient в браузере **что-то** делает, но relay request даже не отправляет. Это означает что connection просто timeout'ит на стороне браузера, не доходя до сервера. Известное ограничение **WebClient'а в Flutter** — он не реализует полный rustdesk-protocol для пиров, которые требуют encryption negotiation, permane
+
+---
+*Автосохранено из session [`3ccbd317`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/3ccbd317-34fd-4954-ade5-01248b0bfd07.jsonl) — 23 сообщ., тулы: Bash, Edit, Read, TodoWrite, ToolSearch, Write, mcp__Claude_in_Chrome__list_connected_browsers, mcp__Claude_in_Chrome__switch_browser*
diff --git a/notes/claude/2026-04-29-001625-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-001625-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..61108e9
--- /dev/null
+++ b/notes/claude/2026-04-29-001625-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:16:25.888Z
+messages: 2
+tools: [Bash, Monitor, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Мониторинг идёт (10 мин timeout). Текущий статус: IA работает в session 1 под Юрием, но качать ESD пока не начал. План Б при зависании — ISO через UUP Dump (использует Microsoft Update servers, обходит геоблок Fido). Жду события.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 2 сообщ., тулы: Bash, Monitor, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-001915-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-001915-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..78b6ae4
--- /dev/null
+++ b/notes/claude/2026-04-29-001915-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:19:15.651Z
+messages: 3
+tools: [Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Обновил [projects/mmfb/yuri-vitalievich.md](projects/mmfb/yuri-vitalievich.md) — AnyDesk + WinRM-Persist task. Мониторинг IA продолжается, жду событий.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 3 сообщ., тулы: Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-002932-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-002932-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..d8dd8e1
--- /dev/null
+++ b/notes/claude/2026-04-29-002932-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:29:32.053Z
+messages: 4
+tools: [Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+IA остановлен. На Юрии 4 VPN-клиента готовы: AmneziaVPN 4.8.1, Happ 2.6.0, OpenVPN Connect 3.4.4, NetBird 0.69. Жду какой путь — (1)/(2)/(3).
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 4 сообщ., тулы: Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-003731-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-003731-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..61c24a4
--- /dev/null
+++ b/notes/claude/2026-04-29-003731-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,30 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:37:31.341Z
+messages: 5
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Подготавливаю скрипт mount+setup.exe (запущу после DONE).
+
+```
+$iso = Mount-DiskImage C:\win11upg\Win11.iso → letter
+$letter\setup.exe /auto upgrade /quiet /eula accept /noreboot /dynamicupdate disable /compat ignorewarning /copylogs C:\win11upg\setup-logs
+```
+
+Жду события Monitor про прогресс.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 5 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-003802-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-003802-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..5d2ecab
--- /dev/null
+++ b/notes/claude/2026-04-29-003802-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,30 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:38:02.265Z
+messages: 6
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Подготавливаю скрипт mount+setup.exe (запущу после DONE).
+
+```
+$iso = Mount-DiskImage C:\win11upg\Win11.iso → letter
+$letter\setup.exe /auto upgrade /quiet /eula accept /noreboot /dynamicupdate disable /compat ignorewarning /copylogs C:\win11upg\setup-logs
+```
+
+Жду события Monitor про прогресс.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 6 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-003836-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-003836-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..c89b836
--- /dev/null
+++ b/notes/claude/2026-04-29-003836-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:38:36.997Z
+messages: 7
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+ISO качается, 659 МБ за минуту (~9 MB/s через Финку). До 5GB осталось ~8-9 минут. Жду DONE — потом mount + setup.exe.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 7 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-003904-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-003904-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..92c081c
--- /dev/null
+++ b/notes/claude/2026-04-29-003904-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:39:04.840Z
+messages: 8
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+1.27 GB. Стабильно ~10 MB/s. ETA ~6 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 8 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004009-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004009-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..8285b2d
--- /dev/null
+++ b/notes/claude/2026-04-29-004009-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:40:09.457Z
+messages: 9
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+1.86 GB / ~5 GB. ETA ~5 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 9 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004111-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004111-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..3561ebc
--- /dev/null
+++ b/notes/claude/2026-04-29-004111-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:41:11.263Z
+messages: 10
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+2.46 GB. ~50% если ISO ~5 GB. ETA ~4 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 10 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004212-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004212-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..094da07
--- /dev/null
+++ b/notes/claude/2026-04-29-004212-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:42:12.677Z
+messages: 11
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+2.46 GB. ~50% если ISO ~5 GB. ETA ~4 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 11 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004319-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004319-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..5fcbc19
--- /dev/null
+++ b/notes/claude/2026-04-29-004319-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:43:19.679Z
+messages: 12
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+3.66 GB. ETA ~2 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 12 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004424-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004424-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..621b50a
--- /dev/null
+++ b/notes/claude/2026-04-29-004424-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:44:24.462Z
+messages: 13
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+4.26 GB. ETA ~1.5 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 13 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004523-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004523-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..5dcd8e2
--- /dev/null
+++ b/notes/claude/2026-04-29-004523-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:45:23.643Z
+messages: 14
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+4.26 GB. ETA ~1.5 мин.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 14 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004630-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004630-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..a561aff
--- /dev/null
+++ b/notes/claude/2026-04-29-004630-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:46:30.976Z
+messages: 15
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+5.42 GB — ISO 25H2 видимо ~6 GB. Жду DONE.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 15 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004734-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004734-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..f11f448
--- /dev/null
+++ b/notes/claude/2026-04-29-004734-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:47:34.254Z
+messages: 16
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+6.02 GB. Очень близко к финалу.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 16 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004838-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004838-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..2b17ab4
--- /dev/null
+++ b/notes/claude/2026-04-29-004838-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:48:38.073Z
+messages: 17
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+6.6 GB. ISO больше чем ожидал — 25H2 объёмный.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 17 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-004941-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-004941-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..6b1efe9
--- /dev/null
+++ b/notes/claude/2026-04-29-004941-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:49:41.966Z
+messages: 18
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+7.2 GB. Близко к концу — Win11 25H2 RU ISO обычно 7-7.5 GB.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 18 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-005618-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-005618-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..255250c
--- /dev/null
+++ b/notes/claude/2026-04-29-005618-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,25 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:56:18.474Z
+messages: 20
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Monitor работает. Setup в Phase 1, ETA до завершения апгрейда 30-90 мин.
+
+После апгрейда нужно решить — оставить Юрия в Trance (постоянный exit через Финку) или убрать.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 20 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-005622-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-005622-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..7695785
--- /dev/null
+++ b/notes/claude/2026-04-29-005622-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,23 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-28T21:56:22.431Z
+messages: 20
+tools: [Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Phase 1 идёт, 3 setup-процесса, диск +25 GB.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 20 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TodoWrite, ToolSearch*
diff --git a/notes/claude/2026-04-29-070034-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-070034-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..113b67e
--- /dev/null
+++ b/notes/claude/2026-04-29-070034-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,30 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-29T04:00:34.529Z
+messages: 21
+tools: [Agent, Bash, Edit, Monitor, Read, TaskOutput, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово. Все настройки сохранены, vault и memory обновлены.
+
+**Решения, которые ждут от тебя:**
+
+1. **Trance/Finland exit** — оставить или убрать? *Сейчас весь трафик ноута через Финку.*
+2. **Очистка** — удалить Windows.old (28.9 GB) + C:\win11upg (8 GB) + scheduled tasks Win11Setup/Win11ISO-DL/Win11IA-User? *WinRM-Persist оставить как страховку?*
+
+Скажи что делать — выполню. После очистки имеет смысл `/schedule` через 10 дней проверить что Win11 25H2 стабилен и нет регрессий, удалить Windows.old
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 21 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TaskOutput, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-29-070530-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-070530-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..3f2cc96
--- /dev/null
+++ b/notes/claude/2026-04-29-070530-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,25 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-29T04:05:30.760Z
+messages: 22
+tools: [Agent, Bash, Edit, Monitor, Read, TaskOutput, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово. Юрий полностью на Win11 25H2, всё работает, vault обновлён. Очистка (Windows.old + C:\win11upg + scheduled tasks) — когда скажешь.
+
+Хочешь — `/schedule` через 10 дней проверить стабильность Win11 + удалить Windows.old (28.9 GB всё ещё)?
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 22 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, TaskOutput, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-29-070744-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-070744-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..5233b07
--- /dev/null
+++ b/notes/claude/2026-04-29-070744-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,33 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-29T04:07:44.872Z
+messages: 24
+tools: [Agent, Bash, Edit, Monitor, Read, Skill, TaskOutput, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Стоп — нужно прояснить **одно важное ограничение**.
+
+Remote agent (через `/schedule`) запускается в **Anthropic cloud**, у него нет:
+- доступа к NetBird mesh → не сможет открыть WinRM-сессию к ноуту Юрия (100.70.173.66)
+- доступа к твоему Mac, к code-server LXC 132, к Finland VPS
+
+То есть он **физически не сможет** подключиться к ноуту и сделать чистку.
+
+Реальные варианты:
+
+**(a) Remote agent создаёт напоминание** — комитит в kb-репо `notes/inbox/2026-05-09-win11-cleanup-yuri.md` с чеклистом. Ты
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 24 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, Skill, TaskOutput, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-29-071329-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-071329-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..26dcbea
--- /dev/null
+++ b/notes/claude/2026-04-29-071329-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,31 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-29T04:13:29.166Z
+messages: 25
+tools: [Agent, Bash, Edit, Monitor, Read, Skill, TaskOutput, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Отчёт готов: [projects/mmfb/otchet-yuri-2026-04.md](projects/mmfb/otchet-yuri-2026-04.md)
+
+Структура:
+1. **Краткое резюме** — одним абзацем для тех кто не будет читать дальше
+2. **6 разделов выполненных работ** — очистка диска, снос уязвимого ПО, перенос почты, Office 365, **Win11 апгрейд** (центральный пункт), удалённая поддержка
+3. **Сравнительная таблица** — что было / что стало (безопасность, диск, ПО, поддержка)
+4. **Рекомендации** — ближайшие дни / месяц / долгосрочно
+
+Технические детали (
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 25 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, Skill, TaskOutput, TodoWrite, ToolSearch, Write*
diff --git a/notes/claude/2026-04-29-074459-на-компе-юрия-продолжим-проверь-он-сети.md b/notes/claude/2026-04-29-074459-на-компе-юрия-продолжим-проверь-он-сети.md
new file mode 100644
index 0000000..273e0af
--- /dev/null
+++ b/notes/claude/2026-04-29-074459-на-компе-юрия-продолжим-проверь-он-сети.md
@@ -0,0 +1,25 @@
+---
+date: 2026-04-29
+type: claude-session
+session_id: 71a6b393-cc0b-4590-9b6d-70f667e36e4c
+started: 2026-04-28T21:02:32.939Z
+ended: 2026-04-29T04:44:59.576Z
+messages: 27
+tools: [Agent, Bash, Edit, Monitor, Read, Skill, TaskOutput, TodoWrite, ToolSearch, Write]
+tags: [claude, session]
+---
+
+# на компе юрия продолжим. проверь он сети
+
+## Запрос
+
+на компе юрия продолжим. проверь он сети
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+PDF готов: [projects/mmfb/otchet-yuri-2026-04.pdf](projects/mmfb/otchet-yuri-2026-04.pdf) — 116 KB, открыл его в Preview для проверки.
+
+Шрифт — Arial с кириллицей, A4 поля 20мм, заголовки/таблицы рендерятся через reportlab Platypus. Если что-то не так визуально (поля, отступы, цвета таблиц) — скажи, поправлю.
+
+---
+*Автосохранено из session [`71a6b393`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/71a6b393-cc0b-4590-9b6d-70f667e36e4c.jsonl) — 27 сообщ., тулы: Agent, Bash, Edit, Monitor, Read, Skill, TaskOutput, TodoWrite, ToolSearch, Write*
diff --git a/projects/dttb/vpn-clients.md b/projects/dttb/vpn-clients.md
new file mode 100644
index 0000000..e9778cb
--- /dev/null
+++ b/projects/dttb/vpn-clients.md
@@ -0,0 +1,81 @@
+---
+date: 2026-04-24
+type: project
+tags: [dttb, vpn, clients, happ, amneziavpn, reality]
+---
+
+# VPN-клиенты — Реестр выданных доступов
+
+Учёт людей, которым выдан клиентский VPN (Happ / AmneziaVPN). Отдельно от [[netbird-inventory]] (инфра) и [[vps-swtest]] (WG-хаб объектов Знаменского).
+
+## Серверы-выходы
+
+| Сервер | IP / FQDN | Тип | Клиент | Инструкция |
+|--------|-----------|-----|--------|------------|
+| Finland 5870 | `78.17.4.225:9443` | VLESS Reality + XTLS Vision | Happ | [[../../snippets/happ-vpn-client-instruction]] |
+| Finland 5870 (AmneziaWG) | `78.17.4.225` | AmneziaWG (если поднят) | AmneziaVPN | [[../../snippets/amnezia-vpn-client-instruction]] |
+
+Подробности по Finland после инцидента: [[../../decisions/2026-04-24-finland-vps-malware-cleanup]]. SSH только по ключу.
+
+## Клиенты
+
+> Заполнять при каждой выдаче. Один клиент = одна строка; если человек пользуется на нескольких устройствах по одному UUID — перечислить через запятую. Если устройствам нужны разные UUID — отдельные строки с одним именем.
+
+| # | Имя | Контакт | Устройства | Клиент-приложение | Сервер | UUID / ключ | Выдан | Истекает | Отозван | Заметки |
+|---|-----|---------|------------|-------------------|--------|-------------|-------|----------|---------|---------|
+| 1 | Ярослав | _уточнить_ | _уточнить_ | AmneziaVPN | Finland (AmneziaWG, предполож.) | `vpn://AAAIYXjanV…VC9O` — полный ключ в [[../../snippets/clients/yaroslav-amnezia-setup]] | 2026-04-24 | — | — | персональная инструкция [[../../snippets/clients/yaroslav-amnezia-setup]] |
+
+Шаблон строки — в [[../../templates/vpn-client]].
+
+## Процедуры
+
+### Выдать клиенту
+
+1. Сгенерировать/взять UUID клиента (для Reality можно использовать общий, если устройство доверенное; для разделения — свой UUID на каждого).
+2. Сформировать ссылку:
+   - **Happ (VLESS Reality)** — `vless://…`, можно + QR-картинка (см. assets в `snippets/assets/`)
+   - **AmneziaVPN** — `vpn://…`, **QR не использовать** (конфиг слишком длинный → нечитаемый QR). Только ссылка через буфер обмена или `.vpn` файл.
+3. Сделать персональный файл-инструкцию в `snippets/clients/<имя>-<тип>-setup.md` с готовым текстом-для-мессенджера (см. пример [[../../snippets/clients/yaroslav-amnezia-setup]]).
+4. Отправить готовый текст. Универсальные шаблоны: [[../../snippets/happ-vpn-client-instruction]] / [[../../snippets/amnezia-vpn-client-instruction]].
+5. Записать строку в таблицу выше: имя, контакт, устройства, дата, UUID.
+6. При необходимости приложить [[../../snippets/apple-id-us-on-russia]] — если у клиента российский App Store без Happ/AmneziaVPN.
+
+### Отозвать клиента
+
+**Reality (XRay/Sing-box):**
+- SSH на сервер → конфиг `/usr/local/etc/xray/config.json` или amnezia-xray контейнера
+- Убрать UUID из `inbounds[].settings.clients[]`
+- `systemctl reload xray` или `docker restart amnezia-xray`
+- Отметить в таблице «Отозван: YYYY-MM-DD»
+
+**AmneziaWG / WireGuard:**
+- Убрать `[Peer]` блок из `wg0.conf`
+- `wg syncconf wg0 <(wg-quick strip wg0)` — атомарно, без обрыва остальных
+- Записать отзыв в таблицу
+
+### Ротация ключей
+
+- Раз в ~6 мес или при подозрении на утечку — новый UUID всем активным клиентам
+- Массовую рассылку отправлять одним сообщением со ссылкой на новую версию инструкции
+- Старый UUID удалить с сервера после подтверждения перехода (неделя окна)
+
+### При потере QR клиентом
+
+- QR-картинка — в `snippets/assets/vpn-<сервер>-YYYYMMDD.png`. Переотправить.
+- Если QR сгенерирован только в голове — пересобрать из `vless://` строки через `qrencode -o file.png 'vless://…'`.
+
+## Roadmap / Что ещё
+
+- [ ] Завести второй резервный сервер-выход (не Finland) — сейчас единая точка отказа
+- [ ] Скрипт `vpn-clients-health.sh` — дёргает активные UUID на сервере и сверяет с таблицей (находит осиротевшие/забытые)
+- [ ] Telegram-уведомление когда новый клиент заходит впервые (вместо ручного подтверждения)
+- [ ] Рассмотреть biling, если часть клиентов станет коммерческой — пока все бесплатно для родни/знакомых
+- [ ] Ограничение по устройствам на UUID (в XRay это настраивается через `level`) — для чужих людей имеет смысл
+
+## Ссылки
+
+- [[../../snippets/happ-vpn-client-instruction]] — готовый текст для отправки (Happ, Finland Reality)
+- [[../../snippets/amnezia-vpn-client-instruction]] — готовый текст для отправки (AmneziaVPN)
+- [[../../snippets/apple-id-us-on-russia]] — если у клиента RU App Store без VPN-приложений
+- [[../../decisions/2026-04-24-finland-vps-malware-cleanup]] — инцидент, режим доступа к серверу
+- [[netbird-inventory]] — инвентарь Netbird-пиров (не путать)
diff --git a/projects/glavtorg/README.md b/projects/glavtorg/README.md
index c29bf9a..886ca8f 100644
--- a/projects/glavtorg/README.md
+++ b/projects/glavtorg/README.md
@@ -23,6 +23,26 @@ r = s.run_cmd('whoami')
 - **Базы данных:** `D:\1C_Bases_8_3\`
 - **Лицензии:** `C:\ProgramData\1C\licenses\`
 
+## VMware Workstation 16.2.4
+На сервере крутятся две Linux VM в VMware Workstation (обе в подсети 192.168.1.0/24 VMnet):
+- **`D:\VMs\nbgw\Ubuntu 64-bit.vmx`** — **192.168.1.50** — OpenWrt-подобный NetBird Gateway (dropbear SSH, локальный DNS на 53, web-админка на 80). Маршрутизация оверлея NetBird в локалку 192.168.1.0/24.
+- **`D:\VMs\Ubuntu 64-bit.vmx`** — **192.168.1.51** — Ubuntu 24.04 + AmneziaVPN (UDP WG-сервер, TCP-портов нет).
+
+**Проверено 2026-04-25:** после ребута обе VM стартуют автоматически через Task Scheduler (~60 сек delay).
+
+Железо: i5-3470 (4c), 24 ГБ RAM, VT-x в BIOS включён. По 2 vCPU / 4 ГБ на каждую VM.
+
+### Автозапуск при старте Windows
+- **Task Scheduler:** `VMware AutoStart` (trigger: ONSTART, run as: `glavtorg\ярослав`, Logon Mode: Interactive/Background)
+- **Скрипт:** `C:\Scripts\start-vms.bat` — ждёт 60 сек после загрузки, потом `vmrun start ... nogui` для обеих VM
+- Управление: `schtasks /Query|Run|Delete /TN "VMware AutoStart"`
+- Команды vmrun: `"C:\Program Files (x86)\VMware\VMware Workstation\vmrun.exe" list|start|stop <vmx>`
+
+### RDP-политика (важно!)
+- **`HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\fSingleSessionPerUser = 0`** — разрешено несколько сессий одному юзеру. Нужно чтобы Ярослав мог зайти по RDP не трогая console-сессию с запущенным VMware (иначе VM падают при logoff console).
+- Server 2012 R2 Standard без RDS CAL → лимит **2 одновременных admin-сессии**. Следи за залипшими Disc-сессиями (`qwinsta`, `logoff <id>`).
+- **НЕ делать `logoff` сессии, в которой запущена VMware Workstation** — упадут все VM этого юзера.
+
 ## Пользователи
 
 | Пользователь | Админ | RDP | Назначение |
@@ -41,6 +61,7 @@ r = s.run_cmd('whoami')
 
 ## История изменений
 - **2026-04-15:** Создан пользователь Diana_Grig (RDP + 1С обновление)
+- **2026-04-25:** Настроен автозапуск VM (nbgw + Amnezia) через Task Scheduler; `fSingleSessionPerUser=0` для RDP при запущенной VMware
 
 <!-- kb-auto-index -->
 ## Навигация
diff --git a/projects/mmfb/otchet-yuri-2026-04.md b/projects/mmfb/otchet-yuri-2026-04.md
new file mode 100644
index 0000000..7a0343b
--- /dev/null
+++ b/projects/mmfb/otchet-yuri-2026-04.md
@@ -0,0 +1,138 @@
+# Отчёт о техническом обслуживании ноутбука
+
+**Заказчик:** ММФБ, Юрий Витальевич
+**Период работ:** 24–29 апреля 2026
+**Оборудование:** HP ProBook x360 440 G1 (i5-8250U, 8 ГБ ОЗУ)
+
+---
+
+## Краткое резюме
+
+За пять рабочих дней ноутбук приведён в полностью актуальное и безопасное состояние:
+очищен системный диск, снесено устаревшее ПО с известными уязвимостями, переустановлен
+офисный пакет на актуальную версию, **выполнен апгрейд операционной системы с Windows 10
+на Windows 11 (25H2)** с сохранением всех данных и настроек. Удалённая поддержка настроена
+по двум независимым каналам.
+
+---
+
+## Выполненные работы
+
+### 1. Очистка системного диска
+
+Освобождено **31 ГБ** на системном диске:
+
+| До работ | После работ |
+|---|---|
+| 44,7 ГБ свободно (19 %) | **75,8 ГБ (32 %)** |
+
+Что почищено: кэши браузеров (Chrome, Yandex, Edge), временные файлы Windows и кэш
+обновлений, неактуальные драйверы HP, файл гибернации, дублирующие сервисные службы HP
+(7 одноимённых записей в установленных программах), старые архивы.
+
+### 2. Удаление устаревшего и уязвимого ПО
+
+Снесены:
+- **Microsoft Office 2007** — компания Microsoft перестала поддерживать его в 2017 году,
+  безопасных обновлений не выходит почти 9 лет.
+- **WinRAR 4.10** — содержит критическую уязвимость CVE-2023-38831 (удалённое выполнение
+  кода через специально подготовленный архив).
+- **Adobe Flash Player** — снят с поддержки и небезопасен.
+- Мусорное ПО HP, дублирующее системный функционал.
+
+### 3. Перенос почтовых архивов на внешний диск
+
+Архивы Outlook размером **27 ГБ** перенесены на внешний USB-диск Transcend StoreJet (932 ГБ,
+файловая система NTFS):
+
+- `archive1.pst` — 16,4 ГБ → перенесён
+- `archive3.pst` — 6,3 ГБ → перенесён
+- Активный почтовый ящик (`Outlook.pst`, 4,95 ГБ) **оставлен на ноутбуке** — текущая работа
+  не прерывается.
+- Два мёртвых архива 2021 и 2022 годов удалены.
+
+На рабочем столе оставлена инструкция «Инструкция_по_почте.txt» о том, как подключать
+USB-диск при необходимости поднять старую переписку.
+
+### 4. Установка Microsoft Office 365 ProPlus
+
+После удаления Office 2007 установлена актуальная подписочная версия Office 365 ProPlus
+(сборка 16.0.19929.20090). Активация выполнена по корпоративной учётной записи ММФБ.
+Office включает русский и английский языки, исключены ненужные компоненты (Skype for
+Business, OneDrive Groove). Регулярные обновления безопасности от Microsoft приходят
+автоматически.
+
+### 5. Апгрейд операционной системы Windows 10 → Windows 11 (25H2)
+
+Это центральный пункт работ. Причина: **поддержка Windows 10 закончилась 14 октября 2025
+года**, обновления безопасности больше не выходят, что делает дальнейшее использование
+системы рискованным.
+
+Что сделано:
+- Подтверждена аппаратная совместимость с Windows 11 (TPM 2.0, Secure Boot, поддерживаемый
+  процессор Intel 8-го поколения).
+- Загружен официальный установочный образ Windows 11 Pro 25H2 (русская версия) с серверов
+  Microsoft.
+- Выполнена установка в режиме «in-place upgrade» — **с полным сохранением личных файлов,
+  установленных программ и настроек**.
+- Общее время обновления ~40 минут.
+- После обновления выполнена проверка: ОС, активация, все ключевые сервисы и приложения,
+  Microsoft Office 365 — работает в штатном режиме.
+
+Параметры установленной системы:
+
+| Параметр | Значение |
+|---|---|
+| ОС | Windows 11 Pro 25H2 (build 26200.8037) |
+| Активация | Выполнена успешно (цифровая лицензия от Microsoft) |
+| Поддержка от Microsoft | до **октября 2027** (минимум 2 года обновлений безопасности) |
+| Office | 365 ProPlus 16.0.19929 — работает |
+| Совместимость с 1С и рабочим софтом | сохранена |
+
+### 6. Настройка удалённой поддержки
+
+Для оперативного решения проблем без выезда настроены два независимых канала:
+
+- **Основной канал** — корпоративный VPN (NetBird), позволяет защищённо подключиться по
+  сети к компьютеру.
+- **Резервный канал** — AnyDesk с постоянным паролем. Используется, если основной канал
+  по какой-либо причине недоступен.
+
+Оба канала настроены с автоматическим запуском при включении ноутбука.
+
+---
+
+## Что это даёт ММФБ
+
+| Эффект | До работ | Сейчас |
+|---|---|---|
+| **Безопасность ОС** | Windows 10 без обновлений, риск компрометации | Windows 11, обновления до 2027 |
+| **Безопасность ПО** | WinRAR с критической CVE, Office EOL | Актуальные версии |
+| **Свободное место на диске** | 19 % | 32 % (после апгрейда — 27 %, +чистка Windows.old в течение 10 дней даст ещё ~30 ГБ) |
+| **Office** | 2007 (EOL 2017) | 365 ProPlus (актуальная подписка) |
+| **Резерв почты** | Архивы занимают C: на ноутбуке | На внешнем диске, при необходимости подключаются |
+| **Удалённая поддержка** | Не настроена | Два независимых канала |
+
+---
+
+## Рекомендации
+
+**В ближайшие дни:**
+- Привычные приложения после обновления могут спросить разрешение на запуск или потребовать
+  повторного входа в учётные записи (это нормально).
+- Если что-то поведёт себя странно — сообщите, разберём.
+
+**В ближайший месяц (плановое):**
+- Очистка папки `Windows.old` (29 ГБ) — система это сделает автоматически через ~10 дней,
+  либо мы запустим вручную после подтверждения, что новая ОС стабильна.
+- Возможен небольшой апгрейд оперативной памяти: установить второй модуль 8 ГБ (стоимость
+  около 2 500 ₽). Это значительно ускорит одновременную работу с 1С, Outlook, Excel и
+  браузером. Текущие 8 ГБ — нижняя граница комфорта для современной Windows.
+
+**Долгосрочно:**
+- Регулярно подключайте внешний диск с архивами почты для бэкапа на другой носитель.
+  22 ГБ переписки сейчас живут только в одной копии — это риск.
+
+---
+
+*Подготовил: Олег Батлаев · 29 апреля 2026*
diff --git a/projects/mmfb/otchet-yuri-2026-04.pdf b/projects/mmfb/otchet-yuri-2026-04.pdf
new file mode 100644
index 0000000000000000000000000000000000000000..1f04364bfaf46f6164589c91cd8fb9599a376a05
GIT binary patch
literal 116153
zcmdS9V~}RevoG43wrxzCPusRJZQI7QF>Pzwwr$(C?Wf(-p62Oy-}fJ9--r`&@A<gD
ztgNi8%F17^%2g{Xl3Y<#oSun+6_z|9Dl(h+hpB_TlZ&jO5wV1+ovD+di>V3m*9c-0
zd*h$BrgkpGRQ3+0cFy)cos3PXVVQ^-iS3Q7V0n3A0pd)=%wOyeVt_a^Eh8}#<G&2c
zKMd=?4C_A(=RXWAKR>LgoykA5|C#n5Ey9M*rsDQr>i{H8ZCp)VER79`0b+K>_9m8g
z=EMMXOFJPuXUqTHA#Z4F`n4hxF+lmJk&B1J7o+m^{Nn#1Uy?6f|7|Ij|F)FKm*@+T
zGcohOcFUQXSQ-l3yAx}FjbbEb<6>iA=3rwd=454J;N;}uB-SMcC>lEb;|1n_kbgn_
zVfz2L!kPHLT=0+K|4I~{?2VO8UA}Yy{_!6`#nk-^l$5QZxvB8KRODYOMXdW};+Hae
zmoI;RDF&!G8QT4q%76M{iT?ve@oVyb1M`nl|Kqp+4dx$+UzYt(1H<-z1oQ8{`JV=c
z{r?E&ABg`0-welp10!x}<6`Rc&!!f)`P!?ZreA?+`cGWQn%bGWSP*kEas9JFon4$v
z4Q*lFGk-4aSm6qxL*97h7y-1U=hC?R#GwNyP@LkMSv^1-?0%3`*QZBz`n*rK6e?<w
z>^W!Y`ms3kvUGKKw4J-1n7tTtHX?1cd2Byy<na(}hcsJfx2Na|NVTn9t=~N}e6+ky
zIWl)`zTNn8yS;XN{AFxww<;C@5M@sfc->jz)Bq+7TRh&|xjXHyi3AjicS3DBE?!bT
zeLikndAnU-s|7e3#*F4{I!-25Htl0}*k7yDJ`RcnL<o0cbrTMJ@|*Z<Iu;xkTnCE%
zPASwI*7DoR&xZ=nTl{>IMcro>oL{Y3qKwT`R`!3R)fZ|X;%hQH8M>N;SHftLreNDo
zMqJ<%wcWlT+-A0Y2XIkjH|#%<-?H7Y-6A+gwVCRX)Ogsp9kL$$6e;fM%>)8c)$;}V
za)5yNQw3|27xLi+eTcLV2<?1*#vRs|J*fhLY?hY+_Lq~<dl}AC1qZWgzu~9j!KlB-
zllaE4EZJ$nIL(!l8YecB?!K;OlT7Mnl^)qF0|_aUsp@)6#teVcan5t>Q|sLRCgV8I
zSes3@%o3gJ0At^2?nm^{UyS8o-|L!#KT6Yt{Vt621RhIgiP)5Zu@7|j5>x0e1?;fz
zN&;WvE@8h#t1qz(FxCg_rGVnA%P&vhOb&?k{MB^+lBfe?cOqv2H*oJ@J^w|NWQ2Qq
z0rzlkUsJQcdT8Had*+FH<cjq7)L$@s|NoPMon4L>1mFK_QnIt>_CnzMe@i~bKhg{;
zj6Xwr>ixuL%Dx(TUyaM9IzOW;jE~IYRC|I~0r;O6IgBcgGr*ro?<}4wrk_#VH5WP5
zS6>Z1^)-P4j^#Q(=}d<MsgMT5l7|uM^=^cLqhHaae2DV+X&v3KoDZ>~q*whr_B&}K
z?O#XYzrpkG;rP#C`Ja#c|5x;}urP9P{3jNfh*>#Vx!C_-;ppuRV}LHU?yCB*<@~Uz
zPLVc7mJlZ;DM>-*FNoVu9rO#IVpOsffD*7t6Y4Yo>;4Ot!QDSVx)nSk|GeuwAU|wn
zyqXw@Yq~|3&&c<w%?GpZ`}s6gSW(gL)n2}R=W!0*4^4um6@bm!>S|$F$L71i-g^5D
zAK{=lHtiJqVp0fNy?@SQb91e)Vk_qbo`e~X#PD!1EuokQg`y`W&IOgkZoO~=OSbdj
zVsi*ubNBD7ynHsJ*&EIVAQ0Je7W(>}7l&aLQ|dwS>f2G}*n;`Yj&E@*<aokf7N30%
zlij4$(Fg)G-y82@3Y*X5TbdCU4_2PsjW2qq@#H;B1C4|?{E-Ya*YZ@R<H>~y;R{6G
zmfONBi@99t-<pi+j@(WRlJn3oL;mjoQpE60V;z{zxg2g5qTKL73a3Hh+92Q61}cCD
z{!~p!i=;!YA={D=#LgkxRU$h?3iQ?=evCa6=5S=Zy_orRWH@T^L|<qel-RrbO~`i|
zP|tcrmRJa~ejZbkU*@u-QFM|*Y9=DChl28l!ghy3dWRyui6LNA1g5<iB2;L>N|@u~
zD2ahiN>GWR`BX$0xiO{47<uxg*h#tAG-6pwI5ZL%rEq5vG)f$c1gaz$4}yG3Y-hoq
z1^lIev(T4<j9Cy?<fUApQcMJKk=ZE=D%_Be0u&&oO6b{~qzf%>@IH{86_+iS$$}0y
zbhrS<;(K}!MFF)1O?rr(#KIhb1!Q_S?i`&9WqR~+Zkq*RdMsvcFp$B8qaBJqU>g8w
zsTFZ0_LOI8!KLM|mal5TrWLrH{}YG=^o>g_ppp}C&1Yo?dlw&bz6@n2_lVgpFux^;
zV~*oq=YO5O1EOU{23iPwU|6_)^KzsF5=Ht#MqCTQ+%wMp#9j}w6%@d_uN5%cOQX^X
zZ6Q0M==p}r_bXeLaQKPBt?&H-NbmAZ>xKgpoE)m}ZXj=EhxtUw=ay-AQ+iih-G#*!
zR8D^2NnkbvYEA@*;q7({yLk4?mmehY+TW8*Uq%m{zsi`y!Mrfgg47e{Zp?9vx_3dg
zF+?<>Btaik;CxOQ=wYFZPGtTHT2cZUP1vV*Oh3vOl`W3T{+m;IstcCw0qSED6kRXS
zHSehw0qJ<!A?3FlIpCMhnh?V<h<W!=QELeA0B*uoLJlZaY_3~w&%IY>SJKwlR=FxU
zkwQ0Oy({*_v*{bI`s7xQM!NU+zuzTIAWX{e?!6!!-uUlvJ+a>5-bFDfu>u$2gVT2g
zLGcGsa-S{t$s<R<AES>NAjKtG_P*Pe!f-mFcLl|O+VV@7&v{(*`g)@gMsn=ugvCcu
zQl`>Rf*zA%Hq3x_4G=GQ5OdAsiU0vX9~Us^n~(3j*a|}|H)d~~{4(jIPlx7eCfCL_
z^)L+iSxeOvP~@NBp8Mc9deFB`C>E_m1cH8IL<KpsJ#(g&yH30~0{$5{ns0pZk`!g+
zEMpY6@E-m+gEl65#xiT!7p#vyk1TfITGX&fEmmADkgNa}L}W;m0w8Nl1FxjH0A)ef
z6_Hmxv69`(oP5BXK<QiWYsY^4GkfWgd?&0xkbbZIKGKcbtW2RFi<J62oK=>P8EDoO
zInwXY+()z<J}G`u{oj7SKN;~8#$3#B(<oCZiqp8pya#A(f-Xm0jjY$=ZBRLtCm)VN
zoMxOl+E&_RyvYT!bH?=1uP~Cs{iF`bKZ;3g>z4~Jq1G^jeq(}>e}rX2v<ZOlx+77&
zs9XHeT!huR*+ZW8cU9lzcL%BNYuQzD2kXYF8ARHZxWRlQ^F{Fl@gW9l<dgP{%QJyb
z6HJazIz&1I@s9oNHfHG*(kM8wC7T+~oR#`9DS51Rj0haCF+*v9r|O7b8_G10XTnO2
zl!bGcnksH^UJbq|xR8GYc?IQ&%Rt<rY*TML*o4|-yTVm)C(0Sdx>f#b{?`w>b5;|Z
zt`d_U^@DzT(2^5Li%^uqI}FQ(G3(+xqAQb~KOE>}0LE5Wes5@AF2<+0Y80e5)57a4
zJLR8x*B2Q*(~Q!Zen8%jHwvvuG{{Oe>{p*>IH%-yw9^p&VT9F*E0e3;ZBmj(yvjMq
zTV@ZKCs8O#avY&%X6T%enfyEA>$^D-cie8Y%VGLfxNfMFy&)j!zEQ}&X({txGQ+x{
z*8>@7tzXIY2YtyOIYc_3dXL(dv6bOnco)hn>k#-pgg(JJB0WY7fB7^xAS>svYnjgl
zw^K;19`<w1BZY{%420}X6mr2+p%iq6-ORD_Wq?@s^ls>6<&+xpaO>!gu@@_2^(LSe
z*cLdRnD=(f&w)9)9615Q{1qwU{>2jpG7&-*P=Q3)NNV2X>!~)<c5>S(I&qo)AMicz
z7$*n%e_Ut7%$~)_J)yeK=Stk^frdMu9XX#H5_qvO1=qDu<_AWzp_q0IE&dxr1iN~B
z+b2ArO(}Ww#B-k@mdSZg2eVK>o_iKde-6EyU?vNDuEs9JE%~!F<5Jw$UY4wY>_q=3
znTJDp_lYjSuBzOb5kU?H|19iaJt1?(K0DwXXQ_VB6FdlaY)FY42-Nk!>)yC~?Yajr
zXV#vD0je<pN$){#cb3HBPXCwv4oFjiXUA<H!+k&LuC72JfB=cjMLh72-fl0+%|xIg
z;20oyO;?$l&50&}&|?jPz!q3jv)erkabz9%`^W^=8QxnKwb~x)`bc8SfwZw7>|K(W
zvRbTYeQGvDIn^-ZCe)LbkR0tdZJNjWC2$7FwHrP@jRB%s#urkiy49iTdig_1PYsur
z`btG*wT@UIeT9UB@^==-H2gP~d2mbLoRtGtE&|sK)w)zU@j$w8u$emeKB^wKRt1q-
z>iOA0@&5N0j9DjlcpYr#f#8s0Vx6<QSM&4$gcsw!9f7j`1hmg{DYl0~&v&Ux2wEjm
zA>Udz&eeP08i!h(So|MQe+BMgSD-Sq?!BY4cXChU;*f%Oq58J7$GQUKT1i$r%4Rml
ztUWpI16D5CMwj-^V4Q^b*J<&Ht$*nx@bEeVT-`=ILt4Gu)@0%=0>s(=_IG)5cnow|
zz@?{NY#R@AAQ1jo=|~YkF9(d;_b(mv8)qoCnkSH#3j~xuSfxLoQ3%yga0Wj@Rv}zX
z33Qw3HUtc_i$)&|9E?PjTN@28E^t>WmA0rSc<ph`*o(QhRkhn4MZ3LErf+9c3u);z
zn3>j|KF77=U58j`=_6hL+WCFKk6`^GxODz23_JufkG;OLyBY=%N)y;f*{ELjAqV|b
ztd3g@nNjF4b92b1jQ5MJn@tXQ{4LLiKgW~I1M{yZ)CznBTxfdv+ujRP*Zd>*Y<dRP
z#Z$S^_4PIS;k9Zdb^jHc_BylpLUbC;%JnJNyJI?@!`;tuqxF0TKjg6D-B#kpLI!vr
znv$^~r$#d!E?&qSPxu}yTqOLoc`{XwN~QMM^ZO?`on}<T>c2=}FwiaDpRcsW>(w`F
z<9^6fKe*Z$tQ>mycF?2QkB*d3P|E#FW{0ml+Zu`e>{w3mv&$g%APz+W{hN)?I?%!X
zija)&Hcips!UY$Ti=6#9BE~)630>^B@IkZ8b&F})aYQU}OK#k0`?w2Xl)MGyOLbrm
zk3aXr95TJ;Ym-59eJ5(6EWAR(#wBDlG10AkN)KUQN5p>Y_;Kd@_rc4yjl%0E!2zW$
z*S`6E2XSISwSX+#&tVF7ybpKX(h&|O;>4G4_!kR>toJfS4^C9~Js-uI$o9`l&bO%V
zNxm<a=C)NfXQ=N!ZRgkHJ=R%{2;i5dq$a(!@z%?uJsm4h@U!V`KK*_C*0{@2mhucZ
zc!)H6Y!ajL_0Ch1+X$ENw(^9!=k{j})r8zkIBuYZ<fSLujCyP)H4*9v1e$K5{;Bp$
zwe3C-31=bM4-el!=&3|Fp94xT6=%R9tUG6A%T;*xHKK*;d#$iN#IhHl@0eqVVL-~E
zJo3kn#zl{ai<;^wl)}r2Yjgq&m6b+u>&-+0`cC!Xm`7^L@Y^E-E*v4^&3$gc-28dO
zbdU$;uoqyKvLOe*=jwUEsPJefq0Ef^rol0uS8@m?^YHGmiHbM#HX#zNnkxG)5!sKI
z@6^VYZV~N^CZ?*|Xy-L5Re{8nw$gag1h;-?b9in&l4{jet@$e>Krw~jfrm;<T?=MM
zHe2Z(6OLIrEF~(Q2w^oBvcV`snle1I$(U!+6?y#eD_`Kkwa*LRUJ<qyGn6U$jvo4g
z&!8^lh*PyV9?C)*Kd;G2Z!A3Zi}TS6E1R(Hz6N|P%yr_%F70`$B4^M1&b+f06gW%j
z5kCdW?Ghr1V92o>*DxzyV`TyjYZ7jj#7O24lqkH4KQuT0L%Jhlk0Z8j%iom+*~%|e
zFFQ9SdbS5Lju?v=a(zctvD*IwcXpOk5^O$19&9JvU#!z0PLrg6Vft#%@%M;#5zGV%
zxQhl`|Ij6*H%yq4sR{$fbOe~SG9}PcwWuneaa&l*w(CRpo5mIB#X|So)hvUc+jaj$
zUQLY!--Byqpz9{&W!$VU8#r1d$gUbt<OPl>e&$=9ERZ&i#H3LWA_OD@hfM|@KOfpO
z-Vk{vl6e3cC8jy4f;E%XK#2^cESl{{61<KSI@WNKn&-T>MU$#Z<ps8`#|)mA#}B?r
z`JdQ9bf_3cg%z_2i_k1%Mnd1G##qWtevSm`Naniysiowha3>a0dLBIY?`znPo>h?L
z2^TpBkzg|neN1poctpdKk|oxz_7!)fIP-rT@W)c+1`O+#@EO8^_+P5AaP?8gNp14Z
zSglwA&gJePI|&sAFCAL<ZeDnsS&;|9gK}L+lSbnvNw+VhQYhEeHo`{sn(FKVLEA7m
z96JIzk)=wsKwyPu%CqWe320AK=EpSC3)M}j!Z~l?u+8YHqf*edwlExtWldF8;o^!J
zmGaQS&av5c3OfC5F-EoK%AiNeIJJ4)7y|93>Nc`q3=sgWn+z>{gQDLJ$ITRS7zns4
z&JGRev*Y9Amn;`=mGD1XANSfVRNXGWJNU+}nqM9K{ky4DV*L`BwpKF%dFiZ!3Rr4C
z+XKrr9E^t2WZWOJO0MMo^~TyJ(JDdV6hDWKW+5CAb)0(mr+7qkH<CsuB#(SEleZ$J
zFn37$EAe2C0)yG?NTfNErqJSUK$^A%BR1@p{BFK0bmVq@Fd33EYKNN)`tJRMun`nB
zjY1R?n>62u62~;lj9BgpHV#T>HQ#$t81Cc!yCL!8R{3}U5E%kx;<sp|ZvX*=ifkNC
zcpq`w4Wc-Dt*8l$X%eW0X*E2o81Y78FrqoU?6w_Sma+)(W~Q(ndC)8`Nw5=!qG+(h
zVZp4LvGiuNDh2XWvPI{hHgtGN+;LC%4__@>8Vj$ofcBrq0narTz&y%06a21^ym^9H
z@k<hTCxYgEMq>nf|6bg7fBSbO8J(BEsL*b>Tu}Y*Kk_;F?vXL0^B+TB!4&<V8s(~<
z6R@14R`#1%68aPBDc#(cw{84pZnNKQQ&wlTSJ;@1-QC?EM-dZPg7C{^X<8CDCcNM2
zI!QvcJkAYR*zYjmi6Va`fE73U>EpuAWmqDDkHSvFYI=#{<+Bu!@f|Xi>PjO(D(Gg<
zYw2LCYT+g=C;#q8ReVk^Pj)w!GBj4@RgxXzB(xWG)aegon}#vJMa~H1BrO3CW@!jh
z70UZ<bODmF)y9hH|0=ssF`xB$^V*=s%M<P5=ez{Psm$Z}w~eeFJZjzc$xZIf_8@UM
z8flyVh~z4A=xMLIBW5bCs>|ht_VPL5M$o<!8mZlNV)*2-^6vm##}DQ!xsTpza2&T>
zJ&CwfUJuFoL3b4A*(UHXbCcl5ITE~7=rWf-D3Rbi_$*PY&mqcf_y7hQ2!RFR4%KgJ
zm>l98@Kqw$ik5ZS_Aly_aO+~Wr?uhHOKy_!-U`97(K_!@r)9xNe5-S=0gT|T=lp$@
z2!{5{KK)?p?A(tNUC^#&Xjc_x;;Hx~95o^%)3Rxb+3ItSEU%J%4gJ%dffsWD9BWUo
z=!}f&j~!i14ngXRHlygZskFevneWxaezyG6NH1V@Z<4GtDAC7to6LyZFx;mB6*@s!
zxnsiBhi1V6yqJGC7n^Y+y8E9|O?jAmM6-p|&_gO7`f`(=Zg{b#B$yK-*K{Q8J~w%s
zuP2Uf;clJQEGPpHQ(h$9WX{Q^sSM=}$Zw3u(a94x3F%=E9I(ZbsKUj&vc3}rp(Cpg
zW=!!)LO1z?$VQZr+o()Sl)-WgTfznivq4@M70u^2Dvm5eEA(fvzhc`KVxl@_H`77N
zHT(#KLHgwdQh^NBG6N?&y4^<i8(gg(JqW?3cmjcr7E(r9u8f7nRO%;Bx-mKUcz%|;
z1(99)&y`a7wJkG5grSt5)WA)g4xW@Fb-FBMZ0-Ut*AgYSsr5piR^AG2F5iSpMj<aE
zb3YV#0Y*O0#E!pZLrW0X3y=?*_k)aA7A`N~d%IYR)7v^@XCcY{R77>!f{;_A(E%1k
z>1uYgNcSyF_yaijQ3G*9oyKn=T=tz72@r6mQRJm&Vn$v8&p(i%0?o!NeZrn*wOt$N
zRz>JCFuAFX+a!uN(B`Jnf;|aYx=n`l{h8H+1wA)<h4EDyibU1rq!%^kFt_@C0q8^A
z2_%IU9H3jM4OiE**F-4@ygcS}dF%ul0ZfRmNZTCdFYAGR8Ga-AB6zE#=}iw4Iv=5D
zSKGqHPZ!#{@xV3HUgCA#xU&y~4DPcJx2WpCzhiJ0BAe9cLLDk@SswL`3nL(hile0C
z@-wDRVunQ^Y<&z0bhEM)rNj3w!_2rdy%1yxt_%~EgUI6y2B|dKRne<91)xaly5BIV
zk!z*WxOlIpn9h7xk-=-a<eLujiH9F^hmt{KDV-A4vS1f=l#M`)L{(vQp%3oygYUK$
z@w`x#Xr%v$<BzO0E5_MUBIAuuj*q!EX_q@#c8v9-H8nVTgQU|;=6v>ouX|i(*f&lr
zt^RIt-ESwyBPyNNX)>I?FR;;L%YJ?+P|jA4M5=MW43!Y5)MvNo%Z+#QZgc40<)Mn^
z9gCc_Yv!2+!Y!RNdUm0l%ilFvZqgS^6}J^96^kslRCb~%qd=3=5J=L~#8gSRv-StG
z#xy*GgDZL}zx;8b;Nz3bVR=Cq2E_!i95g^a{l=l;X5$heT&BDifDhw@*Lq1DG-VQ6
zzN*q9VAc>Ul1<pw)V6v9y9P?kPB0Jh)4hD{AQmTj3<R;1!kSKykC5$MS_Yqv%%p59
zR*&+cO~q=7yc%Uz0k5>LXeevLrYlb5;SVGVJoDP+{gBt|)5Us^pNH-;lID&*zwg;{
zo%4y#o2)iF{=wC`wL~ml6cT>(6M&9TkG0-ptG)P0qy!7{n!x$VcQeo7eD?OrN4fb^
zskVk|Qz^_GRwZphJO~sWk8H}Mibl$t@#r-+u1T^`3yePsY#DF%zTo10J#FxO9p?&I
z<Fm?9trlQYvt(z^abC}-JVMt4GXDbUvJqrs@fW2qZY@-Fd$6`%E;gsuCdNdNCL`we
z+Nhvo2&H)ZyDx|YcmE7TgJtVPUTN3s5c<+_lqprKbYDch5QKwmqys*y`(q!m@*r|C
zW6@;$E|{uNc7aO%!R)Q5scGK!3-UKq@+{lgNL1_8y3nxReQW*9j)omuRAqtlH)Rd4
zZO;@}6zjl0jGYhbjtKd(KWZMl0_HE6YE>!QI25rjRawMtz)igcWb~h)M;uldpBQ&&
zHb}=wRsa`(O^h1y-3RuAf%1Jv9$vy09^~$cx@94J5IhQeGP0<!cq`{(e|J8^x^2gr
z0|cl*e1w>^m<B{wMt3dy-l-4}NkwiAf5dFZHBJ_6c&y;q&@{#)Sxkoz+&T-UZ_^F9
z%Cl`nu!rSE-|gNJxRn32gEFOXIa96gmf4&Z^M`T=;adZlGI^>MK9&9`T~Fk7YKIO<
zzo`a}&{ug#czGgO?+0MKLn*pavX64~+>4|zJUi<!TD|v%f3xgpws70+5N%n#e4OU2
zlN>R?OThYjl-uB%=%39UF!?KHO5UIb3O-E{BK+!C1Br8xPbhgp+t_hgby+ryCE9$B
zaWHrFH19myJPWU_JGXt2J466tN35AFWXDDB?ZN)HFn(cKNDOFgVzLKlL+!zBLL9yN
zgG&RLihyxbMP_NrtwHqwPGDScxxNf+h*GT-dA>8|ZVkFG2^X^XuI%<2VlTVVwI){b
zhbv}@!mE+}t@__eSO343(~UeQo4&93VU!^sM_8Bk>#-XEzObxVYqT`SjO>q_KJ#o3
zd-~_r(7vISvp-ef9<%aGGtQmBeH|mjC%UK1#YuwrZOkLL))vwI+~!e3lBOU!igW7G
zW*$%zQY3^{L_8D9{Uqd}Ln}n8G0#0(f2v<n-@t<`J>xEhr8r#GUy`5YU!d7PW+c}t
z8qcNy*|14f=rW?p>vE*W7M)5&jI-pBod)BeW})jgJkg9qkesI*b>@8%MC7i*$r+qh
z+s2`(sxH`|&~q&}u?vJ7^$M5j%0d)+@0EPRbPFT$<*~$w8YiGGFm)0^KsgFdm^#U#
zL5ZOAXp9?jpjuKXN4=Q+t)F(T>LlT1fGbfII*92*lkw#rIu`u1eZ?ozFp>tO1*LQZ
zkON=^`7CKv@ZybZ`FBKpFh-4`5*jdQ%;<u06*iY3GYk)XJjsgZ^ll=XOn&iRA6f2&
zCb-pT_FeBdS1b({6E<SCq1Cqy3+P63w$<Jgm+h771b3@yl>{M3*-=qsq`VYS+Z@3S
z$SCmuVN!-o`=0POdt?0F(t}IaDpWe{y`K@k#2P}>z$FCL%)NbV0eE?&(kn5R_>Vwa
zsLG+}qnH4ntFm(omiyiB&mf2|PAf`30^kcZqQ^7OrouE^;bR;~hn%uWB=?UVX2EJU
zMkG=6qCmbeIm8M`6AFWQNV1`FS9KDytkUA8*R=}VPuU6P2WlN8v7JmSNl5ktCT^p7
z`k<{y@LMGga{Qqx)z8uM@ic_gnwf<-_-HNN!I}*XKKx$2kS*ulh@nz@|2S>($c%RX
zh&#*5*8E%BvUO6Iy*5`q1ZERrK*z4yUjkpW5mFPKGfHE4mL>uoH84W<Kt<ec*sY8i
zZF2Uc59b$r#v@)%S+Q}@pJY*9f2v+c<A?`A)sbm;wSp{a1g<nxKA&QAEH|4Xm<BBE
z8l5>`*`h`t_FktJu;jY}cwTW`>iU4HoXr^>%9S*a*tuu|`2;u~8w#wt61=U!t0eDL
zlsNCf7*PRN#{8UBmMA;<x^$gPBlb4;$UfjPz2)y%WsSKR>iWY2`T*bw{qLET9RT;6
z@7$r&gBu=!UCW#iJ05&J9kjQfdng+zDSfmlXrGO$1X}3A=^x_FoK@TA`+LD(B%&^D
zTl_it>^RZC!|+`@@-^BsqIkAGT`pP62=ymL>r|3pYB+3JP!@8Lkv=fpp1?)lOIjO7
zYhLi)qWlzZ#yWn!WXWVIYthnTz*d-x6;yemNV_m1&eQNAVT$_&`J&mjO<ZCDiyrA7
zbXg1i!yx68KVN`^2)`)sNxWc`g^|p$W029B1HA?vPU}>mXaIYHmuu?)YX(F;=hoYu
z^|kdHs}HqTq&LZxo}YaSJ-uA|`xxuOp5A3XFJd$!mCO7?T%I=bl$!mX&)>sjoD?OD
zl+_#9r;nPK920al9X6_}!#4|edF^6s?HuI$r0v>lO&vV^<6~RDqv)8?(gOouG2u@J
z+nU!N+rA;oY4f!62~$D6cBZ<}jfQL3<_G9}=n&aMkELNYpiTmN3rSmOTSP{{D&*=$
zAq&P1?!a{@x#AUzd+{{w4Yqe(GJVlwL8AG)ca9_Gh<D=vd?BvSPSmaebbLfX+HE|%
z5==t;o1eAX%u@}5Hw#fBRt$pFSi98j^@?RbtT4p?>LJcqle}w{(x~7W3GaY25PE1}
za-If3iFhZKVTNt1cTsklG`fYPXmsLi(*PP)JGNyy=Uf`B7>AnE6jFPbS#XYpS(rEy
z5X#3`0i;^cdkkH8!L*@NjejsqPnWT)sWtoPeisR}r|Qo9CR!ttS@k$wxh{cPkmByD
zp+l@hiW82gi!Rpa)n1LVe(b&qNBp5x5d9}TdDw!swOX7?->%X!oV~f3m3{tC@vvrt
z8HO6gz6yMgJ*a*S8L{Ozbl<C2Os#pi)R47%!7|w)gwT$Fy+mmigx)DwIoduU_TfG;
zGwrXt8I6<rc~nY4YEZ_+E5JANR&)@IAW_%s@6au}BM)598ytu^?!E`jDLybysWJfH
zkCJFWrqoF0kCirSqNb5y(3Yi`H*^8jkB0;WKT`sZ>25z|3%l&*+>vlfBt0pw)403I
z49h_C1`yPa#O?HCD)t#{MZRH)64A2+``eM;E9}xEA*Dr(OJyk2!YRoCOCqRw0)Iiz
z-qc~9`9Peyx5j+IXPv)(5!2uD2@0LZ{diB9=W(LiskbCK7@?>F0Ada%DmF;tBPq9z
zA5=1oq>=$s8b82yYZ?4!aF134qn>}G;7Kgy&lx;*Cb2DXlkT&HyC0Z(4sI|9uFLtF
z%E?&E>~Tr{DqZY6J3wRSej`{RDd$_p{1e1NYKqA1t^z4K;cp?i>xiAQ`+4B|4u{0|
z0>;OW<Z%br*_Ycwyo1-DM2WNDwO#?RS%2G*Q-HP;9!K=OOER|a`!oF_uc?`}Tmu-N
zKD$5vw(aoqDx;?J_E`Jt(d=v4<%@UvXkc>7Vh1(Lh4xeQD7EwsL9K1p`~frBG!cU@
zyJ_Gp^C@lDS(AqwmpmECOVf=rV+>AI_(%*XSUc6;JEW0SpV;6Q><|eG4lZ(hLaunf
zzcytIpm4`zLx$Z8??e&;0Kh|mTk_XP(OfbP$H=_i?)t>n$e2X#)3~6hv*;D4AHLCJ
zl8db6+Nf(3;gnP)@6%&)i7<e1oK%&zb!3skK=15g7kY#D78e&qyl})>>+Y9TF3d}d
zRif|ao-9h<e>fZBLxy$hGmm&X@WY#n`$IG-a4G(Uiic{%pPXwFTnTP2UD|G&tb)RB
zt)wsf$-N1`6H+qKO3-oD*6@+VwvJ?7%-7-E+Z(&%eRRJ_`SJT`;rmfve<)hK|3Jun
zHDReM_5!25_e}8nqu;vi`mTTM)W&US4^ow1{?09FO-;oPztC$7ciF_a*X?Zy<1ho?
z;xu^0oiT@HBu~|;+j&;qxJo7u?B@MDw;8ayUClwjIp~DK$(bu;A7Zizbr8fr2>~4m
z`OWQvLrPq*5*@h}6vC!+?rz~pVIf5D#tD|XG}dam>B1z8%8-nDl!9;|4WyE>5SsBf
z-TOu>`6#BpM?vYp%VZ<_;vDQOG^a=w;ZJK$e3ByA*_t5al7VB_c$gZ#cAw2K(-C!r
zGd0}h5S?BDpGc9^Ouk~D+^ySzh4lt)isBb71Y4zt=6iKME;5O1QHrsQG5Om{&A8r`
z-W<8SDq%_Krn6tq_I8o+%_Hop5<>Lh&OP=qT|COTq_W`?$1c!8r+kg-DUIP3`dgh1
zC%;abNM7~YZkIBNZk$_h(CFXCp#-d|)|XVY=dqFgVl|QzylYPB*^Uf=lg>+B3+A|>
zGU9R~nKR)<)rZ0{G92p1V~Wu_u*8%ij{V%G&Qi~sqrjP{pffwXxSB5@sNg$3yUM|k
zRray0TW_4RB&+H;>a<#pJf7RNZ!gdkA~@pN)7;d(vWs^}YSjDwo8w@N-PYoMIrFYj
z+-F<Vn)mFEtn)tc7wxw5sIn?dOz%_I{Jttfi>FrCiHrJdF}2F>fuk2<be?6e&asok
zSFQy{-{H}Ra4Zn|IdkkA$Siujx%W~1BzJpp$Kx4;ufcub|5tNbLfzGv*EwV}k)a;6
zWK*S_pRMdOXD|xUKTvOG9I+cle+!WnFGjwObTzg&=1IBhJ1L5t4N3uX5H+cBg(AI%
zmLna2BY{#ic)-}2gnv^Wd!J1&Wo`NEW}Zt0+g@&PrU*OrePgo(!>^LQPlmByrfI0;
zhEJpSN$~kT(v|3F1^*J-7jj|APZf%Mu6F{AjoR0jmH|qV3r-@4F0xyv9lCDRI+L}f
zYTP*-vz)35#-?b&8N+i|bY#Jq+l>LPW?;LMi*zF7i4>WzyW<9lC9q*(_^Wj2p_g_H
zy`G@bst%W?pN2{wXH_FOFOZ9FAyWCi9sAHUr!8ywCxc$WFG^~ga1o5z3_>!j8XGu-
zT^}UjTi(VTA<goHMA9@-I}3nUS69218x4&=2d^a7Rr5Q4nxr1Fu8<y%3Stc6K5{=N
zbRKOZHrat6D$&Rr+V)-UcJeYVV@ZnjJ#-~OnJW!yuN0H}I<;*<%Ik-^gcXAo#2|#(
z6(_TZGNB68WQzJ2&mRWEl*R>b4NnPF35|2zhi(*{gvtcn1fK-vLD(OCZpqvkF9{#s
z_GPh_CHLmH44)zQA*af>T%Ymx@nhxg0fhNT@TTAvcNfTVILX3rb&AmDYyPdhX<C>K
z-LfM%fgCPp4?9|$k{R%;VT5H&Bb*Gb9hDIvdKj8X_0x9T;0CJqeVg^uYUHRSLqs$B
zJ%-yOB~AJy^f(u=gH|#>D6gJLp&IA32J+;Pn=gC)cpFbQ2nUL-Z#?8KnJ!!ns6DEn
zZjPl4Y#=O%^H9oJqc_Et!3@{THVr>5xKTvxc<7{&t8mEgQLDkz4N=wQ@Qqkji8lu8
zE7kcU-1aZ2hWf{G+p|R|eXKjh)F%~3$Ki^y8pfql!(8|3kgj?Qf%tgavpi`JR}qQc
ziGrJULF^C?N!%~FCvn$dpL~zDGg32B*HSqemo@Sgh*39ohD47SMs9`Soq#Z>zs&jq
z&FjjSRgdAC*>v{Fv5sPbBI+K^FD=Ek2p7^D7|6C%xex*V^8Ri9rv3>23!w2aD-{f(
zESSU*bEvrivZeUt#L`ojxmmn*IR*tqII)TYIK#rEOh2x0+*Y|x;oYaSEb0LRPU2}2
zou`*{HcKARiV<2s(Z)YIs;1v@?JE~iRHaz;_{y)KVaZ~z8`NgmFB*W9OO-0M`9J!?
z)i||je<V~q*rH8Cj$J>X^$;wmc9uzzo^3gL_r|pwkLK`3&hJ8#%_OI!tQZS+Iocrn
zY@UlBY|cBg;kGH}@yR~=w(L$XvG(y!JI8=_c1{twE(XBddAXO~Nk_eO(#JY(tUxk6
zz3WnKf$y>HU+kD?=ziLYJa~+~oa5&Fy|0V_j3jzq1obJ$ta0f+Cvz*Rk|X6wJ!#E~
z5t&rFiaTJLNzt1->h*JY?~@a*hpAh&bqi*ejX>FdrCZXl?k~6G3#z1mR}3#rhWE<L
zTBY{C<axt)Pe*~mh@+1aB35A1F>^aiO^+J!hZ9e6GIJb$iL%A<V%D45WuAsLw`y=m
z2ApvpWQWcW+i(92wz5^GjuYmNSRO`A2L@Wvzu@bL;VDt;p3+%nR_i_6){`kyIqOoI
zxc&GcyApn8{NaMx3Q1e6DPot#aeh1v&TKYSbG~DrFC_C^@@d%@?nRNM)u{P;JkZjl
z|L1o0kSBR6)3fD{m*prq<7}AY5U}HVUcaH<<y!K2bW~%RG94%n>anILsE(61t8VpG
zzEB<)rDwdzxyU*7j6}L))X#fv)Uc+bEU-{joK-wf+#-ug@tygW!ao6l0u(2jLYc)^
z>09NQL9ZklskM=8P*QwudQ67A@E&<)q^RhPzet$r9#kpL3c>DjAWKP9Ep<Qpo~l2J
zcQQ?VD)K%X(Ga+!fNsMK8yJ4MW%T*DZc*cWDm?}jkhSr2V9mygF;~|eE@~@^ZTKl#
zAD1f;Rh!rzJyVyOp)Q$oK+R^zL}_2s>FFsH(K4lxkMo52Zn0^@cbT93^jRQXD5XtX
z=vcaqzyJ@uDbNBDcfzL2_Pr}M{ljA0=5>;8t<qI{6t|ha#b2qP0taZ&pp`M^x@5}E
zHEEV0=c@QtYGlT^4Ptif2Ii`f0_cG;Se9H$B*B_LLUoYa-kV*~;?$|jEf~$?#+G2&
zuHvp-hA&bixy)-LtXOEjz>G|5q9Tr?+|u}I+yW3mI<YPGcs@#iuCTyc7a=fvDI;yQ
z&!{Wh_pn3Gx(R}3OOLQ)0%Gs~w2bD^vhAs=Z)2!yZ~Tx~aRv$&#Ay`@@`*23tr}-)
zE4MiGrG7&=VUL3gC%U!Adqp)Xsa*NU6m=IexQ}|kQ>)Iz{I1@l?@PVN;NyAou_CbW
zzE3ZB#~UZX0b5{fwNe(swJ+`1;6~Y^>^<E%;XCL(>N)AV>Dh1R<djv_l^9$dcqnpI
zDB=#2^(&`A<7O4z4_OwA+=v@_tY^Sz92z4;(u&GhA}L7qv@kIdy9{ULYDZ+`m%mOL
zjtvQ;_)^>cp<vNTQBGN~!E(wam+_t1drFUuT-y3FXI$-+^L}&qgZoA!0oL3S7SL#6
z2@{_hEYkg89bq|N_jjo3%1)8&+PaHshtt0Ox`4wr5|4laZ=J<x?ifobLfROj91**_
z*S=lVLqU&qiUXfsG|}LJe*5F)StwSuZjU$9=qY{f0AZXmxRxVC-B^PaWh5H~o_7d?
zP1|NHp5dyg`_N7Io^l|5fO|ZOVo2VsAS{Avh!(hUE+0F7Q5>9rUn=q>Y`zl2!=`>I
zz{*l_sxY}PY9<JDr%B1bx}*XkOBQ&gW;quO)$+s#%Q-oQwvV`GW7@)4Gu6?FZvBa>
zwQZEsyQzO{!D0Eh;)s&=2`70pd&p6V_k1a&Sqhzjh#Br5r4hui(n`Q=uf5ak*YESa
z);X~)#uOG!$YXfAw4x3P*P=6!fD(+`X?j94tzqpx?8I`xIs3$$XWs4jV$`o17<TQ@
z?v?Em>=SHkir9hk+?pm%L_p-PqmuvErkM27Q*~rLrtm<?Nr1EQpnU&!(5#qVigaVa
zK?~P@VhJj9w=Q3YE#;6s;Z-$ZN+n4%LyGydhUFB4XvQ=%{#a~gQLA=H{eo{`a)STh
z*7YTaP$*RMPq`>>d81tIU;+0UFmFOWgF`U-j|KV;HrF}J*`6$4Ve?Mw+erxT6^GB}
zUu7bl)b(12y5#4>tfSZ&KIV2;hXJ6F2(I_tnSB~thwnVZ@YbL3kP?L)U(fyKPI<u2
zgSqYamicj4bSQj>?S1X~974EV!*!SWRiW3F!rmfbFOftBf40hbyB3rNB{pV6#n4IX
z$soZo!DAp0+Ie=<hR?tct;?Lxu4VXw6#k)jZaL!;!F79L%9-!%<Hz6eKDp+DL{GD4
zI3d2JL@Ot0D(G^lu}a{XCfT0WDedWx3{N|SvJ(W~wVZjygcI2+gbnXCYB{#;+`Ot4
zrpwR#yh}2>1|w4!qZ-x_AYBev1a6-#DcZdmKJ9Job_-pj{MKW?DqYtnhWv{B=kuGy
zVY8PVAu9~43nXDWzst>|wVUC<X-%!_M%mO?$v`uq*}R%<yY<%lL<-Qw8w-D2U^T2;
zyshBOe4J?}rJ=qtlq4v2msoue#V+>w!;bHzBr={BaDJ}vLkZy*?Rf_)O`qPd=*-H;
z7GVK$Bb-s=%)OiTEQl&Qj%kCxnn7-!R(fX=ZOiB~Uz7*tfLI&}E!%3XMBdLLBev3N
zv9`()YsCV2az3L4_2>`GrmkcwL9fGPt1vU0$em%NB7SGq^)W<<+3A7}mEe=w-nO<m
z{J=mnTHOLqH8#QGsOt%|<|xZyYn5=oLJDm?JV6(8>1LNuK$o!gh1Tiaa-*Q2UfB#*
zBiTKdWV=-v6JAOH+Q>z(wQDiCl3dK?Ae3MKYg0{=+GPj2ZpgvfukpyA>9L9n8i;=a
zM1yFWF<<nDodL{cz_zHuVJK#2Bik$7yFp5lnpCSHE^blGShZ!4+ty7)0UDbXDTomV
zOntffRO)_+{!G2pIaKORZrn=)>s7K@<NR_B=;W{zcnWxh(>#Tr8B}}@L~k%NjHYx&
zVNnyrWW-O9T-m<|qclS1{6Bw|4^nekB|<2ceDf&x=9n*n4>KB?o;yquRX7eMSdAr6
ze6(UqaY>i`re7D}rA~y>tuS?f(ZDxM9YMc5v@lfRG?0bn)A3EuX)T_A14;pfmAQ*|
zYF?IbvxL{I5G^UqHIt%b4?YN#kLHJ@<2T*GBREarhyV=xo3uwqsPfRbd7OvEAO+R@
zhfMx~6fIwIZTw=$%bt8l9~hLGg*1U%W7Hk*wFIA?C`-JzbhF+Md*A+3<?NbR3ZRWa
z+Mlb-YZI3<&%4avCy1xdba(b{<99hywvC6jKD%|~J^CwBAHPeYCBonOqsO$HYt^vo
z2-gpZKS{Iowgxoc>z(79Mi;<?8z3Ew+p8tWjb+_?=i}mrNV&Mj*Nn?%P7)(u_IxEA
z(Z+`sR21g0t)CWmbL}0Tiu~(LjmhjU7dPx#g??#~ph=W1d8oShfa)?O1Sr`WZ`nE(
z#-=9=mWT-XM4PLXrY=b=3#Y~7b2sYZE?}{x1g9qI(wy6XM`C~#09{sBfA7;}wreeS
ztAw3=KKyw`qhGhXjKh3GoOrHj9boG`8$7VL^26bt<bA3m$N_A8oOkabhuX4tB<1^~
zVOeT7tu*>s((1os1G;WWt2@+KEe*sR$vPU%#&=PWHcdY7vL?FwUzx!Ab3UK&){hs)
zdaPF36KA+T#|891eV3v{r2wHT8>YnK6@UX!eJd7zzM{+3=1d5z83kw24j+y@$G+Q%
zL`s*Q;ffbrQk*Bw0EqUOuFCJjC&Kv(4>D~<OnSkhxz?Ldp-#JmWCV(Y1_L^6vl=nu
ztuzNJtVyy46ix|4QnzBmPH3^G#I&R`sI-#UQ1QEh&_QXYLP_}eBa!uIa4so7-7nz=
z4{iDxdEtDIO_wI&f{ZnzL`k!*EGUdsL?D+-0#kr!{hH;8Bzxa2!$k`V$l&U3g3u2c
zPuMout9_8i;JP7un<(>U>>CvvmVuGd#1ye=AHKQ`xhiVa-UYVtpP<wfX+~7i14*EA
zA$j2G^Py2ey;)LLucB)F>5IR9tUTV@cz9?}W<{)ukU(~GnwVo>sa__Lhl{{9wn(b$
z#6N9ow~BAf5Og(%K%ki`y|znpuf$$Zh275KG+F5pX4_=vJRx|cnHI$<?>pa#tTAYZ
zG%QO+WO`)|p1K6FG}yW_0Y`_!o}JBZW!(FbMyJ-mHO_`Hg7WfXtVa3>@VKWhS_=<C
zVm5dp`eMXDs`1l=&>OLYO1ET}uK-^^hd#X&pyG7f?p*1x$q#&-_p^EN{1$t%3~N}W
z4)a2AM11sX)+Gn%4>z+2-MnJ-aEjJ7_z>ejJkW@Ru?JJ9Ty-62?J{2=nq53&YI3tM
zS!ej>{r*)Fsd<!M9m&VwW=7*(I?PG;hwyf<HsogFXCH&j2H_=_itY`e8!O}4++0F-
z>~UwO`&*rOg5+vTBNpdra(7pVjLv=-yFT+U)B}E!#N|io;kPUHEA-pEg|l3Yd8-kt
z7501R&*poSyZAkUs6_fBTxU4~d;%TkR<3zidGw2b4O_Pko;Y5L3^b=UiMFZvj>!zj
zYS@*4q&7{VXS#OL6myWVDng$Cw;p)Zg(!(~I|WeMbkzoWGeXAo0BU5_tnAbxoRjjj
zX0WunHw!|4U(uHeZ!r+NEUt}jHYm(N-@`imy<XoVL-b-1pr{?KS|5l@Flyi1sQ4CS
zc}*+!k+*MbI3+=qserC+%6&1ad2!)Y{WyG0PdzK$vub<6oFQ^EF@R<MCq9;^GJ&23
zpDTv_o`?AscRs@K>s}=Lj;gYmO4A+79;+Rn9_phOA}|~RaOUz~Pnwm<hXLbHKNSop
zvD<jvf;)05w%OK(R9kso)nAB?*l}9nX)$Cw=r{7iwln!yZKR~gFH@}aQTzK8QGUr*
zARH=E{|FO4VtoEg8aNkTZ7#%s7`vRO<N~5vv>&HLD7gufLmdK1P&qei8{6`7ZH%UT
zjC15O``h%lb(ig3Oph)_I*1NqipBI+7~URseKtlAMkfsPd(^C&qurfXszuOjkJ0(v
zvETlX11msn6+6Q5A@tWe=>rGEHVHw3G6!qdAkZ|&*@=~Qp%@EuqKL!pzR8JEEDfe=
zP=}ooe-Hb1Kjv<n<3b^vsJ5o{_fv@;(S=446xjr(6!VE^DSu%-=|zK6_pFczsX=w6
zo7@~ts5pqnQ_Snsyy}m6*Lz0Z`$X<LYI>2H(5nZ7Hgts8e#O4}cWo*=<Z!Bd6-qLo
z5QaWn^MM(p&>9viI!@T$6JOk?A75BW$WOGSOWMs(2{;aL$P4LV%I5iHK4<c}_-0!=
zAaT|wVnEipayCD)PY|PernL?O0}F#2;7+D9<7s1)-LIN$CE<KR4(k=i&NNht6hV2d
zV>LK?ty|<+WPGEzB~c*}E+S3pAn;}U3|?OhGMWfxxVjNcuU@IC0ipD(zH^C-XQ_=>
z-9K1pSD@2n?PrWF#27Rr4$#RAMKoqR^OD&vC!wevORMqHtzCi#Nit9A36Gip0;6ys
zJSlwGqR8&ig>A5igcfLMh6!DWfGiwmyC7O(R1hymtt^H))MN|QGv~_Z_cltz4?(B#
zyT&KE&TH)a1kjD|SC;<lC(jzI^NySCa>h$2(Ej=NY22>o<W^x__0sBdRViy^(fsg~
z`6V%(zAkeTS!&wM)(cyfqjhdcKonUlPEj8Imh#>(u*s^}3im71WMYw%kqwGCcU^Eq
zv;H1}-VwW?WUp&-@}`Git{c;GIl7o-Zsn+G1)niznk>}@?)d^pv&D)y-;v`?x$kfL
zDyW#)oExkt9I5dcogds^%;xt7c^S;bX=k_q#0=d}rR~|gSE_MsG7Xk(8rZ?OB_A-i
zLfTQdg&U_hxO@Z%eK+JEf@aHW2;-8!WWHRKqN)QTHY@Y+m^b|_lFnf*@><Vt^f`B6
z&?Q2+gr)>AUW@S9SQMtSiEUbbA1Dl;M_)iUjrf^YuZ42x8&Z@E*305TqKSM?TW8Bc
z&^qc*5JGgyZCS&|R6^jeLKPjIvT+Vkn}v#oUmx(E&&W)<k+kk7;<}q@a8D$`|Bh(P
zfklVQb7cksix4`@uy%Xx2Z=Rgh4-YZkMuz~?$xRE5YF4YW|C$MJrJOrWFnQwC6#Cr
zUu_u!+bM$V9@0;bvztsO15yK2W1a(10B;BDCkYfn7i~_9+8KF3+bdj$*h-B*|2=0n
zKKxFBrB{xgohZ`IfT<S;=Yxn@#2)2wuVlbSIv-W45@FBCYOCGhpa_dA%M_RK^cc?N
z(g&tnt*Be#N$MTb=<gG>GtFK%qG^cpN#_;cH3`Zro4uv)>MT3Yp(03;aZNE}rp6e{
z94j3=){$B;*%9@I>-@Wof@SM48$Rt@DZB*U!9#oJ?O5ciZ3s>F6=<V2ysAz7*thUG
zr6EX!W*UpJv3E@SGaJ{E>6;+mkkEVQ4d>U%N18-1@3JZf5NGN8XZ(R210QrUABb)N
z$B_HEWUGa~BC_MSrf`lLdUCnXInVP>Z+x2vmd(g8ku8-S1OIU*I1TV{x)U^LXVQni
z@)CBe1Gq^g>7p6f=eWn-_*T3VUG7bvGxu8t4jzEf@OXEXK>zSC6!3unACQrJX-i!r
zr&^hnRQZ|ah8GttiB?z`q#yT9_g(PM%E^~x(W-^;T(Y-oxhhl&-xJng=2bih(`NYT
zFMlIROB_wi*VJ3%bqK9f^pJPa`Uy|hmJ}%*!5x10(tD9-pGr8Mc#8jd;WN+e0giG8
zk2b2}`kPfVTL!aM7{L7Nk{lt<9>qTX%%qPLE8Vyd4lkj7T-D59Uhn2N8BciZPZ{Bj
zAYn*k>156VV)Q#R<2rs4xxv1CYO~z%Z5fu)<kEC!BgpjLqN;LX7RdNKaDCCZ_~#CU
zG?%_fgbe141l=XDQu5J=-zu5u(j<_Y3}(<KFr6Vx^+DJ|Rb)bwvsjmDj|-nzPKk-<
z6c@|x<1THXh>?y%0W@@&b?!Dy4tuF27K{O>RO+?{4Jz))WjDw))49lmddB%`8kV+&
zv^z9@iZniY<a4POmG>S%Vb0dv%mS||bls<qk&nsd)FJ-Hm@6#ajuqrWP-&e{AUhyJ
zkW$dbVME@;W-ClTAXTLoU`@ZCvc9su)BEC{8rkz`c-_?=Mo6q2`|A=$*~b5~Je@oQ
zt1C*|#P;QQi7Y=|%m?I>ov*@Umb93&sUQgj1_c`i_^r`MW8FCUF_r#U0q8toty*J+
zZDYa6$bujPZ_=^X>R)&hM%C1%vf_C+o5xi4>_#Zl-DfN$3B_NrWho@p^6>JEEN#0V
zGV|cGxfqzGN*)Kxl=?gVAe5Yj&2txP3E@Z6$Kr31kROiWc`DZ$9Qq@voam@Aj!Z*Q
z<F!7iM<7+rk*|Z!@Sl**!f&!B0kV16#_bVJ`{0x8jyw$#Hb#0F2xY(83t7b%QTcND
zE7D;jjmad@`jlYR*(-jO8b`qgiu$$xFP6S3NR+K<c5K_WZQHhO+r}Q-wr$TI+qP|c
z?mqwhUb3<tyCYUdbXH|9c`pR1_&*{DJRy$I?<C@9Qc@v;BB){sh(SjLeg$DqXn4qO
z(Een3iBU&EchHPS@jClthQ0Mt9=Uf*yVD=Gt9D%!OT@ZJ<*<KO#2w<747*+=jp!i+
z0G%&Z`KBgUy-E%OT7O#tXvX4lRl@C0*rMVv@EMzk(54DS?~Xi9q#temDU?2^P;M>l
z8|?$#Tdf-n6CD#h6HNo=C^iJpd}Y(8cb?gNfAtI!yFq~tC)SCLNvNF|LVK4C6a`>e
zK+M2WL0ZAz4EB@)K$5esAr|-Rh;lA3U&?4d7G3|8ibLNoRYp`UnI(w*;WYji*-=$Y
zOChvo*u}@Budn+xP`v!<NZ+laU5vXJYZ2v8X8&^Y{V_QhKARXf!^h;T-yG!@{*wOE
z&IT-0G~Q=1Zt}2^Qk4wHBGwM%C2-ClKYh|c97~K>N*_+{SjK78WR^8$cBD=*(n>J@
z%uht1E|y<j<F6youw`+&=!XxY8yC3I|6=cmP!BWE-D<#v^OBf&@S^cy_{GV#+ikJB
zHXU5r`?-<ieWJFzQs=_$zJ&VWG&^xZsb+qF{Nh?uaJYsSOrB+uQ@8l;vR8$CER^mw
z8`(cGXMDyus<x`e&adAw%1hraq-UsCQtedz66GT>@$!xfC_a|OJKcj2(S%rwP8J+b
zdq*pwkDx<b-CFxn1HnhdW431EE5~u<HR-xxO8dB~Sq7ne6lwt|fW(6kBh*IBHkp!<
zlyr=QFqkBPCGeDO#&l;;%+?g}!wu>ijA=O{tP1^@Kq5+nxr4)GAdlDDqPUovn99Ri
zM`&-hlh}Rj>BDfVgf~7pwr)3sW*pWqHa1rf|Bd^jtrbvviu9q@w~|_(IHz=Yb#uw>
zc;0E)8A+tAPcJk2wK4ohsO{=Sk(V5{e)5coxpwi1bg@eHaUa&Z8NH>%1M(*Bb5FFS
zV`DxtvI!ji=lgcH3YGX!7@vcy{1800-a#F;7hirP>CUT0(fcU{*1deWZmUGMClx@@
z*$tLgJ$r#O@)?jC*k0%?(#t-yr0*Ebu+p$Hp;l%CkI#gUc)WXT(r%vAo$ZzJwE?1#
zNE6pAe7L}c&As)hWr~qrL2f+keZl8;tDnj;#a%QYO$Tn=f)So|mXV&B-^6cXDkGSz
zXwZa7D_SmTGsRXNr~Plkwjd513XGy6Sb-bSybSoMQ@kW#z*_>pIrr`m{;B)}O`nq)
z#-gr0369ea#e4?)ftarR=18i`>hnL7z~;}m*jL!PEiNrEy3~d{N6U4{rNn??)iZkp
zygd=~&-;Dis=jr*`GwzgT$wp+m#xw9DZYG7^>v!-9*}$UOOJQnJ4ubtu-!F&yOp~y
zMMDZ^vg+z%sdfy`uoOFKpP@g{`|K$BvYmMKbf9pD{c%%}u0!XwT^Tu7U{*YLR-S!k
z&S%BF%bEr~JUjesHM~5VT(c~c?08NxKYcw>J*7$WIke*<v(Zzv+}($fFjIJl{-h7>
z6q^}aSeh9f>@V-*tsx)PX+|Sc(*SCzhDQKT{}Oc*7tb;aVRwHsgL8|e><OG_+4;H*
zcfTic-gtOV<Lc1_3e#X?#PAIw-ZFOd^xYn2t}WgHrxY0h|8@X~U_JgPG!D!~*=+99
zE2y!{jR}KYKlYv5R!E#N;%|RtFI4ETjbQH4dxD*y^7T!+cR)Pyy(>tKVkSx<Oh3Pt
zGRza2&ze~r7);G()Y5~OuZe=b$|_clXn4_?*UwqUlBe1e&NgTrHyW;kIS}tx;Ef?v
zw(@D+>pC@4Adf@PLf5BFvx`#88kLNoc4##|n%8xq725!-a_Ch-cn^`+VVSRHa#PgS
zuu7&Tl*^TU<;)fG4k3RUWzo`rIhT%$udYb!Pl+@3YOqrvots-jr^$RnQ<lSAo9*#O
z%r@9a?AKhq(|z2mA-Eg#2IeR4E6ufjy8gcz&6H-ENS)QLW!Zh2CAK;(2GZqio9h*q
z(cdWMUzYo_SDBbYDQ0S;^-$z8eC@8YC`*h>@6o^dIP;^c<`w%w6@O?Cz@(W=NEg5)
z_ZY<+HNzkzlDF*eyV45@b@C^=5r#x97?+7Cv@jnHn38A+u_2_pjSk+~YGEoir30u_
zDxNvwpK|9eb+Y=(mx6&i$HHRA_Uf9kUf?$fUY@DdYu)5)hC%#uL9ZVQS*<z<pc3-~
zFcUr^eM$GxEJGS4*KK@<I)+=6Ij=s3JahY|uw}%EL3)K+b(ye&N|8~XE`*_f{<<X1
z%lsnoLw-bkZGMk_SK|xA;60&v#(87Xvx4^ix>^*7vV+@df7JA&q}6T(NTM(o{DMGo
zyb{c?uC4C&SVX{|qS5j`9)#!7Ie`Ea`#4wo96d>9>6sL+vRqG?XI+fiVD_Fleg2kW
zfPEh}c=8+7ON_4Apn5qlOs$f->F~tJC&{nNbH;)ZJ$6icAbTeJhHQ$x7Gk~$C4h0m
z9`Mk3Bt+c?5c&8orS*ZnjUgZnjR9WChOU0tfGx_5RD$6}urz`NkK>XWBS`<&1=bAo
z9}Hh1y->f<Og2uh<xfOqkWQ&jX+lgq=?b8NK|seE0Ta346+swZq1vU70^mlqjT|b<
zPr5GcK6p?4Vi)rE>Ps4~2Ll*~3)UmA23Ft9oVkgkz?T%N7)dlA;JwK?2<amIp2X^X
zBX3@>@>Mu001_I~#^5_DwTNa=;Ikyp`9Fckf-eYy^qBBxXJF5Kc9#Uq(U&9TjNc0x
z+0YYeEs(2U>IPz9hlm8k$FhIKD_;aOlJ0B22i=>WqraOIzp}m7ezo2+KOu_5m&NQB
zJSH}0`9^Ni@*Dd^Y|r+P;Is4&O5v`{)GEMXwbjErX&;5h7;R?9{Fx@pEd+L^Kn;<I
z4+LNk$?A6Xr()Zx<gzU0$W4Xe39j$IC@SdO*+PK5pd0t!a|NCR%}Nse^n?J*N*cbP
z0Q<KWFcvW7tkWRqh5^$!1TCbHj8jO_09MpMYZD@cK}?j+%9L$`K$3tC8fcA-%o_kQ
z3bmmRac{^>_s^y3Kjk1pTYS%j67zRysC0FS4w27Zmgwe@1c}d{=*BW{OR3g=w`li8
z@_s3qtZ{*$;Y2Lr{hJc?`b^O1(EfK7d_aUN1$4k@H55#KE_WzY--y@)^~*iG%yxNa
zp?9tqgtwWAUr(4O=ugA$vYBq!S@(g0Z*^tWM@Y)^r0`k-Q&-j|;Z<rbn@=o1(%W&E
z_?_^S@s`;><2m7A)0?H(gJD^G6tNI59wCkSii0%?Wmp%~5H<L^PzO4<La(acNNo~(
z<L1%zmH5@Ji87`(9sihJ!minFihN^`49N}w1ChM}W`c0PHk>3vEjZ+mq{1F-7{LL~
z9G3ykwgIIi7>L^I@gUFk$Ta+$|Fy5DkBVrkgX;G8%g#Bkw7dB^jjV(OSBL-!I|30x
zV0~sl0tf_xC{iOp?GWx3fcg-q3yOm$5*H2RS<-xl;wZcP4#!M>5%H|yh^dLm7lNYX
zDYxn?Spe7L&eu-gqU5%-oobGj+_kHGPN6=5_i+Fy)=`v7*&?4;d)J6a86TOk0n1|H
z-C|?@rolXNK<)~o3PU%sn;~=yEVRf?up=G!$l`hsoWG}l<IvLl9fp=$<Gl59rE0k^
z%8E9%@vnMBg9l&i9zrh*BiIg}B#smg3Gh*g2;I+ie>x!b4;>)`r{|b1?wy_(e;Jd-
zZ*2^F3XU4%>^%_qJ<u#97v6%Z3}aS&ts(d$QuTF#tOJPJm4w1Smm^;z%m>>9y#Yqz
zvhWbJVbo9;yxJ?F$j6^o0KD86+G|w`|MH{gUB4}J{5imA8L@93U!OB??wWKsV{l<U
z|2~A1hU2!$PBjn|+zm}<gxUU455U^drn{{`{sc6;lm4jUi>p3Zo~es$@R5zQHN0V^
z57N&gKJ5&V`o(m*bV!(XjpPE!N|)3n?1>fE08(XC{cI8|1H!O9&<|I-sPKeXH)wJy
zFoKqO3h%vwr10^~thtj|NEaZHDP)K=(mRmXgg;=He3Z~yEfg}Tn<!JQbdBXu0|5<_
zh6m>f30k#?2N|KR9dLbKFYg6_NHE*RF^%wIooqw=O{WTN_BOHxV<JuzBc(o=PlG;f
zMIwVq!&==SZIQMfIcqVdNKmIkB(Pt9E3L%06bELi)7HKl&Xt0j)0-u(kG#(9Eb%!>
zC@Y5Oj+5e51fgQSL$%J~7HaHRatO&uv+i@U;HX??nYCa*fstWw+`KuM7}D@vUx4j^
z*c`!UzTR!Zeq=9phK!t`vwoMXM2!maAw?)evk6~=ugAs_69j6CsgUF#;|N4PyNJ^V
zV;-2k=a`N@MSyEK!`7fQ0t_GcZeYY4KJ~tiNAbzgq|^NFt`Fe-Jmf+SOED^!I8Z-G
zV{?)J{w{JN)?%1D*zd2jg|?kjB1RL%!{bkir=+SAP8qCI9I>WClQ&8iN(9ZB=M4b;
zLVO@(S{FSeEe`^j0K<x15RyN+z=UOJHV_wuydkZ`8KyX$WWa~m_Jw<Jjp_Np6zhsy
zS_0<Hi@hZo<6V*W5#uBKq4z11XupArI&tgCkFf&5LAeVniC9c`j}5xqZ+~mx1ivvd
zctkH%<3s5~m|%bVU>Z43CS;QS!BWIV6->?jsoMuGfQ1EqlF$T9x;8ps5Th4iwI|s(
z!Z~S&>wXdLW^(*O=O_2>*jxV{$s_Cj=*UKnpnksuA4ISaU_KOvz<{~xp<pAaQx%YZ
zoGbE_{3;zv`FvIOJGt+=L$8jeGvjvbkz>crjk7#yp3<O&sa~52X})AlA^0M1UXTM9
zS!j-Xd(S%?aEiAh8(OcAtSBDDoD=nFAiw9t12+^ekj3=MRsf?KsA@h|5|Bew;ti}A
zPf{*5`QG^{5XQW&d(p?zywFGMpmnPI?d^{h@PDulTuquTv~ctm=_A*ka$Wsgjo%!D
zbIf~#p8s;X(&d(%rolSKFdSbhBsR{_@`B^}s%Ti5YRVvK%FH>XXx=bFFER4EDJFl;
zQsHBD1)&qeTDzF`wbPJxR0(M@;pXuP#86dji%XkAa|OB1?2i$2FhlT(&R@{WoJ?k;
zB08nwO#R6B%*p^Uj5QlEo4$z10A@DgSb^y736~>`avp^4c@w73-Pb*{eRk6Gca%P!
zOJl&OR?D%N<Hme(%bp%8&|H*Pou|-VZCLhHx#c|st?*F&jwpyQJK5U@9<ONN%#dc1
z6mHIa0aq~RaC_21KMR>Cx)gtC=S&;LHv6RLyhB-ZG=>;oz@>SOZ&rb{!;Aj;s6qd<
zYCozTGAHXAlJ%?HuSh%Lb-JCUuduDj2&TvX)-<!!T_#P6ye4~?AFFv?wdaUG>$+T#
zR+9R5a&`6j{_3(;Y80YmCXbQ++R!|jq{C;gqfp9RpL$WY3;%H7-|UhWjC&>~Z?07=
zZCp5tN{VpK<&e)g%{Z-+f7e2iesfH9lq4Nbdc%^IT_`^KED1+lwh4ubDEG^1Ct$p0
zlO#)mt=Or@v5+3Le9;*YwejUZ-w?pQDE0NS3Z1!EJzkW9N&fZh^i7$c&(5#HYh4V%
zCR?#AEjdtftuU{sBNeqM7l*y-B1utQ6*XwumZZDo96#7>_$_^-ju;a74dTsYW;?zJ
z%d*#8@yT*<*gN`;h(q2bkt5sDR`{hD_x2LoY(0J9zsIn(50g{WxczQpYnoBJt$w9x
zYvIu5S^cbi;TOSU`W^Uz-o3r*d-kRBqw>#us`!jfXCbqU_O5iUEZb1Gw_}tx&MC=N
z!fzAPFz(WApKkrzH`%ecc)NA0SX~`UHd<}Nc^Ih~MY}YTht`C_?U@>!E>3kfb<RKt
z+f4-fRbW*4d`!^nhWF3a4XLb+BL<2VsWHH8kbo(XIzZ>2U;ChAzs+zh^0X8|@r|+T
zz*9Ln2(a{7tt!0mBYc`J>Zq}khoABm<$52Tdbz5r*|ij-JFndL!E%p&#d$xGH+Cx8
zbZX=GQX-DtjP~_O%`kn?5Yptf;KdB?v1+oEC9Bojq*twend4=<4y1Y*UD#aWT9(kD
zGsUxl`zU{0Ii<X<`V)>iJX{$Sv4S;il~~P20kxcE-6FzJL&=5>WmD`*PV=dJIT7wG
z(TBZ=H3&xPtDkipCaBxc{D;;mO1X~KNZ6M{$H-((Q|HJv<o;bX)LzO*y~F$`aL7GE
z{ea!@H=rs1BD3_ljYiw)vk3aaku8iB`DIuB%6v1o$K-fX9@oPNJBiu6Gav!FWH0ZD
zn7cX2N_l;7LTxhmMR!2%Io@e(0X^OnJy(Vft!f$5vWw<(_&acQX?40!H7;{jLSLJP
zvK6Hb%r`{4iOY!Xb@HZdD?4jBtQiWdMlayVZrY}a%ep2;&FGo)T*ZtZ#-n|0T%=M-
z_+ONOS1nx8JJ(YQL-~5X@V1;fwu<<n5c#s^%4AkH-^7hfQpiAie~o%!P;;ndjpgRT
z8;iEa3Qa2p!`2ym5&D=$PP&I?&dGx%XDw7-s#!3&%K+bocGJ4&Fu>-PlMqoq_+~Vi
zyj)RJDFffpb8<tv5eNiMwkgZJBRwc@Pb61vk6IY@np4#e$F(rF#*-RsyGcocmgPT^
zUQ!2_erDv&0`>1#s?{8*2NW$D_@_CRm~P5VA@NC<j{Y6(Q_R1U`#w!uyZ-VTd5sdz
zVoO#Q`NZ7W`czj<FZRAVs7C&3^9yh()Z(CJNP2ab6SJ<}Y<nmISEdf1C4hgB<66*H
zYu*Cy^q$arOmWuz6C}fbU3?1<+>w(P&N>lxy+#saJwiIcmaKb@#e#^eR77qFE(;vq
zt3JH9be(W3386XtNGat2$}>!d+Sw_#r@vuN5XU!tm1d<F!jV>FlQ+DA4741X!T05@
z$NEzenrSH_S-uEsV3sX8&uR`nOnt7#gn>a&M^(+lBENuGQHgQ$o%%tlTHRrh+1yY(
z>~_8}ylcfxge<nN{AjgL&gY8)zoO?lbv=W>DQ&v?eeVj;4$As7BEyF`OBiMEe4~)H
zqOA<6Y<+?4f=&9Bf-i(w0!;l+lq6%>euN28Tff?E<!ojeH+<xU)F$R=2FWRhbc4B$
z-2ERc>69|EGOHoU#{l&na53AYb)yMp?Zz6sI__Pg7cUQeGF!k;4QK<@?F)mH;#HFs
zL%G}?0H#J44ysaikl~!Eu%A#BMjIZBA}_~7HP$?)t)o;QKSugh6v#J=vZA-|!2S_M
z4-^+c-^|EJ=0Q3CeTQ4;i8KEz@+;ucaImUC<&o9F0!#p-2;+p&0tby}-dDs>tj;jz
zuy)nz-Nu%7t;W=2x|mj!KQ76SP<Xd<WBNpmhb+xN-qHhbX(=Wl29*v!`<YdaCE1zG
z_NJC<iN|4seLa4NBlN%B*wTlaaJDi&@AK<f*lF8Mex8rh%j?ElmWH$C(UbU|e!C;?
z^^o8{*MUvweI9p_4?o`3M<?cZ-Us((ZTw=ZWc7O0;eOk}2U<&E!R^s##lAqfdvCx$
zVAP3wh)j|>#vQ@|qI!vw`!WYQAe$7*%AAsls%hGxqGggXV^GRTrF()Jcc5z>_VQk4
zHc9qfan0{?A7kizSHiV_MtQ5RmSW^P8#Zri<}mvzd9D7e1G;T^EV`FmDS(-(Ktkjg
zj319AuyF}W5ZjecFtTk$pbXE}_*b0IV^&1O2{Y4I>S<;Nv<&y>waVIQ_c<CcW41W^
zNiK(Ng7KB1w<3P?@FjI6&Sm-)D@am@YZXwoK%J|3B@a#@9z%;lP{mAenR07DWK$3Z
zp4vQ-5U11~C;(4IhzKToq)0HBHFjdmMBn?ZkF9q2sMMc$%5lJ8nR~mO&5ihec%u37
zpCFs}Wl22`Gkzz_lbIdh(!|)gl(9_{ix$VbH#h5}b@rqmf*!ePUYT`0e6!r!ITqk<
z-YVLxp%S`je1otpbTGVVMPARneBs5t5_BMij-z@{RN%3sqbm<1FRq(Y8Jl++Qp`W4
z3*3WJmYus@dO@6{3mDIS*j>?kmQ&YRPEn|b(P~{RH8q`g-R^98c1*h^qBk0`JL=E-
zxdJcsgv!L;{?0$og7=_-C*{x8zMhVf%*>ERtWPL8wtX~ybUu`R<W|m{U~w8H_(-*Q
zRCH^hyinsmkiRv3sTVTnX4284)}7uS;P2z3wnl1~)HGrp<rpQ$L3tYGCX=IUSiNBh
z;-;b~qskr00?{u}W0&KkPgGP!+!Cu>0u~6+K@T`}uM5c_ZpECPBOS4;>sZs^r=z5Q
zKT+X7p`KF1FP12t{Y=Lvqfc*KI+EJ_SzvbExQ6ZA+Kz8VSq@_dot5Vau$TQ(Kd8zI
z4K|lQT#mQ|qZ`Gyk>KGkW)E5pT$kZfm@H{gDMyuPn<K_Si|waMg9NSp=UoiVrw$2N
zZ?E-DTM^fY`^o3SVx3c9HXH-k35ah8{rI%usl`7Aas?g&J*--%^_pU&BOCQ;h^Ata
z%sr}_U<hvy+FF+~wsXH}-6|W(S%7=wbIj`?f0ejt(4n579jgHiPjlv<LUpb{N`~^d
zHH!^GIVlmK!bLc&970JcyHDKSACr@lj4-L1E4O+1vsf@qZ|Sn9W<lgztkndXNL)c_
zu$mc!t?U4`c0C;_(s-`J6sy3NrALX1VpT-Ay}rk)T?L{HN5;&ZS`*Vlp%(wG_7c9H
zP0O9Woikl<rQl}xV!)PnJ^OC_J_j`awp1DibX;ag1{{2St_nN<;GBcB>4e8sR4V=3
zCVn0eRU~Q1uB^+erEW0IRdKa1ccJ6&3Vd?I)BW^!;DVg~(u)b)t7hpc<1jT&#wS~i
zvD3+uPxYexJ%iKvbVk!db2&B8tMTqW;W+8mhe1%{nfOs$W%uE(UsHD{rY@Z6G2b>*
zUh08tIxTI|2S2W$`AXF(<yyImpiyp<P?NTB-6Tko<1Zq-Q4ZTcuu9V4?s>DS@{mo*
zSBu8fpl@5P*5yENmg5EZcH0g^*vaiaG?(=V$=SgB$Ixg7^JJ-uSOGN3jZc^1Wi)}L
zcdw_+HSN7fd>l`w`@w^D?XoFQv^RG=sG1YJWfK2i{7HRs-|G{7;yj3<bM!B$indwl
z%+rcjUXj*6{}iSv-wE!c*MZLo?vuFCxM6vkmz;;JBmN=vWBv3{I?rH_s3}ejUKY;`
zCQm)56v@DmqgInd8`vV~RJ{)%HT`&)m@BC$U&?B6EgzoJK`uLqNX}Wy@i>zl_ORJb
z<GuO5eT{>d*;`p3UvN0ycBf-t_-dVZ0?9t;D0dRQ&jb4ib$iUM=eJtjP5kYasFT$>
zbr|F?lx9_IPBKd;B*&3<CTUG2nvTdUql`qAlrPyvq19Vq>&C?e_Hm}>{KwS`yrglv
zCb*hq+zz!WTBEim(e(4rs%J~`^whyaevP^&$Fv#KGq3M%R*bH$&}|q4nzeJLE1lZg
zA)|X}^(W&*j!peGM=+Ge)7+9MyH4Bt#%G207HK4Z2^bPN@|~Jo?mNoW-OnxK9`3y2
z%X-lGSJ8NPa4FF^%aR!<q^2RAV@hSol#&TnR#7|X1C{mbm}Thai;`4N$>*Jq{_Z8*
zi`Zo53Cqb<x+Y-FBuZqDB<<b$cpJBQ@Th4PbGqtIVmR>4dIh!t1x$zw<^ILf<KLy%
zMtogUhI~;A#Wb=O5A82$<v_r-zjP>n&Z=y<g1LX!=-5l1DndUyZ~C|PsqrXBbq<bd
zq*LwMODfKHhM*2QJYGI**J2HmGy3)#?5jF@_}5=dW^csx=K4f;ViD9QCj8S<AL9d1
zsdH&*P&+|t`!&sV?QESNDuqgX$HX4<GgQ*e(<?SkShZ?N1gTH|l%Eg`*P>9_Le+t+
zaJF%d3!QSE+MObj-!>OPd{2S72E^NS=lGdBt2`Z|ur%8;Z<Wh0t^;bDB`@NRzBCf`
za8(Pj^6sp&@{(Q+DbJ^Sm7a^$!F~h@yX;*z>&kaGRyO=BMA2ihR|UlJxR|Prs}ob_
z$$r5;Xh7I*z<Ev)*I9&%hNlynd*kjz)6US=hBxAmDU+zTL~+1te$>>3{w6z)IC1Gt
zwM@0JXyY;P9&Kgp*r!r4H&0cLH9nChZ059e*-7_tDpSVDAXUjK(=yvE??av|d6~Ht
zFX<qaJ|K~1B$h+LkzO^KWGyZ(G8a#|*ouUE)?8Y>UToENKi_CSw07c;ZD#ed4=%*8
zd)+?pX1~hl%|gs$zgX-?r;AHNjs)R-5z?GT9y{2sjQsO2zbhGQ1|rIwp^oHkAhtVz
z&|w6M7l%R@c%dFLFpZFZFC}Xg#LcMeEa2;Iifj6zjo`GhTmB0uVZp+Uks~;ymV^8b
z3+ClW<m1x8%?-Znk#>lBWl?KLy9;#S8kcNLmy|OgjC;SpQMLsDuS_D*Kpyyw|B?9a
z3^SoBd?3?R4E=OTpAqq3I{$3gF)01Hfv<O`#f+z>^>FcW{Xm=iKIfPImF>ikW7qcJ
z3y5aLruwIdcE6*pY3wz<KGA$5%Ti4NAgmlay@_qb$Q#AlIV)4*=Dy231jt9XSpFG>
zeox{l(7dyFf);2{4|eFm0=Zb0k}}roe7#z3blL~p-{=->ou2eQ1!KV&v;ow?#(+T}
zew0xN|2{i!2vdE+(d_!EWFCyKW`sK&tP|uvPT+hCD^1TvZN>2bz~|ewr)2J$GDV5W
zs;HhZ_m(joLkO+I=NqlN^qrcSVrwSTA#gclRS`iu2yi|=sFG^ZxuJ|WMc=yH$=msq
zl{>H=9q3#cP>=%oZSK8ULcfLE3p%Ur;G_g4Y@1YM_S+eB@AjC@DH@T7@M2onqLeOM
z*>bzB^VZNu#Q6%bLBk79xL4P*gZO)(Gu;x?BG<CANz#Y?&Jl<0nIlPe<%)#<;uu*h
zWrlCs4(r+G?cJ?I95ARivl;&0j=dOIgx(?QmXf|~qXe}C6asZ8^kN#c>g1y{beVlw
z>tO4A?dBL$Yqv_ainuD77NFyXu8J|(^%dB%8BV6k%3Ct09BoW4sT&+#aW<o=>on>Y
zd2N_&p#R=~>Dao5u}~PbjS2T{#!zPgF~q?n6)D|_bCfw)dX;=t(JQ*D>m-{Y+3_!R
zXpeXl$=NQll%y|BoyU2h9Q;mubjOdX0r1V4{fW8h9bzg8Z@D{-E0q%ug+ufy>bQ7I
zQP>IxA337N7PosmSfy>Ugvuz9`oN8NLsW~`rnT7q=qq?VkqBNs$;3x#<Y8C;-~xF1
z)l3rhBg~9MNHjp_v^cQ++*seL<6&L8o}Z)2$jKY;#XhU+?7<wLWD~j9c>2)H1$Q*u
zRriD}9e$?lqua6Z1kDKulre%&<RktZ7)?vu8?f=%ih_ZyHD#2@JkfO7CWw{O(Fu?=
zzqH6_(VC38&|T0|Nth88k_`PJt5G4BGHfK%PCSy(v(P9iBh*x>n-Px~G)kgmx9eQo
zST|9`IWvADOGT6rBr1T~)Wu%svE*n-CY69&a7?><CqTDG!JNVHOlW#2i3wT0FU9Fg
zPzeHg*>2j5PLN{=h4^inf71?vNW^zhjsdsOPdAI&clG&iJ+n4OVn3F9@`c_4e2v07
z9Q`+nFugrje0p$`KK><Y&5Qnl15i8r-F&ZP?w3zu>7z=Z>pX_nD%$vp7@)Z-2~wpy
z2d1Y4)-3{1qO_zkt{F2j#sou(qv?T(U1NLbCQ;)p@WuurIxw^>5B*)F<ni=4MZY&l
z+JXAEnKRhLep9FqsrWQooKVStM+uhhKOuljS~;23g0@dgqpDhUHQiqP@_jS(dBW@2
z?Xl}j_Xl?$_gMEC_tE@}`KR4M=Us-^?gz|wFb{1;qAbOJY4OCT!2ZrwRuT{UkoZpF
z18mpWp30XQzJu^%BqaRH__+xHKo*OqmtLnBV?fj{6bgO5jgXNjVaLk97h^t@Nn{ZQ
zvrxL3h)Vb=?kGq^mrjDVUQGiM6)y4LZfgs2<Pnt#P!S=V_G?)E?n9Fw&YU^53f&k2
z^aE_w(|6ub5KLgwev*uewJ6GbuYa9nQ?g*}>=3Pr%?*sp7umFot(?&4?72YkLN?il
zn~enq!;CPaU{f*4hde*t;fDykTelm)=1X_PcEl-?KHeI%s}0k6(Mi|qm@}}mCcfPk
zHw3Fql$&|%6PJ9e#P^%;SFFnd(U?-eYXqkeB^I&#$nzW57HI_{PKwxJgA!{ll`Ufq
z;;e)e8h*mV5(d9o&X~Nq{_(N&5~oj3XGouvZd9H6?J0gTT;=WEZI!ty^r&=Vq1PKi
zUK!dWsugQpyJsJlT28HA#my1?oqc(kr)bdE3zu*6D8~jgvmI4mQO9&F#))b~*)W8F
zS)$lpBR@Mo+Zdb<?xIcZ6b3pcxvvSw;wDge6MD96!Xrtdh%ixv4k~&SYA3#NVwSl^
zt7fbw2ef#NWJ81&xBLY@pUZQ`^yx>C>Xk#T|Hd6-4|Hf^VO7{sq6-Xs)e;_>LXeg$
zbGiK%jB0$CYSl)ChLSg<8EKSdN9KL!keSbURA0X`vi4or&`i;70?YvE&S(at>0aMm
z@(`dep8XbXSfYbX9kY1;sv+K@kD0d2i-yhromd1O1M#P#9%JJmiU+hL)n?>mk_X8U
zEByj|I4nb<^>BCLGOH#O4QGWh-LrpJ3b_cUOt%v;w$5J2NJe#3nAl>Ly?-^h%9PS+
zD?@k_r_ZsI(+O)$oTU?P9e-pn>WRC~OK-GYP>}@aUoT#j#V*GD1?o}UC%g`<R+Ln0
zJ+x&h3CqOehIutMY>#_%b8$eJu)aIOn~BYsfjHcICC^+wD3@p?f8XDKQiW(P{0klG
z=)n$$aRDpY=u|&3VV1{Q!;#4m%#4IhW+vP1qI*4c{sT!GMfWOP)R;&=oA?tZieAFK
z)8?{t`6bVOBi3?g>78SL_f#7rXq&u^sLaSiLQ{2Q?IT87QW~`!HSO9S+q{R?I78__
zhR^8#7oYjj3h+0?<&O&yW`zgb)Mmlt0O$$%TJm4BHey%eKG@Rgf-#A5UXD(6#i(mG
z;|Y6XAqAHi`=(8yR-r62ZF6K>z`Y+sjR?dt67(XwN3u?jqR~bInDMI;dk(Bs`}vQA
zlweFXxY(9exEh=@ry9ZyJAP1Q7%KgL2PP%&Pb+hdmp-m}r#`@es&H45$K4+@RUbwh
zVJkub)kI56Cc`=}<3MoVLO-dzejWkVl#DAg2DFvU<)Q;5o=%ly5GpXz7&^GF#e3c;
zD6wTSHV0~Cb(<@xzde1U_RXjc={_G?Mnl94t6rYT<YtNTA#L*#&AN|AN7d8%d9&}q
ziTL`_3TC0UVKD&u?D+LuP|VFRiGb}VGcprXWA$O>e30SXX4-lh0(B{*S+C<xfHm(X
zkA9Zag%_`Y+t{=a2LvTeqK~Zy2v(sRJ>7dyx+SihccD^5>+(7I52~<FY+Ax~%D`Vu
zmk}<E1Y7YcOu2LKJlqPZSEX6%bmLOREJEZD41&()#c?Dqz4(-QOs>sT=6Za;g;~;C
z)C(wtbxsHEnK+72s<jjyzKaJgU1fOoyyNCG%TTM`4-UeOkI?@2Z;`pft1DuQ=vyw!
zu?fgV<K#usH{RWK&2C7?%JN2JJ7Y&7bo0qtfK9ggZX7(Es{AB35<!5NV$k4XA%0EP
z!*8ZkLesw;_@DE4sjOKRN`fRZU5zB-4MnGeLo(;3%<T0KW8n`T=m+ECU97)WPTcP`
zQ^#X#S;>df;Y5=3%~n^vA=BVAl213FNTt=Pi@5twF4hI0P2<^6!$z8XOhc{K?6)aG
zUhh|^!ZuBAk2_oOdK{VD<mB$ui9<CIs3+_vNngjH`~{?gD?nHJ^myODw`g$O3UH!?
za5<pVltGO_{@-JR5<>J|MHA|0q(Mj9l*-aFP9w+A`7X8D2t$nwMpElbPe9?4{XY|`
z3Ib6~Ho5O<`!&@8YJH8UP-iAi_pGz@eLo8h`(u#ORli!w$zP&+kG^sE7|Ps|`5#je
zLv0RmMChH0*ptXfMog1%JI6%hQjP1!6Ryb_;$2fkk{Ln|QyFxLk`E|G7E^LmDy%8x
zC6bC5bFCKpLXt^;RIFm)&NJB*dtgLhJs2LkET@;3aoLiU6B@zFJIi9RA6!)K-G!09
zNlx}HZ_noVr}{IU4?4}MYWpRNMz+*>AI>`qLnm8Twna&%w)gFGRFd8r9b)PIiH;5_
z)7`fwT;}4|XH5x-#;y>sx@a>m27?nxqe%HgQU-C+I0E%<NE@wJW5tV3cg3DiUUz}f
z7rEQz{MF%TW49Hd_q7t>Srt11lX~WMJI^zTApX!>W5=;Sq@UKXsA;FBAgH(MLQ;wp
zfN#+R4gj3k6vVe6RN}`h&Dx<@&)tfOfU5AcR2!%U>oq)+oSl|LQx~k^nY<zTJ**qQ
z)t1Hbbw8heg46xw<Zuz+yqfMpwigyco?XS;{_3|c&6BgM*4xN`mAAO7`)ZT9o%E~0
znGj%DPm&anXcZ526w2UGO()9i9x^9yi|4)yA>Iy|BAzy3?a+S1eUJQu7sSaYf{;{?
zD}I%Y>qw~Q@b@WC%1FrHB%CrXXDvZ=&ono9#Cp6CtLP6d+26`a>Jeuma9p!z>+t6y
zqT|kqTKowZ<6DedjPFd-?#iA(T!)bl-ZGp1AyyB(nITfh(J9@w9iEm#4^7`%2L}P7
zU7t4NUFq1@_smNdT@<7EZBW;BJU7%Oza*+h36pDX@@&MWWa$JT*Q^hw>iILh^v;YZ
zls}t8X`*t)w+Ckb;--89nm+RjRftak(*OBS?;o5F?e3j38E=9*^<XDEB-1}%Dhr?s
z+9O=HMZx-ly)eyQ`$`M-tuWVTV95%#WM=|c_jF9G*j=;mlJS|IsqHDmbMiQ7nMUb2
z<?i2%+xi!>BHP4OlB88-$uxOQJQsz|a30RTpYVoM4hq;aVjTZ=hLm6C!#8Ca09AEL
zf-IK&5R7y&{s4U}Jmgn?47yPf*fzm$jN7IAEtfP%Z{{Njl?~h37Y%F;S3N=Blwa-j
zgQ9Q!RjDB4^5JCpK9W|Q!c5D#FmD1e9&JyDC+CBuNym16BLCP;SMT}gEhTR?JjJeg
zOmlmgryp$Z+e30caOZG~lJ@HKUhg6Oq$-t}U;EY!<6}M$OsU436^N7M-GUMcmCJ{B
z5oXU|>}1hFiWO-bF4or1XnWg>S)|i{nVubXOiPYCRI~A;pzga1l(nz6u+wSB+PEF;
z|E(G6aj0rpqJ*P?2s%L9l4`w+zKdR<f1<8~t{b<fFmt2VS%AL{HGXyAmZj=Kt6e~T
zz`2Ln{U|+i56__5>X-c<VRw7qzN5AOs3^zRdw5~!+N16LxNZZ_1ykvETgapZKU=m7
z-PCI3L#m_AVRL)qYv37)8^7A-=!3a!iRNDo<_5ps3MI1~*FH8sT0Jge>dV&86&a!l
z7Y;R}tV)f~(B(QOB<!pb)oCVnT9lT&F3TW0b2`lBbGvNoH8<Wel2=7Y(}{EbTCLIb
z__e6~G5vvd_RI57=ScT>SYOfX;54~zTQ>2MyU`A&;WY;1-~X18b1XaQP^n;EUZ-=V
zQBKWD-Av_lO9U2qR(2B$J`+BpQ$(;83I0Pba0#%FaLlow6wDZ+(xu}p!UYCAA;=Rv
zfqtV(YA%bkY34ebSUy*PO;!uoHGZ3RkK9{d!lW5F=A<+vIXsw63wYS7I!1&VYMSXE
z%N!wG3He8kXhSpCQDc=h`xpitP<d{SH^0R2OBzR2jRtGiO8Tn>lU~Yz&+$a&pw)CO
z>3;2i&HCW=sPeLQx!EW?$HSb!k?J0tr|E6|#!gKx3=W>6%u+@jN9J(YI@Iqdz>x%Y
zyCRg{RrjJsx>j178nUX!8n;cdO?#Ca4#IZ<u<HuiBxAh+xNZ?w8D;r=RtQI2Md-+&
zJU|Z>L|D2%sRyz&ku3>1T;-SSEJf1FO@Rg_Vom-=NYFPVFk)1Iv*-40$kFROw<tYV
zxJ>;Hb9CNOIF(x`F+$3S0{Wz%=ldc}R2<hEgZm8A@}_GDA4#5sZ;1GwCR^@SF7TC{
z+g**kmGsBKV$^w-*Zgmazx1Bb<jHjE5OrCv%-2)Xd0X}1A-GyX40oR7mr7sK>fAoq
zSNhnIP_HZwnw`m^6;ftJ3>B-sjh@+w4MP~xasugi&;bl0k;%N{5yR|#cNSdXnw4uv
zKJ}CmRCJWYxogmsl9C4LBDVx}G}E&E#iBitD})=}RX^EH6}EhyEuZgpPy>ep>o_``
zpE}>2bTuhl(mee^-~J^U42|R$`D@-4cTK;)NUqtV8f45$kc5{sLjOw*-aQ5bN4|qS
zZLtt)<Acn<my!Q^2OH7axD16$EETyuY!K4d^F;bPzq=>Sul&e+1P8GiG-5dix<AO^
zo({5DcAlA%yO|XN%;uSR)VA^A;Ao$|QvoEH$9>=siOa`e#}a3P-c%}e2lhClZNF`~
zLol7iYMp!c@*$3=>3^S0`N2sSXk+7_qu)BG_LFjzW(gjZ`(^A&6<YUT`|9_3y$;Bo
zxNQ>`pYyqJ3cv6+<iau^+xz{pX?<m}W_s2pS&S55TAup}?er*L<kkx;d+__m46qu+
z_+(e`^1Uy=3m|XOxLNNF+AHK2yHm!2n14+(^b{QY@3&xo83Yd2U*9O70mCPT5XZ7T
ztgo<N2wT)$!K}YL0)q!9So`0gwg`H{@QF+mrRIwGuVhxi4A};iB`PZLc8~X?XG{)V
zNK+zos3mu^MIC#6&^z1!JK_^y;QhZm4DvygV9c;GAX7jLX;@}#)6jF>fG3&|#)Pop
zfB6fki}eel2<Su>fl48#z6W?DF7fAu`_n|luq=O=0m|OJWPH$U!F-^Pv7aXiO7g->
zgFYepZ;?-6;iTM&A+HejfDLW~-)>7R!7u{fxZh&`A_tr*?gV~bN00i8I7dHyVEl+n
z4L(Rcwg(>c=VABzF;kQ8F{gv}<4fs7xCnamVLKofOB<R(91jg1Kz=1BMJd4d`~2}I
z>I38jHGPKorG2uR6~xQK{)&A7vRZ|q$P16*;U%yUUVT(AWMtVru-DMb3fcK<Pe=y{
zs=<pDGg2hyg76L2^Y7xFSw})YBz|czXF5CdSM?i~-;8>Rb|DVx8-%z&;)cHW+V4#7
zzQYwV3MbT?DY_GMs1+@xj3-?*nXCpmR@)}uH8s;OLD#cxRldc(z2Cm#nTOJ+hmypJ
zKUWuS-+#Y@%u~xYAEE2kxwk*_XD_%f{23Tn?<60N$A5E;<jy5wi}i9pgf_k{>p=M7
zeevv|@nv@t6w^BR9@#ZjHStX!*Xxd=XH%TXk7~!Zb3bi!sq477ct7xoYccK>f5?f`
z(5I;1Yz^i1zl$EkSkYo=FDPdycMvBdY;k%0p8QkgD89RCSXOvm_(!(&bCvxx-!r1<
zx-7m$M@QLXcU22iWok9_?!AT+B8#*nyrsN*okUElA5tfBC*(CIH=}z+jv0g^=a|<O
z0W+a}ep9=Fbc(SI%$@TZ7{h*Q1;+XrmDaIGKbSGws}FH1g;y~-;2*<wG1>tR7s$cr
zi15*1b%ekjGXp2f5%5_ZK(_@=fZO8D$9o2SMIsdJ_Anp^sDR1;psQhXG`sI(0iPyN
zT`@QSu7}_OqbF#3toM^H5p-MbF+D_Zg4O0r7Mks$@u+vB3XSl9J8G7^!eomBo+F1T
z+f^_zI^cPlFb`6yi*j!Fdmbe_W6&w~jvK?`c#z5)w8OlZdFBQ_j*-(FwF|w|>l^R&
z`@gpbE;{^J{l}UEh0`ZofWd#Lh4%q|Q|$g@+Auh8bu&y3dwpI>fxy4AUV7zn7*(cy
zfx<igR*2gpD!ZG${`Pw&n{kdiFw15wTkXZ;RfX@XX)RWJg3T16RLy`>mEShcFgrku
zc4qHOCWo(V!r*vV^hE8`W#U~Pg2A0P@Xb1~uXR=TF*x9bR(pARrvKW*;(TqIgnd@{
zYj*|)`)^u=kuNf}Ofx%BC~FfBDqDKlRKemb7<a|)3!ePq0hj%_?wBnwwe%S5DU`Mb
z!^{?aHGFUM2lBJ==DgEn_hE6sp27^9j`(*i_Y;1<poBH~tczoFwA2;0Yrgt-1S)@`
z!k8Z$^-cE^>V5K_VWJ3$mLvR#0keVAicbTS6{s~M$&hzqwJ>Hy+^xWI__781LO(Jh
z=}^r>y+Idf8nnTjaVvs*TZ65^^r{a!L%vmmbc0%`=R*o~0bTXtPp&<Fg@pOWh(2m?
z;EH7vssI(B7AgiD3t-S%Ft)b_c~fga86N*wQ25hFC&YiYoGKpWrFC+mhb#>|EQ6FL
z-5WrLc%b&XxsXCNwEuek%qyrjBDi*T+^qoFCmR#8VAqqql#X^I*+6SR5Td;}rIsNa
z^`W{3T9ZrDKJz~0$&JH*Ph*Z$rq8m{)J*RAf*rY19&)=*o0n`yqG5Vw%;=;t)3FI^
zi3RA=Mpfi=G&A7MgqfpHCg{--QbaMafJqhQ9+M4uc(eA?sl~bAotxGtm$W3Uw+uK#
zHrX5B>+()jAgnbvvAAOKXpMVR^szU@Z)jYpGv>lO`XWLbmy4)jyz6jgL**Dz;9j4;
z+ZsPRKo)y2MhTyeVx`(mB;d~m|HysQg{^gBh^N-4KKsfkM54k>0{(UYSi<U<6n~Bm
z>b?7qeRj;H!KC?eSLq9za;kXy(SV<>UPCXk-gGk+a?U?4j2~cErm^_&)=Br9!A^Qo
zTf6?2ld<S3Tuh5ezx#O?=v;&N>qaM*x;_7!mJAl~sRzXQtAva3AyZM&;NWI9b#t=R
zxSCp@F56BQMATf{)?CZx(AH3khf%3lLrhy~wstoWvs85yb@;kICMKj@)5=nlHP>n|
zi7=(Ehm<d`c}`#B3Sd%UYI0B|GuN0pdRvQMF3fB>>&?6}Hd@d+kD33Sp66|G3CR@7
zxt5jAth2J}V_NEbx-F$&YGhi1v~yN(bz!52oW8NSumL+rk%rRR6t3A@z|-2=XlZQf
zDd{ji+J!b*vxD<hX<@Ii)a;;PF+N{N9iA@unyX$BMVNd_9iG%yXK{^&SY{J+h|<m!
zYRc+VqYLZ~5le}othB#|(p`3OEw3uVR084D*ywCzURuY}T3DEG1;QavENFc}tJi^{
zn+C|@60)7XR&Q}xD5mesG&KPo>PQ3wgky<zGuvF*=`6N(B%i*{JdTflGy+&_bh?kM
zB~_p+C=h9`)p2yCC?jQG@>wQ=_~hB8{x!Us`b5h7d^v&3l%B|SMm*bM8^9WMN?rtN
zaADII^<3WpYM`^!ZE_N|UQC3}m@78NjWll8(dy#b?Bo)b&Qw=s3(h;9rrw}Cnv*yS
z&ng&Rc##rMcoc7h*5y(}Zxx97c>>};wMlDS@#)R7Q=UHKrgvbxYJc96-kNPs+wVB_
zd4<0EWqo{GojTNKj`N@9`T5tBnd1%edQ9$KZ@Q*Q1JHrDW1UsVu7djcpLsDJ3XFpG
zhFw(}(r5tk&RE|4Qm*N)-RhsQi7XmMBi8U^9dNFC!f@}#*)eDI)R+;^gx;WcE(u|<
ztm;<N=XZC00PXUh`0<r#{nEi}zZ3B1;*ZK7i9Z^9#Pt2C+n=0y{Vuw3_H&WpHP`+Q
z{yJl0eS(eq_Xu4%O*Mu!`LG<@AH4X3FKdB(2Tb{Vd8d3f?vR(HTD|J#GwVP0m&?D2
z?!T9JKZ-qzuLSc3Y#+EE3A?$R+bL)_p3T@Wf^HsR{Whm(sqrJcyVRPI&3plJ=)sQi
z&E@`g3<Sne8NNT?qTBRNvjw5$7}a@Evn4CD&sM6UFlcd$hJPu*4jXU&4Zed?012o8
zgyX0C%>vdT%&^nb{{D&2Kb;FV0Q>8(MRzmq;ff&Sfd$m4+Sy))7^cD(vjfBo5f;3}
z59{fP<!iWh7hjq8L}iBcEsvqf^opF{_;(Sm6nn~!!9EaCftsf+5EEn&@P(wEHv;07
z<W*z~uUWlv>(BxhW58CFO(sqp=cM&%1JfSwriB#MGR5r%Pz5?HAI}bp3nomUJ}c0M
zdD(Y#dFWA`5pCtEa)pTdtq&Q=mz?BC?vE2U52N>LzrwHk3z?_I9s8&)oS3_9H$y3L
zkDI<Ct%D)$fDUsTl4(AHJ8(ZsKonppkj@aTAX=(i&8ivwMc5lvzc=V<STFaOsuLbY
zNAN!lJm38!u&uUTHLi?0H%T3YGk5Gg9Ua?TkTHOXd^jqoKsb9Oy{}iDasH_$ZgX3d
z-m%RI$tkeT?(P_NL+?O^LNn#qM6S+=azn-P<V1k&6hJ#DUJOP@ZyZPqGdzF_cZ-A$
z)U*FuiVn2{P|evA=H@6jzzpvQ?=q$s1Rnq3##rTbL4fe%-fJ0a*SY}>w^pV7US%$(
z3mj?>5AD5lXDppa1#{m?fe-_TM-P0BOYQs?;0lhSg*(6aCLpmB7|9iUiEqdjAPsh}
zET9Xl#nF0>jA0X?Y<U6~JnV&;gt@Fd@6nmhAo?4j9x2#1U%g==`Tbyq<Yao)x)n{e
zd&pIQ_cnlmwYF*XlG=)Q=(wRe`s|rhIjEIGWi^eXPLD<4tU&YuDGew(KU(s5;o!zV
z-V|ZSQWTCz#!oU<fh?hIoV&SwT>DOLKMU+D1@KonJUDzDu}3jpU)iIYDfBDiqLTnW
z-!=fz=}$M*;uV2s+|#^Dyt^cSC4dLYP8z@!xCYFf0ne9LecaPCP(U+3Qk#c`*?85x
zMPMLE6U<PS4S}4zqA8kZ=od<f074&dI^<p15rY)?8&kpSG1$1_LWCZ8dt7q=6tTn$
z)}8s0sMhc}U?cuXj^F}z+XBhc5Gj<~s3?@)AL8$tR)RMo&p@7VpuOkag9L!Jn~N9|
zFxzkf9+_OSocpExCM8n&JuV+89$Rs7N)fpSlkQ}&M#>)}iZyw*1li0wmC1#N7F-=e
zHABCBIJ#ue$)|<6ScQ_DEnwU+HlXXYEy!6V6e0!hehUM(1X#!3<}xRM2a!in1$Le`
z=4!-TTNvTHX85jL6AjP~)M)@=f@tjiYT!lK6S1MeM=XZbpbogH=c!U;8T544xvXYD
zQEY|(pvVF^k}dx~5St${x&;!Z#0o4#r1%F3iY!2)#0vjGQU19tNTisUA~Z^iz<&^3
zh(=)*_#a@3(kd(giP9F$1qcB{!BVh@6##~Up<pRkME|c>gg^-u_z$8B5h$Pn{{u`>
zLIo5cQNkh!Kv4(^Apt}q6vF)f&!dSz{^N{L+zM-f18^vAVus-VpU+TSRr_@ID?}O#
zIKoiG0uD2Z{jcV8jQn4p&mp#QwI8eUgCh|OFpfyTIq<&<L?VvyU;nR0SGzNrA(XSR
z2WWzqV#Ad1!Ze2mzA((;nKg%NK3@O{TY3i+f>U?}6oxB40f@pY{0Bv6fRT9lXND-7
zfkxa4HsF!h(f_Lg4LOQ7=BRDZFePuN)W`g~EJtEG<bxX0osM+Dmvg5uI{~pw9=sca
zd#)DX!K;N?7~Nng|1w2HF+%Pzu0#YeM}tdRrQlrvnfqx#7NP!qGq(-&z=#>IXc_Q>
zFiA+Yxa^b6BsPn;7bX+yv!I05hcFM=9NXR+DXvPDC<-P_j10diTxczby=#L{(G3g`
z0?k1OsU%<yVg&iMf&3Yf7IDah^pE!29_}VRJ>2nj(!;4yofuCv<<Se>-wFw87pD^L
z{}vfY5w9N>n0K20p6(d%FmbJg>n{n`qJh3~rt=!O1$02lP^J?xyc;z3gJkI9z11x)
z#1QC%{EHWbArmPQz=M}T$br+mBuDEmdObxGVSOKIat^pr;ORmT(C6_63jn^q68$R$
zdMm!}q89QhIL-_1@c$_L3ZOcdW!>NwAh<ih9oE9#-Q6961$TFMcMAk}cP9|s-Q7Lt
zWAAg4eeOH;s@|pQU(>YB*F7^mRIz4$XD%1qj5leh@j?IK4<}(zh99uE7D+&8LQLPN
z)Xcl><ztEp>_4*MTuE=1xqQWUNykFmgFGA#Jb}K=ghDd*wV<mI90W1JQc87`!n)jG
z`*3)vhjmMvZ>e#iCiIKO6%-S;Sx0OF<E1HTFpbiM*hTlkp70Hh0lj3fHJ1m!OH<v`
zCF>ic?x;5|mn!6TBGoP8b}v5Iom>-r6N!c31rjuz=_w))E-qFZd8aJoaVya(jvDIa
zhIB5^RYnr(2?9DK=XEp`r=Oy~bhmnU5KUDy6g^yrSbXS_EuO2jcNIEl259q87!>{3
zk)e1Qf)3t{-(q*oM0i4{Sp>ed`D=IrSg}~NC-?;`eQEUEWpknDLhi0Od7<<asJS1D
z%#WC<LKaG8yJ4C4d%28j%YM|*{AiOhB5f_Uv`vtJX%ZqcAicU7W?qpwh(G8N10MmG
z7UmY$g8!b%4Kja&s}u1BJ<v^NeC(k2X!IAizySElb{Rjwp6n(fbnZsnzt&A6AHc0}
z>es@Jxvq%Vz-{D7AYy;?ctKd-0%#s&N5Y*fcP76liFj#T)7Fjl$eKm#fZcZyRd<|?
z=E9ELcfH4Y7!y@=$1h9Op1-#I;wg(H45@f*;bxtI*HTuIy%1uopv+sXAg4P&-iWkZ
zpgxmjQ(6LLGnmR+{8Qy3sD|=`%@sIm-dYZCDqlN4*5NBLAHr)7st@n1AMvQJP(6b;
z*SFU@TzKh{B@|djUUg_ZW3MQa-0Nq)NRXux?pWySM5G?a8H|b%=<0yo8XrIYi#P%!
z9X%^tBM=D2@Uo(fjAWW#$>FMGWOR(+@n0}UURvye@6QJLqxUmFHe_o}UYoUz<2$>d
zg5f}c2}2~ebA`^?@u3bX>}hjuI7fh6lh}4%{|Ke!m$SnkW)(-xMEO*8rZc6yThCOE
z_=)oMQ0*M%GOJmt^?M}`6jn0@5#LH4*TSw^e!y)lG2p6d|B41zkpU~sw^dep4YB|1
zSdn9^Jk>;Hu7#!n5pJOXSAJjb=x)T~i_c?Nm7Jnf+#5N(`3QsWzU-or`!pEn$x2GF
zgR~YXHTj5dKM;Tqhk2Bso2o0GnUg6`POY~5k$fF~yJr~clCF0cVJ<2HrdLz|=~igg
zXyzusbi6WOxlq*N@sjB{hj;HpFkYi%gJ6v_)wlE7GcStZ#qo8avb40+pQj}c4|?`y
z=V!$smUN<%7_!i;nlhpjN$?3<)Z(dpg1D!Da5p1tXjdi+N0>09@=@{ks-w6eC)-w`
z1BKjL))<YMN92f&<E}1_sIpLus$FLF>GUk&dHT$Dh|e4WyHtUfd`%%?q{*O^f$AJH
zxW9ZXe=H?*es^%6yL&z@yg9ji#nZ!D;SZj2=|(_s6yXfQ1Tiz^o^q5H@R03OR8a3*
zrbLdM6Xjgs7r60MLCk)N%rdkLM*0E;*I{4G=kSC;@`(b5`>ukhhR#2P-HDNy`_qfn
zgY6lV4fKomzMY4mv9*!CgPpOy73@1@WAFu*osfa>ua=7omY(1KUG6~0%EU&;z{JW-
zNH3`WRm|Aj)a;$d2%vjEz4*=(GX9qqEfXUH9SaLP6Cu5brM{^>Arp{^k%jI3HydjQ
z0RbBqLQO(iAQLMcI}<xAAuTg2kd6iTE@xt3U?5~<csFJOun=nhOJBs?(wK>m?H!8(
zAuQp)cryA{#)S0zfB#VP+nMWI(hAsE8c8b=(u+IjTbdj4Tbo)MznjoYo7>x)Tbrty
z8#$N}vI5>YiVntBDuj$c03p4S>(_TTe}Vc7xt;k}2OB$B9-iOvGcx=~0tEE!jsMd8
ze{?HiZukCO2s3@VzdHS&9tr=-qXHqll>Wap7+KzP^{)^_n5h4P<Y?gVHxwm1N8`Ui
z{S~N^jk2}5p^cF-A?v>!`~#Pe{_lY7-}CraOsuS|bZpE_ge+|AbgV2uMnV7^104Ve
zWFZ6qfOL!iCT2q5ds5k$+1dW#{3Bvup?klnhy7iL<zMFSz5kH{7~Y4Hjg6U*mHFS!
zfsCwlKvn=7A&?pHK2Yz5f0S7n*yz~VSXlmX^+yC``u8BeJ7-~MrDI@ypE0bAY;>%E
zf4~8m-w^--z`r@n07f7o8{psI{t&?5a9J3Ebb$XG_n#P8nV9Gpf$wwb-??FCW`2*7
zm5q>vm4%LxiSa#2zjO14V0+IWBangVeVYH<n3<K1m7V#odH2WuAL6$*fQ|WIQU6z8
zzZt*VKRx{+{zt0+3(z06{~zKXV828C%lU6?|4sav66~x1ItF%D)<0qY4*&mdfj}S~
zJ3AB8U-|fB{d@BLR{pP8e+&Ltu>HpOTk_k*Uv7VQ@tgNs=a1lzoBxuqvoO=KvAoCe
zkM3`8{|Wd{o_-_!!}uphzenO9(QnS5?*9zQfBOEz{A2h>{}1uI+u!XUo8OE-)9^n%
z|1tk>g89!x{0;KId;inP@4UYI{=@r+c(1>IyfLx9FL*Wp(?6U)`T48pyw?{xHg*=k
z??wC<*!N}g_qzUTgjv}CE=2z(eh(JoUnTy(7U`b>V`X5X12O|y-?1^#G5uA_-rfG0
zFKhs2IsoH)dHC&(m63^#h2g!tY5!;0X8ez`{l0rR7~8$q$-j0Y2V)`QzYFU7)*@wW
zZTh|?umJ&onf`m@bIGupTeZe!`~<P#o@GF<c?<f?%&Y@LbQv$!ET#!?1*xH-R8X4`
zpu4);9j(@=r&7r4t+48-|Cw_5sDI6XTk-Se$>k{P(V~|3V{3J1#@b+ojn3nIF9S^V
zB3_Gy=l)yk_8nL18V9eZR>jMu{z5j{wJY<BZL4c@6v5A;!p;tw!QQ*m%U{<<k5((U
z+xjjq<K;#7*T2en?|SP~rP0Gp=Fe^Xd9BBF8wWd5UsqqpSNEgs*M+<ZLXKrxU+vbM
zUYhW9o`yYunk?51+ES1D_v7t^sh&D_tK+9?%VXA+{j^X!xN}33_M=0g^I&#+x12_o
z8SRyBG7yU?nmaumNX^FX<B|=R9n^bhS7}x&Rhy3d9fo%u_m+l@xEs;6F)@d-_d_?P
z<Fn^h2Z$F?kN(ku-Z#M6=zaJbavR;3i-4oS=YXSiLe<V_#TQAV$Ns@GubrV^(J8_2
z?~-vd8n_<li(oV~8Q2%m4<e_kCB|XSqDD6<leA2&rn4RXsHw$h_`02jbxpuJ>Qdn{
z7~vXnKbo>E)LChmx4ut1d48ODAbUan=(&dc($Nw63htf9+ns%I@0s|or&;>u=~euO
z`~l^qgD%udcTlMFJYK5vd{e5kQu5pS{g-d+^DNWZo8vc6UhiQ%Fu!#0GQVKGN_hwI
z{>}cI_4bE#?yh-&@et^>ZYa>%MSlbL{QuubboNx<P(S~#8<Ea#n;V?x|8-+Lpb>Cf
zI4A32{rwgtTUm|wh4cNxvocBJO`p0fyL-^+<>p-MT{iyC_SZFixxxNRo{cdlTZtBU
zJKd@H{$XL*Z2EJMjrIlPdcB80Fr3}y5D~L>_nBVb+Tta+dH1>U*{%GI2jNBMe#y;C
zKT_jSKHi4hf}7uVV9T`o+`rYGU~oD0tP}6~{Wz#6=Hogq{a6vR+vYijtNxPcfBlWg
z$n?Khtna0Xo&ERHec!;@nc0E=WAzraL3t=CFY$W)pk=<7X`a?(N*y*LBLyp94cVa*
zKBNHffeW>W3CL5zQv3`7r7BkILZHGX)T8Ji9$8XTajtHKZBd(>r#L2V5iofjXJ<yy
zyZ2llf8}|T+FP?9S#cjz>=?gi-(Lx55EzO`A_@zF$J0?NNd%7ib9?)q_YK#Q1KiwP
zU!XTN9uQJIrk^La)d^l%1&rVYrb50)PMdVPF8T{YV{Ld`2Ai|eWN@svZB#<5zxv3f
zJ3l6f&wD@YeSd*&_kyiZWyf<`7>Q6sawCCjxc)Yt<vnstKQHBPg;&A;7Q`M;E-kUP
z8aAO>ev(y7zB)zG5JvvV?TICWpv89TgmS!-j>~UC9-b(@)^@Dz*RVhxOiB7+6zf>#
z6y}TGMQPP46wz(xr$UPhH&SB%CUqKrYDfi(M{<_L1$bil&%RZ>o1|1y_yUbLL8X|R
z;UXW;@B}zuKaYnGqNr{&HDjz5l4MAcAt4)VfjF^}b|I6H@dikV^|ZT~Gp|eXWr41!
z3otQt0niG1*iDT1RSJl3YDl2$h%xL)5U+>{uJS+p5Ll!LvD^5epAb$=fha8haW|i?
z_ybxV+fi6c?pZN3T0XK;*bh1O628P@Smk`|8L(TS`U9pJxLN*odQsJ!wPM7h@W)*0
zN#$Z*Y#+!xelrGazo0z*gD(#7*ij-mv1X|6|9;PLV?mD;+?EGxL6_!3nIv_<ON*!w
zRh&>_ftMC#o{(aJTlF!?$C<>P2}zsKVnO^V3O6BrVB!F$5rUrEZwAwXwhCFU3p-bb
zyBc-IM?E1?2U{*;F_Bq}wHi2=*E-2<hNlq?%yFOeJn*VRs=NQ-_NmO2_o{oIo+sQx
z;G>aW+<Mo&W`oSAnAb>DE#Mcz*+kMSaUJ|=7xM(d4HZX(Y;UEGz>^%c8%n_v6gMcK
zh2V^i|9C9`TMLW;>25vRb66#2dpjq8aFUVDnPtYE*Ur%9%0})f@rLdB%V#rc3{v)w
z8Xm0p30fbn*ojs^uJFMX%=$*+4CC%e&!u?+vqYW_(uWZyst5{zSa_1JgkA~HaAp=<
zb>~D5pz9VZU>aEPc8j6}5Q|pd;6Y_%Bwrx`(Ei}jzU3c91}}(^gG*)k*Y)Ui1l)U-
zv!ohGqr24AbJ7p>G@ooCI^qKQFNeE_4fVKJ`5s3$@LMNz9_n&cC&(8_vt)P@x!_f1
z(O5cBcP>ReLdZCh$dC98h{e8tp!vpIcicIFbD)jeT^Y-sCr*RrXe)okT{VJS6)}0B
z{;)g$fMJK@ku)_Q=rv5;<)!L(#<z5Ee*kwfDC|OkFAO_`dxe<^m$ZiFr3sqE47T$^
zsP$rxJLn!7+9sHdnuReYz8D%W4rfLhgf9}EH(!ONf!%X`aryxEtU8r0MTi(rfB4el
zv^jo7YIa+%XYZW9KS{q3ReCw=f}0hUyfNzn<^@gAd%k5eylVuWD(qD-ZI0q8+yu(g
z8|d1Dw?%bHcevb_(ihv8joe8p8DH9Ul<cEz{UMVJl6E<Gjh~=*AN&zHT&*AdA>b=!
zbYJ+UJx&J>uW#e#X%pJn72PZH8~j^<_rN}M6EIfHCqSIegV>0!Idw%ApXj`6U;B#t
z7y0dk7IqO@UDDh%yIkq41GmTB1U-1?MN|wpdvaKMAMF<K()F^+MT2R$5hrF7aX<Tn
z;^cwL7uf<i9k~^`e3<?N0Vb0X2-%FlDS5Xk*?~KX+KS`>8_@UUx#`n=k3Sz1%7xTQ
zfDMRvMOXUeblVyImOo)3;$^g)Df94_<CzTA5SkH%N5yAFF%)&#v(M!_U{^Sa-zCat
zgy9Yo>wIN$uMY)ULK`M{C&mwwZ)ms?vkP*d*##;-p=|Xe_JHgAUZh+^UPQ9#a8Y@E
zrkt`gPn;op(XL2vAMV{L-Gy|`Y*Y0bXFw{ub~ZzF!_vM9mYv$IqhIwuBQo}jevW-c
zI&lSU$wDC0`)-7zBWT@UPAc0bd?fC+MRZX22~53HrXi-bfE+IZYHQPsj8a@%+75QS
zyF}#y?+XTk!161!YKJh>=JHT<9Ly=GT!pXuYZf}3tsAPRfUKUn3$7;>#e)CxaIFKT
zS~s--z3oTXY0-)BI+*payO<7W%KeWP-BH0C`yVhwHWZ$zrHLhie9)99J3+^O5)<S)
zU2FpmKs?$R;2A1D((|w9n08Ua_Tdx?3<s_gGY6P#b(M!eFXuV}*bo&bLsd2)Tht$8
zJwBQ}M&;y;AHvB!IS++9RDIQGgOr6rY(kT(qin{dMID6p9+>{rpD%~%H}_%&LyOi^
zr2|{cgwJ3_?{e?e<vVhyx3CQ{f(7oxi2TWb*#jRu<5QQPiBEJiB<d5%mqd{mAd7UJ
z9v@zal_<)5PW7<qgy69G!N5*?G0sN!(GGIc7Vrj*@E+L4RE<f@_laxYo=faRbPeh0
zb8D>06(g1mP`gAo#tGGZ()q#_3FyYZVu{WZFr=8QmF_`M)(S^>BKXMyGDmUZ2f+q{
z>ZD*X4P(HG)Lnk$#2U)M(N66!ZduOZFb<&;o{;PaaT@6${~+zd_{3Vj8Ei8dd$x@D
z=m+*PFv<hMatI$@=c9Jfs3xt-V@GwXaeTn6GTN?j;pcwg)mFzy40MO#XyI$(=1n;n
z22SdYdslAj<Z1mzbCvML0xA)Ino!Wsn2x77hpdb<$mt8jeZ;ETvyoP!WZhBX7^f)<
z$bQ-{blgRsSz@!%TW+NA#xfr1O^?1a-;Oa?qn8NRueJm|iU`mSJ_-p~xtz=z=6E<~
zi+L6oW+p>jU%BZ31=(?f2m&76itb_RH$rneXkV<;)>fPi2%1)8ln?O^xrGns&`y<<
zC`#nMTnb@38_3d+!u3rz4$Am_G$~dJ=bb9D38$Y5p3Mmqd6H@AFkYB7e7u7R=)GNS
zY1mkcCz-F$8A79-W8;Om-D@<Db!!}Y2IgXw0S+oA#wvo-<{QipT0(87Z)1<iBMGM8
zuWG4vU)cJ(&O@6eT-1gE+}yfbGgQ&_VBt%Dax)EBFtNWrk{g*T9n|t*8BMyq{R;m;
z8+w<%u!3majvm1F)dl)YL}f18yqkJ6iD(Xau0-kSo6utoH;QSHMno(%@pQVW4EXFr
zy5<A`?)}7~m#6L(>D4_vAQ}?|rf~*>_%{C0=+q%^&jS7I?vQA`P_)Hy_4}fN->P}_
zH#oBE{y@siL6^|%F$u8B!vq==K-dkGzZr})0>AWtP>%GhC1W8rK(-=idZQA*w^E}5
zDst3}@h)qj>{jn-@m#a77##-i7SRPte7dgNVyfU4jXLWkQZ{r_Fg>&3@@)k<x)Bwf
z2_@FuUnV!I{lQ7Nv4XWeR;)lCt{b*5ILOzMeD<CK^fI_ts@u8#@PK2%Ox@`=WyT3w
z8)G5xCeOtaE_Emh_Xn<Rq>*Tnag@WWhXFWEbE2Y!YB<r{FPqtwsE%p(I=%ZhTNjC=
zhpx?7U)5+ll%r)XM%rax61qhRyvj4KB)WPwx9D7uIJ(#myQ19`gU(r_z=0Hv0E%bH
zmEua9czC@;4@87pi%Bw_M2$J>%?s~`{DvL#JL-;>i&_VOrduEV>Y3~C-RD_mfMPL2
zzz<)N0U#@NGA@{+<Z6|-8w7f^NCZr<TVqb_MymXSjU;}F$@(K-I0EtUPni!-lBW_j
zI(7zx+7-dPCYh@(cVIad)@K+nw-#9oT;FM%Pg=yp!dcEqf`>Qv20BofgQk;Kyj61w
z*O%O4W*t_*GW>F=okT9uN}Z2feqK}?-tp&QXfPX$()o#>hpNsn^T(}`3}}^cpCR9_
zc40&BfvX0fB3{v<HUwJ9tLZ_z?F-&axM~aS%ZagpoAQ%EsRtXO-J`%Xu|D+!E|z<@
zj$<<USNdw!cu@y5T+EsnpRFH^)FN88vRnw$XcsV^BFF}}GW4op#u;e=NYkDr^dUzS
z)&(hR!J%J<!qiVyN?E3kSkm<ulekJ-l~5AO997~BGYz%BXq&!FQfVw-oI6pUrOYI8
zP5<yBtX2d&5smBd@+mL~HJcLpF0VnBnIHt?m6NU<yrmdgq4zmtwqeIryIx~hOj%#m
z=XBixsufgWzBE_~TOqiFmP$Dsdv9R-aw+PYMx-YPcA8!-cddw{qbYXUmt}yOQ-<Gm
zkwln0n6+6CnlT+nbB36MFx8cuFgvnUVj|jZbunpkhBc!3A{<wp?AC4HzB|f3%J_zx
z$Hs=}`RBCzjOQ|GB?SCBvZzdsSQkb2T{H-cj9*xT_-A|rth#QSwEY*4W65hQ4DI|C
zz5%*KgS9><vWFFPkVFT!8fKr6EG7&H!PyN48g|w-Q>Ah)N-Jv6u_2_lmxCQdb?Vv{
zLSp5agCb_s?0TYKEIVm2Dd~fl>VxFOriaA9k*$rlwjgR#F}y4QsZ;J!Qb$(91RBlI
z`r|s(D`0?!y4uSbUD5J6R2#PCi7w#MDL}ZmqCKjdQzFcrex{bR5j#G=BIV~!ai28|
zx|49Jkc@v3^5Axgu3<CD3FruoBiM0Ffmjoj)(<1>@PO<>dgtPYrCwctEYFqa;AXE&
ze|~h->Z3-U;7TWnJm<zj8ha(Jo7-ZIZFmbqGk4;%$Qlv8s1s@*)UCv@@eL-JLc<8!
z1vqHMNinYC_FhWqgd%j(^0;eaW9QqC4TgEP@rSO9lm4VunrLV*NzJQem7gLaSAL6e
zbj4Iyltu_Jse)xW$yJ7=#fK*`-)djd#_p;MSrn#ED5xpqg-#%yCyZ_wS2L}Qr-FNA
zwH^l&LR>dll6ls9=|BU8s9U2L3v=rR%12uwx03_E4k6XjeX|-ybV$^W=U9ZGya#g<
zrm7l|SCPkQ#lNi$mk%^gs-ZTnwNT(~)d`_1Jf<kj*3%psJMGP?Msy$GIl+4J>8UIq
z#Xd<5s}^)$bUcM;$5<R(4072!muj8+N>)2LMpIZ(@qUGIPord*BGgy^{899V{IAf9
zEDZ(vn&1}2WvG~xp*wL!2!@?-tOoG=8-X!IUTJLUE-d7iyZSW{`OfRI&v&nb`+YBX
ztO9Xd^tOUqseS&TsWHeZPGy7yq#csDy}L0>OSa>E7L+HNnJGj8fjT~(k!_t{03QgA
zREI(;C#`snSYqUju+?cQ37toX%_Y5xN<}8>PfR2`v<>UTJ#d65aX#7#WCq9)<4`1h
zj3X9R&J0!Dbt2laC8^O=K%W^?`tUhaT>0Xfd1W*aB9u~C&&-VJy2o{Otd9J^IB{1T
zq_>kn$T;ehvXaI|UbeJAUi+IhL;z<&7*!~CYRy#AU3x_g4)*8SgvC7|X+h+1jCF8n
zmPs)ZQ-=kYIckI;>M0GBP*kMc(Tc?RGG+BeZ929Qs74tKpZHdxo06)gDqP^K!TrOL
zW;CIb8>}FIW78;l_2$r#%5!vYIn1>_k<%-fhRYcWHuoFlJXCz=f{1|_sN+x!S|&t$
z6UbJqv~bTZrsiF&mXgm0UaE~}X`f{8?doILicZXDug?dvBI%BzvDFL3IOLd(*utQx
zaimmNAY9mfgx&ehF!Hhem}l&HJs-7=woD%Npqik<C{+{GHdUiS<k*S^Q-;Hl6;Y7^
zwkZq5_{c;n2q@%Xn)+a2n!?2B0G6Mp3979F0+OOu;*3MS`Z|5+QIjyC`%dIpC<Zv=
z<GDC$Pf(<tXf;jTGFzvYWN(y0IowVwvd*ShLS_)O%<46$fg+hJ1zpf@F<&4Kdo=ht
zZlyEI7^`05E11AYBp#p7H6ulI#QKq@uq;BmPW;Tui~}^WCnAYtOo(_)Ova{V@;J#k
za56PBX~zU*hABnZAr~xh(bi_Ia5+|RSy#*_9yq|T*X?tcQsvlH7(Pnn4~nn;{9s({
z>E{{MKIzp%w}hA?B{LZ38FS^f{gGl!>qC5ku#Q0tu40{{<0;qOLOF2JEW}*CbP~S{
zxQNWhwLuf?(o1S%*iFXTnOBA?@Bp)9>P)=VuK#5fAXpj>AcEX$%H1CHWQ}CByh;FG
zH?@JD9Jx>U`{Alht+GQRJF}sZezz5_-V;Zk6WE~HZ>|@UswoT1=>Mu4-}Fw$Dbol@
zVv47s#uY2YZI{?ff2DP_vTfgSn|16lu4<{8t&g&42V3TCF~U&E58393UhzwVo!V#S
z=ZJ-wqPz-7DQ<RjdIU-$3mj-WAeVWET>IHv6Y{X4^i2<~VD+r}{j{v|`v9S)W~BJR
zoOmc6>U?+Or*R>TrQi(Rwmc`Y`lQ=Y-}?F^&1C6q;{JKN{`!*u4Ws#>KecYNw~*&L
zPKqZY_!ENNQ&vy&UK-2V`_V$-uitgdBhiJ$dHwmrG5d1RqlL<Ns$9KSN}8^OP{0Hy
zyOt>IGCWlKw(PsP240%>OR$y|QhS+l`8K5_AgEM*m&D_gB9x@zK}cxWk@_Q=ju#_H
z`4{)2HC!+1?2@ZtM|IiUl~cXSxdM9bWHV6S-=1r1u=Y6tx?tF<p*<c$zse9?mu`g#
z*-6Np1+{jh;=|o1HKSC25L{qS59K1Lm=oOEhcO@oD23=Syk0(ksqqZpXC@!iM@fYh
z@u1HnatPK_QW!azKd3|si7hUYf`MZtr8sQr>~@4m*4!*MO4;f2oolZXT5kQL5ZTbx
zH2@SyK);8x&Qn*rQCg$-VhA<IL1O-hh&vnPEd(An42NBgVGH+&UYE(Sa-30LoH%1z
zo<z|yHPPN(SPyD$)kS`B+ePV_$(2He6kJ%gIX~7`&uE_PH?PndHYCR)^#fP#=xI4t
z(^nnqWgY7U^^-w%GYS_Y43mD051Ud&++d?~bEx(61^t%uCrYRW4aLQ=mO`frPUNTw
zAU4j)i7Ja~a-dux{Zx+)dn-!3x1n=$rgQWw&VirYkMAJzsV_11dAjKn=+^+@!z8Zw
zowTDw+g)z{EoiEQTNr|bWZ6~jv8+5ooU=KekztTvpC-eqBtPwKHnLjk*%>vwilV18
z$bo{CY2^8Ai9~Is^rO+iSsK)ISqE*Tz>E(R_yNd}a3!<TVMS8-JwrmFG*euvl0%{F
zHwGTSWeog+F*(KkF6&}<FmZ@*8!!>Eg!55_u}(y=8oFRxB3E&2q4-un*!l{p_vSzL
zWxRC~4&-P{VZM?>PIkM1LQ}#I#RBSdEr=TdfgSt%K0)?;I-=?)f*|kT?)PI{ma{%G
z#5Tp$cN-_ASF+9O7D64?lT(w1M=s6rWj7}(O(FWClqr%A3p6SqQzVq3v>iB&o7D5+
zqrfVj<fnsFb|=G-h&45mH5H(wLkK+AKnpA&jY03Xar*&mzL2NG7>uzr#E^Y|Z(ybS
z;^7>;x)1zmhvJ%y#%Scs-gn<Si+Ws)B~O5`4=hk5we6&7SLGCXk8KkI?k>%fr<R;g
z3n=@+mG<=mQ~F98vyZ&iwpvw2VG&`!SOw__lBh8nrk$&CD(0ARs<}EAcZ>UDK+vP8
zEN%rst?Tyr-DVo8TifOs#=2h5Ky+f+Gdk3HRkH>LOJ~*P;~L5le|$7pB{qy}aR~Y`
zzJNa_(xlG|6Pf^@&DGSmD@8KjXS#SkGCI;2^W%e$;@-!jq>fS9L*%z@!R%6|8giU!
z$HjP{Yhd_XDe{G=@@^RoPHG5(OZUsXY^K>6&mzxK9*71*a#6B^aqG~Hf@c`L)}9Za
z){!I%GO#5(Hxe%VHm2F*PH-@BaWZ5B1s?$S^5f|`x#2{jv-Ux|QlsXh>PaMfM(JGM
z<<|(eG8c5WusSv~(Qg_N4lEzJaDU~01KQ163x{&(wU5X`s2$2M(9P!e*8tEFYXEaK
zCk;ESErAdLw2Sn{@h84^G^}V*Lql2vw^kp=1e)2LJuqZP-SMJwJ)6LHElih)*bUT@
z5HK3xQd!1huw@F9Mv1ZIu;*&tzobc%uAOiKQjQ$%YWKOpm_LkGI6xu+cH$y9O>I6f
zKdf7eib|=VSFnP#`RY_3y-WSzD{SmUjAunM!9v^d1`2%XS!%oOVTP#1{e6F>m&@zd
zZLm;TZwaZsXteRijp~8G<A!~jcDF5Vdz~|tkm$FjTQ$Y8QfgiCD}96l(oT$WJyvWt
z^?Rw$5Bh#ZD9_Lx(a3p7W%5$c;X^<fR)1`}F9BadzTE{WxC?hvBGbSMp?nAV4*%nW
zKObdEPU^4@GbSKHh$<$=FYzg+iXb{zGkRS*WOdIl@2a8k=|hk@5cF*buBXgco7<Ex
zBP(q-=<Koy8XpqE=34<ChyhO{$j?Ahh;62fykMy>%0G~v*}b;vqh!C8t8sn3i<wlF
zIsSac>y6X?va*DzB9wIqJcH>fvF);W49U)=nStQE=>SLw*O7I0PSLw5d$kv?0jB_T
z`$q>49@EA;mLK~gkPxYQkNaqNVU1IF)RF{+@3(#~x(0Gw=L_H?e-M-@67WkbB3Hpz
zQ=|#7M<KFTDNQ@llH{*VB&r#}j6x$RHGx<EUSAM%dh+u?nutzICFH$8#Y4~?Ro8~Q
zNuBs*(KzuVjx%#xi_~+W@Acv1(Istvzy2gE-rdjN$ZuHe<(uRWQq&}){gkSR(S-1&
z2Y$hjXmoGq$B!C?z9%<3!+_m~!o-Ah5<w~on}xi)?8ehR6jfNyyRjFP2G-829cpju
zzQra<O-fgX)d6y+_39(_OJ*jE0OuKMoFXZ4kIU;<0_$~OS{Dj0?ETa+MEAY+c&IzP
zUlvrI=U{Hb`yTcP>kR@@zgj=}pK7vIiiU3Yz<)B78VYhhQehrJj#Me>Gw%1G7kqPY
z_*$fYS|r8tkjU%_>DdyUyU4-dwfd+Mq)?()Aa6a5?}QqWjU?<>zJmvx6p5H_*h!{5
zRp@KAqM<pM8ha2dblCs7=&&E@>%6uwoynU0m7$QP*?=RsXWR{+T(mCAI+uP@^$_Nf
zL|UO&t|clC1$CMTL2$)vXOnt1(Shv!=?N(p$uR5_X;m3fRDs_xvz``qi*)|*%ED-7
zz&DdM*2g!GS6?s86}HVlE>Dw`yoe`+uv`_Mk>>pN%l}^Xq0&9WLR@y}#ztyp(>iqf
z0kH9TpJVJrf<rC{;|0wjC-1uDT>Dy_nMh6^L^7-l+HR(-Nb&M~dYGd~#3NmiWU`C&
z^WL{{j#8*p&X6C0H2gaeVtp6%2#n0KUzy+E&SOOuxmUi2eoa)XH}K<4B$(^{G1Is=
zWv)JrIcrM*%?ui1?{i>;@tfJu6@S0Nu|A{hO2?N;v*^=&-IjM<1KB8FF!IZVSI86r
z8Enc+5Q^$FLDLJ}PK_o+jV5Bv$UyszZ+jodcbPMiyUUgH*inVp31ynNFgr-`d5Q3y
z)*b0MCOJ$BZW=BcZh9_yyiW*XqJjBwaq)`DwQ6cK<tTIFaeDD(I?=)UvOa=*Ge6a8
zB#|TfOwdTXcdks>#c+U!fxbRC=@m=@WHGy!O=$df3uSpnj;>}&kGOV*&Tn!EW8LcV
zXY_9Z^v#}vpyf_ZTt(`}X`eI3hVD+@`kDR9vU$9!BfPEIAPCooE587&>uB(b^`G7k
zLz{;|P+AJ2pm?E(5ma?xP*U6P?*EAUD7SmZMvQtzu4$xvT-?!4U4aQ8s=SdXqSl$%
z|M4rb)B8nkoH3aZLRqVNw?SVWr+S3j{juunSV!MT)7wr<Kq>P&nzyI{&3Zr6QiP1p
z8gWZ}oR;-GJqUqZkTx25f)J;B1NIgg8s#%~(sNRS{d3yrWeG$@P1H3LNef^Wsxh3f
zI<l>xG)P07@$S=?LVQe&%p*34vtN$ddZy^S*#7z8;$dzH*zO^-0<<MT*JiXtL=l(r
z!t%+%1m2&vh%Txj2@Ot{D4Y5yPoW46`9?bM**r$A<@qpc`QsnmHcU_pM9qa$kJC#~
zc4a&KZE{3bSZz0+=|i8Q@eCc?lg`LkuUksYx_QjTDqHRIcgv`y$0N}aN;lStkqHyR
z;~v2#><ACUfHPDo+e{>z=HVljw5(oH-{mB$tQ!&yv%eoMq8b~4%O8iZ&e)L~Bp&H8
zW(ng}7|DI%I@6oYH}+`mxKV2ymxw}}UR|(%bl9@_{<*XW?!l1zLUgFcHngKf(#a9X
zDA2$!qN(fDmT?=j9a*MZ`&mkBh(eB>DJ%{i3%({OqNEH0HNMRCr;7Tu+DY6`LtD9`
z!7Vbn=zdWxomzq`x6k1mU=lz_x1apOdw_jDyGjaQK2)qsXsn-n?A+)@gNC-T#qkOS
z!}94fLH9?q=;4cH6e6e>ezL^<yADfrI_L~C5^hB2FDBzJd&R<yvmfg%t3QqSRoQuW
zxp@2hTF&Kez)nhRh#hneZjiknP~WiTEzCU9$`-dJZjh3!qT?op%mYV&mE5C@zz31_
zOT5*6O<8AQ@r_qXVDCZG7sWDOXHpFSwJJgqP2uQ?x~Q96UdN1iK*ESzW5K@1ed#*D
z6NNHx-a^c0jg)BPaRWJHWVm!E@UkY!sz*8(`)Ilz85)U$l7C?zDqnywzV#yX62A%_
z?7&VX^tl+jvq&@<yjpIhzNV&F*Tu+1O<r(Uilf;Kshypx(#&@E=%OaiovJ>rVP~Jd
z6wob4QQ1a)Y<YkkmN3qugwZ0cOysO@t0qjRs4Q-a*<8}o-*1y%l0l}ZTurI<*+rrd
zcr~-8|A}$QcFyYx6*dO1m79HV+p0-GHG}S+DSD7HuLr1A4@X^C)mXp51~fe#oc(&_
z-%7RDp8`RBm$sFHuZf;t4YZ52rgd=VVrS2lb96K}=LdOy<XMGx7{ZE9PAD$Pt7<dE
z@=5;?#(XGJ{nW<3q!4NLbjdB&Guu)xgG)t+HXrJDQ0lr(cLoRVzdX)T4KkAO$RsgC
z_sTc4w{s!|rRa*MX@*zyz$;1bgQnRssH$nr9j8De$q5xuDizgcMw*6G7{_f=omMVX
z0;~FdSXEnZa(2>_f(qE3$E3lH8Z4+hyZft9P+r}fRTCFs5O0jw0wzPjKmn;#kgHv+
z+!aGbzwPTUJBnPk0!jm6=Q!QnyC&`iHJ%Z@QmWD}+eHL+^pVD9ZvGyQ7A+RQ#?eNo
z6pu{VT8G-=b_phn{n)cSyv4w2)~|zy^tPvZO2at^JjU9+U{#YbH8!iuQ7mVfrLS$X
zz{iWF6?jjwk{zb`-Tv{_uLpbjck=mV{*~@L7AEoS+u6-g2czzy_zypuRFCq?%`rPk
zmo|aCOy@1>;hzW;I@y0U)In4U2;+B!d+1%(RFvJ9-^U+9dJ|5F0FPBF#}98G+dz_M
z_vu5I5#wlwLW&4c7V}DH&adS^p5dPM-0gS0o*9i)6sI}HSVA6%76(|aWj+Z6_BCi%
zSp`aBr;^iC5O628GRk5oDz)afPut|Kz<8B5FMpeHfv2N}9<Y~FFD8X@4(I<)fhb{O
z@RJ|EJJH_?HUSrs0?ovExVuna&Ee;HmVX#YRh6D1f>U_agpxag-H$51RG0L_;2pf!
z-NeJQjTOwX30JvKftIju^n=!3mWtO|$*Scmp%!lQ(d~JN9_DB5`<-37+;<;v)!?Dr
zsxm!~2Vo5fUPjJ!SKsE2AMURSI^5Tuf8LM2pJg|C-lu=a8sssCTI&+s<85=|;r!sj
zNcO8a1<~yXzqb764k>T@Sc?kx3RC%eVd2u1aa7NskLfkp4)L7fXT_w>M&;1)Dy&%t
zsi<Vu$!A%i2lm~vD@HnVZI(4%ysUiaIsMjCC(R^$4XrxwCVoGOrpi`gg`<LW#>od)
zg29YB-yF$P<(t=~O<cYu#8L{oC@nrnOjTN1B4C|#5c7q-0N6><hv1NA$~CJrorU>9
z8abEI>{<nLUnE$I@*Kj^%$nK=7yL_nl^0_z$T_g_H1X<&aydh`=@*aN7M4W@j?_DJ
zx|?$?Gqkm}zn-cv18r!Vfux46Cd$+P=5XeEE?<v67MPi0=X})KKs7QR9mcwhrL8Ze
zwJe;y0u{aTeiA%%Od#(qlcZd&?o*=N`ay-bEoS%8)D1O7)quuWq1o`(Tj!=fOr5@+
z?N^vH{_4$_t<LI|pUycCX_O=AV=~|vH<@3J-^62~@iP|O&u84NJKYAOhT{pet|roC
zgU8$V!_Yb{G+&FJP&fxi&+W{HOKguHClfu3=HWBGT4k^J2I8ST<WAx|%@d^cuwSS_
zAO6ZP?Q_6DrbPE94535Zyp1s(O~5qNV*+vRrZkDkgRp3^XVQE7wcm&M%pr-a8Xv01
zjNKxodPU?qcT&SYz4Ud_x~|{Ar`|fgQLRE)DW6E<5UxRV{z}q0!x&+>nJb<&s4vM^
zHMP&BK(hCtZ-5s8-~H>ap63zb4d&2N#4X+G-C$Xcv3AY%w!<#!&<vr2xF^|3X>Bo#
zNK7<%lGfN+zC{7XGR;YJxAMShLy;od?-|(`GM990aFXF=ZTpjPU<n%#?k!On__`Xh
zqTq`^u0brWM?M&7V;}0NWw@)q=IufaB6yM80(e3@*_vz=uNQc;j~{k|`($CjlH+B_
z<L`5`bm}AsatxGVHhhRFMB@8P7LCOF`$qO+eu(8jMz7M0#0{AwUWpf)#2=v=ed!7#
zErB*CB6sSb0ul7Uh8`DLrQwNmNYBUp<q>J2C}eYiHDF}HiA^Y5637SfwvePzi-x1_
z#5dz3B4$@4z9(tNqgJ}+Iiifv=F3r3e$wGEX>4zO$mqa#D}61Q499u)oo->;^lIR$
z;vQ9lYAyn|W$z4xWZv<<`tGOjsQ{ury`D#XmcKPioHzDCWF8HcO@PX)Vjt^VY;H{N
zlhns(*Jp0UWu4N@l5$~TQy)MkC1uo-&nFOGlb2+0^0bSV{fibMMa~Xq98DX^73h0c
zx=Z#BFg!t6>>ANrF)w@}2B~OUg(x(wa8yupciOm;U3|ewa26<9Va@IzjU^Gqy`JM4
zQ%mgb7W*K4lEOZ5TTBc#<nesQvulREBFS?;^!OGn)W8K+bKI4CyA=_WxJ92hZAV=a
z^8zCV{Ev+hRk0BwJaLmQ_k|=_WpIP?NKV=^uwR$6xW9LFyi}>d-xg7nxWklMTb0Do
z6X{dqu2XSk`H`HtfB$mIJ75Pknq@)+&=W+3Uk^6By4D`U2DOw%WVgW2Nx7i=C}1Oi
z3C-lfm{BxggY*mCLyvPM3$gwJpPSZrJmNcWB~75lWu@O>?Cv&{k>~PhJtJZ}8a&Dd
z1<}{WcsrI8W+dIAp8!?Jbi(oubFnPz#xldkksv$DQ1IJK4(hm~beng&v<f?9xM5pz
zX#rczk1o1)g_7Rop%#-Vdnd06Pmgbb@Rv~r1(#aM&Unr`S3LmD!Wh{RP>gk9fg|tF
zvc#+&rx*30{_Qd`D)E3L>|;&zNs3aPsd>gBK-WAcLl5H`V9i-tFNsSs^Q5U8Fv7}M
z6|+LKT0mD*k%XVXYHs7oOGF?>P@Jvtk~y1cI@23F>cMEBm2H?lh++kIVvOj8RL3)<
zMkb5xVk6?-k`}|152^I?mBHiq7%weT7_t%1CtwgRcp%S5+JA^plEf5m-EF$!m+C0j
z>w`NS>&bG5(eT}ABQ4ehUz8z;?p;s7YUmDmsL+-(C%y+3Z<@=-;Is=z*00_O<xv$v
zL$ZB7XIM9JMENABG32B;#~mX73qPMoF=QA(*n-f-GHhjg&r$$`taltaGalmlA+TbC
zrb15At!u09Z2RS-dFI!b2kAV7)S{GFq3RI9JUZmbqO-wzm(LRHqKaH=?8RU>G$esW
zsof|eJVYJ?y-4Y#!)P19#yeWayMv-!7sitw`nHvy+39tD-GR?FXjB<vEur_>6j%+L
zO^@mX3u2p_d^4)O>_Kdab@WT|mth=|n(38+hFqM~OM-|3moD4u2HNqlBK2>>?3w|^
zPVLp!2i*r3t}v;-m;%ZTM@R}sUBvg{rJXo8S!W_uaE4d*3o4fIjEp9R@2V}%{UlAl
z^|`7QY$`lwpADR(u12p$u1i&(P~IgVgj7mE?XZ5dF&=)AzWs)jr2g%gHvA+U*LewX
zsq@MkjqQ}Ry`<xW5QJ88WX><`Mt68x404;bYYBSk3JUEfp}39duS|7yFTo^&iJpz|
zyuBPqnB}uvpru9c8h05)NO*5psCeo=JHnJnLlk1nE=2&#P@z-<x1$kgs$deb?+LkU
z*TDR#6c(r9f-NLH&D9L(xXfp9ws=Zy%p5^1#9|ZXjJ>&eQSD7NG&3&2FwBodL-glL
z$UE1{eJGxG*U`)P8Xiw1F4^1jym-9sv$et5m;@`;+gD4&!PcBtvoq@V+*2nm``hPE
z5w2$&iWX#vU)%5!pEbVvm-pFvYB-jRk3fBFQ-@|Yj7(pUv*j0J)Rdmf$wO`OQx~Wr
zl%!!09VM$o91;paBn{rdoF?JqR_VLgS3`OtbeGn~14rh$xoNp;X&2!{rZ?98)=ihU
zXmw_xV~qZ|B(iJ`J7KZHYQ~&7--?lf!J(R(p6Lvk1*A3zu^W+>HVG#*Y@#;_o6H4)
zVsPIX`}n<Pcn7(Srt~iM(2ZwCA>d2e=`~rvUVvCgbV*Rs@U;PMrU7Pu9i}gKwreV0
zX!-e`Rqt%8#~|ZK0}_i?yN{~&@<lr*b4>s3kle9U8&RMZo(DrYcjDbQRM;_CDsb<9
z>01o=#N8jtnf(#y%*?bI&`hcF<?J}7w4R5dnj?_xr$=oK%FL!^jtxPb?w3i8rqb=N
z??uRl*M&Cp{DP;hW%urLG$#Q`;|j;GJ2Ywm_qCLU<42fi2gHu|YYzIxb+5g+c{h9@
zaaBMr`)(wjFsB`+O{SfuHOXv0;Td)4<~UW^8^smVP*Eku!r;DIQL#~?6=NaAW2w!8
z*nPnI)UD|V0Rx)hx26&RWV$t$SGqaLu>0&EBtgY?De%Rwaw@3Qp|)&a<j1b@Cai0F
zB7?ue&oMh87G&atDuN>Ngv_N8sG~czr3($Z<8u%YcFe2l6^&DiNW)yGZ+DjE<=-HS
z;uVNy!@)t%xxGetjDnhMDnS-pWmQMMm{~VsQyH1oQqo<z$w6i0b4s^p7-|5^1_}nh
zNHwchovHL9HS&DKg-c%ip@oD~uV3@s5W@AQV_w%rT4@7DcDj8ZiYwCv7uVfzkcNR9
z{jGP4*{3#Np`#X2-z+<IynLvJf<KvhWNbsA9#(*1#IjrLuEy31ovAGq#G1Yrut%N>
z!!6pynqq;v!2YW7%Pz-T-^u=tY_K+JJ(Y*S6Pp1OPe(F08#}z;z>!xE3*v18H*DnW
zYnxRy2Q5NT{})K|NxU-R7Gvs9&f&_=n+}CK4X_Vv_Jn*u?!FS!^qgw1T*tH=-*lJe
zbQi{}FFIR4n?jvEhrB+i5>l^0izv5`)a-lPC1*&k?)vqzFzCSO^x!P%`O_bxnD`f2
z_OSqJ25k{*WAh|&q1pl?SEgs=vPWxPV=J5RTQ=|J@GL|tPitQAuWScL1XV5B0^qOD
zd9F>MbiM)B9d|;1wg$~L53lQrt+4Re-pSfnE;u6Fu48^|u?IOb&KKZfiS%Gs$?zxF
z3j@>k<1p$nfmQ=yWIbS^=8wq3hBM9>H0O^Va5&g(+TY|Fizm|_T;u%q!jmsK6c^3H
zpzV~t+v{nxIy*Q|&N9bC%o46cuWOTH-pRwVUPWk8sINQ+6?DG>Ohr`LFKQFO#@fso
zl+gF$Gl9AijFn3nw=<~6H6fE5|G>lJdp{yGADPMlR$4xHY9{NDHJ}Wmo(<^*Th8{v
zwEcPMu>y8l`_ufv8OJ#IIPSPY^v33N3754Kr!3C!GM=nF;G+Ld2JlUuo;x^)yPSE=
z73}>UA0pK)a9RM9g>2*~ak@(X1_CF&0u^`T@^bxKnS63|Ta=d9R}G87pXU`1#I{G1
zoSmze>Y}p~?m?rTN1^@UStvo8Cg_NCXScn&WU^AvSNnT+%NKlY;5Ob?%bVBP04~+_
zy9Iyx_P*^!(k`yX2O6e)kyX3C2#5!A$Zlwt0j}y4y>2t6@%#ja+>g7tX~><k4C4>$
zW)x=Lpt+7!Y5vKep*QMNNux|P-<G;fmx9eqv8cCEY>2|<7rrPE;e1TmWkSx2!~I^j
zTuL^{ZGmzMMqU1NaQfDy_+T}-6ba+LrL|nddExvJDXR8%{k4jpU?B%eSdNjOlG+lG
z%U8vjt-JdnYo@)G8#kekj=z=NjHR&XDtmFHHna%<$m@qXQ3MY|d*ClkHbHhvV-I)2
zX838Jx^PJ6C5*wUHy>EGIh7E=Sm`v^A3G+cvxgSTgchrS#-5l;9@BGq^D@0Xw12C`
zQ<t&7)#+d>W`CKaW2U?RjM{aV=K#T^yC<lOX05exc78_iv~<&GFsT+{Biy+4xyM5=
zo@2hQt8K_0<I8|WpmNae5$rV8^=cOHf{ycoeYdKUap1Eh8Z271a-&=XyId8akpMqE
z6F;EAX%Iu)ZLL(q(voD_ftF{yB$znW9I<aHi1mc_cFe+;6g%qtNBaJel$BOXc+*_6
z!#CjfS0)7a)WtOTHrvD8f}<M(hBmSpCEaLxhXBVb5O8<gvGC_zgZ*x19Gi#7S;6(6
zY3+|^eT&h&G8wC1S4-5VRoB=Zm(uWG<`H!}tOiddvkQIwpiHe_cKYVNBceKR*X-#b
z>wB23TDbJxpgBvWw7K>F+S#}j%vN`LvR`Imr>z|(+}H{?_bg@q1epi4F|k}qPn#Zt
zE4rnV%GbeB{T^w`1*|N$&^kpnY8MuyoiVV@)5o-DGM^)C?V?%QVPg7OU`M(p_d~xR
z0S>b6=cue9+vDOnCv#Xh)%%rpM}b^EOHF8R^v>-!I&XHRdEqt%$@dqCcE_={XOpqt
zZy@h2-|B{l-^#n|Ut9gsSC?O)Ue=pC5i;S~>Fjy;);7O!!&W4V@r1V{F_77?kp{Ma
z2Wya3@ul}$hejhx`r1*K3XOSb`73o9Ef?lGda4G^lz%L?%4{&2w(4u(c^&A_h)-2`
z>c3<LYb(x$VVx<;H>OvR&l<l#pM#DF<=*aT9imVBG~LwOZZvhF8LYhZ1FZHwYw+s$
zcnO34@d<_ALm-NW`z=X(IeF!g4Zni6#dcyU8e4izzP4&JA4P3B<H2I9sE;*tmA*q_
zgka5mC$|2h1I!XsSF1$G<vwVsuVjc=T%=G5ni*{pc;F0ZBY%MLSTxR5yOi`tULx|Y
z!(U3D`w`|mVb?teqww-?2ct5*?-m%Ffal{|^9?zPZj)TM2)8`9;<t5Fel&&>iBqyz
zg;Mf&6uMM3C2B@avdt=SLg6_)l~o;;A!^hYUuZ<d5_UBBzpJ>12n%HL34o&GH=2|v
zx$h}`2?(E+J{E)bH#?LdKBa}cGP73vmY12SKRC6jpQ>TX(eJ|bMMxKxJ8-@FzTn`S
zqeH4#F@-!B5@JksReW4^YY5%xV6Tq>;<WaG>$8U#p_jkhNGmq_(BWmO2D)oZ<q&TZ
z-fP>dL;I9xBHBV=b!jX<cXmzy&3X{)xeTs&TLWjm<KEU_AiiJUt$kq@y@Xm!B!z@+
z0x~-lv;u0+7CKMpfilvs$OTieTY)SI$64Qo6x=VrXe|hL7;g+bV=vI$GAh5>)X=v(
zX%6--zn1?T8R7uJWDdghuL2s9@}&#o)dIu610~0UDasRL);}Rvr&wRl!%u82b)S|^
zz6qu?R_MJ6j9;UnX3I|H8@U=xS!)GbIFo<-w#1Fz<Ri|7pq3P_av;1h2vXD6Ny=Ao
zEejK){!JX6X^y2wfQr_WhIE5@2z2Vo3TQ<4b&Jpd1($ep<*QXxoML)9P6>Rl|H0Bm
z<d6ESRM(|?BAkYw5k?~84+~heNgCz;&Y4-#KYO^1x4-MT?SK_Q5~hah484Jyh@%rT
zr}q$S=CqQY^W7@4jxV3A?mz7w1Y<_F8%h;s*WvXtU!5>R-5+3iKepgAH<Wn~d7i|d
zXQe*$JrjYEt;M+bIQj~t?~_&}tz)c<s^(1|V0hMjniDwt%BG=DS9?=`bAJbOKXN?(
z_Cub8CLEUL%nT$73$E4>0`2uj+S;W2+T)4sraVOc<9u}5Rwi<$#@Bdn`MZ_2#5J_n
z`bFnJ)xr0xHB%raHzOn{=bjB5QzVoYJ$<wS-ST~R_$<!xm4@{fg%NSXSO>&Cc=02y
zhJD+GRd>~mX&PfW9ZG>^7(Z%l>i5trB0VtOIALQ3HI7T*t~WeL!eRy;42wZk9|j_H
z(y=1X^g@LMpRjmZR-(d|mT^8z%KD1W05U-3i(D~}88!_iX;QAn1Z9=6q&Ibx3)}ND
zc7*L9w(OPyYvgp4Q%PZBSK7FM$jZi|n+m@08W$(Tyg`}fToA_UAz$}*qjj}Atp?(G
zf8xEUNuQnFcKe-#$=j>)WG~pBwDy&scSfH-VM#u;FuMQnlIFU<A4hQ}^E&0;dK7*D
zl)Z(Wr*R%4y7L}!PMOOz*$~LL7aW$%#@~EPeT)Yilzub&g|5};sMXtx7eA)~_A42_
zch7NrYXyT>TI%U+zt3=4(>ncfc&b^~%42t$Ia{9^0ngLo{{T-wu)oLA#OGhUU6}8~
zgYJB=_ll!a*KE3c{U1U9$qoRyddT@@WWm$+VvAKvJ+0N6E~Fk{;gbmKIf>(hOytWV
ztyr68m~Nb?t)c6+x5U?_L)vLgHHh_i6d9&XS6j4ynEqk@hs7wE1hZhFs$vuc!DO}=
zBw02=*&vx@j1YgKl=p~+WRnvP5z3zpb@AzkA;IK?Um1g<Xb4JFY9o!h5gAN>(+MVI
zKURUDsJh)0LQ`aV%`o8|;e<ff15~$RtgFLJhvX9`y559MY+JL+@5p4Syi6wYebx^?
zOhLI1zVPn_>+t(Dh??HIT0d9|chGh|S1UaQC7$kdW2m-TJ95Nw<j86<wFbW(*rE;}
z*b=;Y?3h-;N)7V<<Y_kLhy~qx+&P;ug3EA(vY9EA4H8jO_9rstv*$Y=e*9zn_lNrB
zW|fKif9r=2Ci;-Ec+<X{@4gH1`6ub;43Ujzp^kk>0IgifpU4#YMMg!YM&=n;7^NBh
z1!AKSBA<AND&@P4)SF)zbY~ll4tub$u%G~CWd}iWIl-U}8N4yc#7Mu?mi$^TV?;^f
zvvDOpHBRCaJ|(Vgi9bFsjflofS?m`kJ{8!+EW^dlGWok^2SYpx{Rhu>ch0pttt-60
zyCL3lytlJ2n@y=2!Z!xDXQt+-`$6FgK*=VT)D+p+Oaq+iK4X2|Wwwi+L~>e41cysg
zouIJ@d%`;frBL2PV%v_+n>uafy3xyCTbsBKU$(q@z`%aDKbH6u&%QR+du)#p8`maw
zi2LjJO}X}&viyU~rtO?qLa(v8rw;Bvr{LUH*;GBN-!%(MSp1rr{6@S9;zl+)zGpI-
znN4siz2fcrR-eF1AyjIf43Tbr_A<00dp+7LK2M)E@1w2eH_Y#%Q`!H>wpr}iw(M+L
zD0Q(FW`%ODG>>wQc8&5)7iVQJw%=vnOdqmr&f12bBHL{5Ti6@x{F+nq3v9@0SC<-2
zm%DYT(X0py0Y}h813|&4#jFERjLoj|=Xhcv12&jgZ4AEP<ngJYO@K-eG@HJYN;*;j
z2sFUPRv<y2i#;6jKydavh(2r{48$Uah>RKvt%om5{O+sv#D@>RgnJ+U3+~$U)w09)
zZU5`|*<Y`E@=HQWemwUYzVXjr;gLH}9__aE-X{`2Za9$mTl2wG%zX^-XDryX6{Po-
zUKGl~y$vb*v}r*rGC-w`IEQyI8@X8-`8;%^H~qN!83qynOa7c}?LRiYUpk*7${1hp
zUyUzaZn$7{{E3H38juZ=K{N;kLGpS1ULvUqc!B~U!|ilC+*ArsPZ--Ru<#nP!q~0Y
z!l`E=3gK@#ZeTX*aeLf$my>{nM#H7)e)@c{%g69PpC5Z${rq`D7Hv4TGO-iaY<Rk)
z@8Ab+7_uYr2XVhEd(d@>caA)pNNk@}x}&nB@86#J`j^5WwE79a2KHV)6>ZdAk{C1?
zWEoL`2~sfzRb-I)vxS<yTpmFOgp`n(D1NhG{Qu#wrk>+2dUB?L4Lxy7I&&)iubx^`
zoEnBseV-8W&Ob)u=ijF**n1S}UPzdCFh2q^D6E7w7}4E&oVQ^eP=HJ`pb3wJNJu5b
zul@)1PCcK1Oldbv{9E;vp5rfm@aIDPPo=tQSjP0Pb>BumJO34F=@`c9-D5|`RL<FF
zga7XX|Bqsa?hiNvE;2D6Uu$q+JI%{OVY`P!QIK#44e>|ju;d9^XgDYtF^=U&^MK7l
z%kn4k4(?N}=_jav%Jg)9!gau7aDY$bpSvs{=V!;*qbEFpR(!F^<2v1Wu-0%k-6E*I
z?V@*L#B2F>YRn<?Y+@fF63Fsr`Ld{FifK_-EGK4&3b9DkYt9ZMx787blbw!`3|qNk
zG>o%Uux+Oe7C~b;jPfWfP<kd7pH`RoW7ZD*sv>H;1VP*$xqIq442jb!uzwpJL}sr`
zyu0<I#Fp0Gc-W^~FuphTQuw;Pb5<U{Ib6LOlMT0>?nUZez#S*&&fABt{pbTcuXS46
z{l$&T24B5m=$b7@62C5+RE2GzkEZ}ra=9;j#QOIS>3)Z+T%bXtvQ>FkA&N+dY5*S&
z$+E=89(dH_PpI?Ar=_2xh8&$oKg^?F!!k2A6E&0`(LJOqaMAz301asaya;pLY5xhC
zamYN(Jki`}7JAlu;|)z0p3mbLl+t6oR?AG%Zz$qGgdxyfn5h5MVe;GI!yS^izvCG)
z_P2gycgJ9Em#@NNImm&cKkQ-tL)c*Q?&{0<pz`jr^3=LpacbSAAhnJ}Q|s(tYVGx>
z2B8bhT6suZFTNy#wE}5dhqj^?Boy(7)K0L64eTNQI#DX7Ms1iJylMG-pOMcG8Tp*m
zwG`vy@_9n|p#CBN?md3Yu4O>$8tR+o)^>D01j2@Mm^+r)UOmhx611@@`3;@KInj1q
zn?j~Z^T`5fjd_htGIEdOFBiaV*srTX&}uZs6vYrzS*H+xAx36UMa?`lsAfVp+mm``
zSZxS7aLA!MhB+oW1P6{GK5S`9KXjN@>tE8iGSI#^(-QW?X{tr-ypy24JzkfdD&*!*
zNJB$X4<Yq@Np76ne`c4%^{?Ij+A+M<yKPDDdAHG@&imTlp7}Y`C2&9S8fMctp$BPh
zRgJ;eBVVbIDwQjh(R3C4kjghHAJdN^5HXzK;jxRjR%jNV6TUNuihwJG4+J)&{iJTR
zhs$Y*Er2@gHr3eK-rcZmNUsI9&gSbwyX|ha|8xB^AKWt<z06?r`7Q(JH7Z7fB2qyJ
ziHcJcVGA5e0`@K`3KEHciL4rsL7_y29KMb8(5=NH-pb!oaZ(h-0S2~DEtYWz*m#Rf
zA=z7{o7B+%Ye4$xLO|Na=zQ9S+B+JW+F8#L!=zf~K()2(3pmIKJsUmekGit)K-r+x
z8ft;Qdx5?OfW9+s{ZVy&szZ})oZfA+F?pTVJy4J|i>=(CS+sH^D=8ZIMtVYOJ!en+
zkBuGLjJY7UuD%+9eRBgf;2fXtbwklzBQde6_8LR3vqsRJHB8KVqEK|z#4r5SvkT*<
zxeal|5(sAfIE>+6wrx60KEiUxL*(`(>NtBE0HA<;*zw}|2g%ppB~ouhW;sJ4pO-jW
zH(>%OC?W&v$7&<b>Q<T1|Cj)r{WsDi{Tpfex*-+$Q%)LoK?VN|j{1)sye{c?d?AgT
z%8Y*+G7l0OEaue9Yyco^sh6JUU0BJ)pMe&wCTc{O7>ud~8I0`VY3{#T+IiWFf7m8s
zgUac){F-S?>a`4)%yOzbbVz&m-9xN%h`ktwX$)m1Qsu}TlO(>Rd@1my$d?9YaS>J`
zoLo@;%r~)I$c`1hlrzb*fr%`KPZ|)hDWurTt$ZPxD8d$?W(MGBnU}mMnU_Z>2goR7
z2U(5M&1n`Rbw2&h<<AB^;%AD$-g$7SO*N+Bg8ju)CK=F|B4RZ-Nx&f7WLjl<6GUn1
zZ|ZNQ1wz!^)iQ>T6K*o!Vp(lAs6;f>m@6$q$w1mi)(wNrS6Gw>$wPFLyveYQJ}XOh
zVzpR`MFJjA3?{R=STsP<V7kV74b~wYHyDhH3fOP4XiQHN?aS=MzMpJEW?ZsM3>n&R
ziLRK8N=P>?Rk6As8fn2Q93gFx#2c+(iq=LAYi(rI%OP>1xJ-m_LbmO;u>k2~^9>tn
zy<llPPlvL<bK_J4WbLVEY&$=G$mP?o0Ak5ItN?#6B<ZgpQ}P_x;0K5#Kj1m~z!no6
z>%tMhocwjCMPYl>69wMe8?Lc*4fDwYd#h?JrB%GRryJ}|PY8(DLzd4Uc&@Jp2f%Jm
zWfczd*9~FYgE$Y5D|Y)T@B}O#NQ`<ZF-F{f?xzh`4SSfL|E-^J^jw8-@?41f$|HdH
zIgAVATX)*k4Bs$#P44vDw8E@pAP|dX1Awl9$dnq40wG4(AkdH`iJ7P?c2XNL<x4<D
zbp9GHu_2`5kUC7AsInI~iK+p3H77S_xY>V3u!Vo;H=P9gqL3bMh;v5MbmkI9!~5ZC
zYE}zeM;W-K$&)Vw${IqjKpavTxdbh=8uWfO(ELMt`_&lq(p0guMh1*!Y4Bbj6iZV@
zwl|WR&#6XgWQ!BN4z_(}uLFwNsbV%1U99-)&Q8$97da0ov5Y;T2ikk&4NCUEaXtYm
zTP`dGbuBx$ES1Bi-vxjyD1hG9hxx78sX3kOrEh|u2~O3c288XNy_VN4)Z_66NGMyk
z4Rs9l=>9R{7~^Pdq-}y@tY?CElz(*KF3&?m^93oj2UVjh#%9#>*S>)o<P3X~GjC~=
z8UJANmop=5GE+>L!;gPiHqN%jm=>jr;KP@d$^28Pe?tbp2VXL)64HMMdoWsHX)0&$
zRqPFD$W~4u{YR7W8eDl4_j|rIvG>(?68pEkiL*ca6bBamZNncEACkB6Z2aiq#M6H{
zk=VNDO+5C$62Bzg!R0ux8>{yvzDni&LI>El8F|qzz3UX)EGHSL4Rnsv#yJJm6a<t(
z9&ak|v&Rg)ugRdL@i(0Z8T=tXhJU};{QsH`{(Cm-yEvGo`=6Q`Qaw<e31NzTLsG+&
zc=jj|35RXA)cXQ?{!R++9el&R^*<!uO02<)4?fl~sANUrPI14*K4tIh1Bs4~7bsr4
zbo?DIbINwcB<~S_0NZh)E_k}WaYAfMjQG4&E}~`$IV>}C<~So#q1eq6kM$I5Jw0NB
z#6h0^u?BHuWK3+1xR@>y*V47(Mzoneg`TJHqxaokp|3n&dHq>p92JT^MWI2w*Sjh9
zeoTnE3uEQ(npl5t|E#__eIo;7qYPtgBVA*&#%7Po866s(J42l6niX3dyC>_O*r(pV
z#C)n3y8z>M1!@qRB2^uz5xh=sq1Zzd2z7U%a+jFbEg~sQ9e$Cp4J76TgH}omc|qCe
zk2$<d7mkeWIx^hZ!QUAG+HhoSmlgCV(~DyO@rMeR6_Ubm3=m4?d6>%WSM?SAtNji>
z)7d}RUdKDI()q2Y2HDEAx3sq!(mh&eE`Jrp+-Pcg{zW+{vvSy5nKo}5v-PT2zVP$v
zxiybH`sDB5NF02r1^0c6nf#3%UvHcJJXre2i7#>BFVn}5oAPKwe09y@afk5uPd>)i
z?|&`v^e1}~C+;q4cm&t%!peP#4-;^5;*a?~eW3Hl0o!+g?R!x!KCg%Ess-CCv&QC3
zHO$TtjC}g9fiGpg%wuT`6B(b3%L=AULCqBGZOJcp+x_LRKD|3Pzud;Qv-8Wf^xB$U
z!|{)HXU9^<;e0K<X2<pZP>5OvWDN)nSI1|~&YEky#j?=4Qdwhtz`WhsX8qRkja37l
z6S7&IHk;LEH5u&z685_l$<F5Qie979?eY799{#d6{t5>V3g>b!_JSQ)48fS?5h*j#
zUCKBpPquS;+AZ-;=7vySW8ShnnwRVSPd!`uU*k}Or3L@e(UXQf-zjf<=X0mr!`b88
zwKYY2o^5KHt=KuE|Dr#X&Qf*7pj&IKS`VAO2MZUtiE{-DL><4c#s+c84quC&RigpP
z*K%{<+Zkx;FY2!L@CUuSlYI8lECwii&PMog(tP9(i{3syxXZ{v$uoyX-Z;8jc;FZK
z@s*o~Jn&?qSlmDK&4rJAkR8n%vLMlfOIEC{R^^Tbw5)33mDBmW_3_DXg#Q+gqhjLH
z^C#2E!aO=(5Tf}Nv?i-J?Jp0??wivmuV4OfS}%{!9^K_mhb6+go|wGzGKFZS5X%(u
zGld9OMe5{KA(|<~GKGAW?e}A)F6LMs$)owvN^5zfPqc5**wCoR$mk8~O!F+uROb}$
zLUoaOk@Z$>LEgORD%z~xX>PXOt*y+vBYLlSlXa6TnC9r+!ZCXw<~PO)ARR{qe!Eaw
z!X9rY$lPsV;LZREMBV0Y!TczWif;B!MLjic73^jV2HliLI`%@phE#VLTQ%^Z;-dD{
zC!lwW=2^_D7|zNL1`M(!P$J=IUM}pD#9*MCUuR~w4x&%H8+GHIdz@WqIE07ciMSE3
z#}aPCExMx{yCu6d)Odg~h6->23*77t1O=>WX7;-Re<`%-|6}jX<EyH!hT*;Una{by
zId`6tdo$cj7YSq_Bt&zNQ4k38AQ6xR2_Oj}OpdWmID%H{R0W4xXD|c|sD&!hI#8)~
zsHoLev`$o>mePXc=39H8b3;)3{GRvsz3+byVV}Luxo6ya?X}lhdkwgNg(##y^$&S!
zFOPYqu^3;2ZDn7>gu_hBaD=UtoL1rMJq;<k>X|xbSWyV*dKFzInN771{bE0`usqqs
zj@DLKkk4FREhA%F&+qpI1ANeqjGLQZF!wp<yx(5Y^2F5oxx>=SCO2Pv<=^jo_{8<X
zZuirVZ+ozMD1Lud$EDYQcmHqF|F{Rgr!T*C=D90Jj=DH6xFA*aa8t{#8=K#_+I917
zS6?uxynJcVupO&cy}7deOUw3Q5by-M*;?d{rc)r<(Bz1P{#Uxm%IyhjMejK=fk`Pf
zr^0v#wzY9z*b!1>n>zeGBeeb{LneL@rV#EZ@4TnK{K}k{dk!~zt}}loOXtsw7N`T2
zH=V`bl#U9{r&$On`o0eW-$(U~KJ>n+7Px2ev*cH0KEPso0RLRU50gjp<K)%uM};rk
zk^>Q=n>^noD!u}e;mt`OZ%%Yu$@_^JW5Q)aB7hTt`T&_9Xbp4(xPX%>d^4heny`(i
zEt05autn`7i7Iaklom-;`$(eN;HRv4zo1tQRB3E0t1Lc{@i{5ffXfY=|6|%JrnoZr
z`7br5zkB<4>65K5jd}WtcXtZAPd)ol`qaa>Vdt0Jq*I-Hc3kul^O~X=oP^QTrW~JR
zTg`d|jAX{wsYp;{0TZG0qXYU!2aNJ^X!Sa_EFU%VO9fnlinyd&>KNph@3>LEQQ7F&
z>p1Gr5{`NY;fW>_+u%&W4iKZ^mUVS(Z5FOp6(u1HK3NtJAPEtCga`^e>dS-*a%q!{
zn~2QRlttC`GVYK!%CL{I=_F=R^*n+%kj;b;dc;Tw^#U0Lvgk%(uW(clKptJcU7P=y
zC6BJ4J~*_5bjuGc5<U{D`(D%ndtulIa%CrSLr?ryr{cl10<j!eBg?Rlil0Sr+7Kpw
zA{NA*vE$T8HV2nm(quU%!+U=F7QSL&JohYo%l@91Kq7gsqjl|CzWC&5+U8+|q}7za
zz#o_e#i+n2_7sGw(Ga8BGbD5#8e^R2855d?W*W0RGei2_^4)H`A<c3fN5Uz8g;3!b
zDU5WC_fHe1IWF)w3XP7X{&u0=ahcyO_^IB)Bg0@LtRL&@Sg!>c1*MIj&GCXjL<t&S
z1x!?&F1Op^^Ljk~Krj>ncCvQ6fI<mcJ3I!h%{hJ$J&`~Ifgm5oC?v>owm;<a`$Haw
zqGbC$0D26E+nvx2pROAo#UY3Mg4@txT)`^|Tu67j6&hF%-YMkq7zUCf!C*umuHeZi
zfgG^)LotznC+|$qCDCxW8{hn_#T+z5!V`KTp`M;dxF<AmRMW`M&x}U_f0QS%ecLkz
z02BJF7S60-BvG&CeXyzBmx20kptIf3*#^Z4k4lXtEeuG)!IIM$V5=)!aAdo~6wIL(
zQnWPyLU=8N@Oq%~mg783%?U7mAbr_yKF*H}RdMjEw<hJq&ief2^z!G^uNO)|U;0%T
zt95s6`Z}NcQ%@xQ%|CAL;+_Fvw&9jU)0pobMwu~t9^j9c>@bUAP733IMv6Vf-l4dP
z8!8V~hB|9pm7XfE>hV%FvWIS5w(i(z*Zp<M<}#{OPGr>1Yw#M46!67Tkyhd=@C@N=
z<Qk3MajZOzZ;<C|b6nFr7vm;=iM&*6b~Slc@t4Y!Gg#wU<Gr50NxDhh#COZjdG_<K
z%J1=il;3x~>-j7Hh5Uu<bI$;gdD%H=F!TW3YBJr@c$M2JU}L)GKz^SdQVkXm_Y2cS
zAzeho33Q1NrktR?43ngV)D3{oG|G^`a~w=IUboBX#JcV@JYKH`ZAP3L=kTf;7IorP
zRIfK-1y<pR)0uE^K8J$?n#6I0c%3leBe~R%{eYhdhv^`WZanX~gt}4Pt8!{L?%pxa
zCO_S#Dt4KAz5b@o>2Q*%CQ#Vte<_EOpVY)-6l)topM{S!9BBZ6A#TGNn0te829i>r
z3HaxBQ@pH|_w}zVyxcdNvA33-+owuoY^_F>DdB2NS=vyv+Cwc5qSaojqQU5QMyuuA
zXf=(S(;2H~QLf^#YA>+A92BQ35Ullj0>QIokP~V-9w3b>Xa<77mg}k399cPMW0aLs
ztEm(s6mocjaLgNoV-z9)oxzEpj{jis-#{)|@I0GVW(I{qs?v_XVs&cX;1Rg+4?R63
zbu_&po-^2=-bhZ7U!~Wts;i%guj`p`>IBiws;tjWV>%W@d;W6ZB|BxMhU169$NhD?
zCrA<duciwCJ`5X<ZWJnAg&5BN(HsT<Uj!Qupt@Y5mb&=Gc(J%x`;*91Bobvw5k*Dh
z6xBiP8WO7JQ&mmmM1@6M3(%unf?$}su;|c44D1lrx=GknR2A?FW>8l*37LvRnPRFP
zDgn&dVLCO<kwDy(Nn``VpdF?H^wgJ;pRDW@wkt8^k1R%sgmyYzHdY<CG<4J)y~nCp
zFw9ySuf?#4;0*&)DH-N9ftf^6=mu&CrNd_YwjhwJ7&U>C9g2hB-Fpmiy~mj0@odZ9
zj>=66TNi->X!ECM!&D@i-Pesd#_0|;$grN*zri{6qt3k$$Ntju9Jz#>kRE;c<tsPh
zt*5s4{M6#bih+0B#`?+etj9$W&+RlS#^N#ZScOw%P037gE(dZsv6k(C*(qBjG<;lL
z&pvyQr=H}Yl`-ZOm6uhuAS<V$NW~|B?Mh%C<|SS&(qa{uZfGBGhnlB-?WITI5+Pd>
ziKb@5@K&G4JE-w0bU+kIgJcsJjB$=S4Qmk>MuIpQg`JfDgt=$JF&L-R^q_Xau@$xY
zVf|E}{Y0%%&G4JKmam`#*rnUkN84=XMZ#8@6q1`$jYBzf<o#(!xSHg$76l2j5)Y}O
z94wY{{Ke$k`mv{e$45@RI-7f}i+i$h+|y5=k}iH4-t*>kGYK)?d$gJ2xfCY4Af}My
z0X&n$XLuor?PzH-jYCb@?x*DY?T}7XwVR3Ilrfg^8ae(vquhTpzV-e0)6LT4O()*p
zWcAf)zx(see2hUbMo{hsMh$I5TR?_e%@H4^lo^-%Zv6Oj<O^ti+vA=IIzMo@7ns9+
zdgkr;G27)Ho>iD`#$D{Y>dYW7q$E-2NDBBDQ2@^K8J<f@ba~oj;d{|j%6)U#65@}1
z5YDMAH}WcTa94We`|smh)6JX2!cFuULr5ogGklMT7O+X%^urgKzUl%}3_>G;p(<dp
z7G%LDGf0G59@SzRJWC$Rf5<H(AL3?7egT)E9J~i#jpzV8cKq03!*h0Zsl`*49yy}Z
z7gzzJo7XZP{B{>!a64YO<6rRToKqjet0Ua|=X5iOC|^UPfpCiJXe0#`=0^<gXPRxr
zgO2l$r<;HB6Z-D6`6ux2g_q!(`KHDV4TdX-={73pBEWXop$c|05(rn+<9d#mTs<N{
zg%H*;!8ZWVO{R9@>$z?+e>(~DD|X>hWT7<cq8=IzikUMrLY>Ez<KN%@*Z+b?hN$k-
z&NG0DP!&1L9H2OrlCU#UQtT`#sdf(WS4C?|&MRqfHk2%JHkZsFbd&S?;(G)4MILwh
zi!!V9g)CMAg&qw*QM5Dse9^w}n?-N=KPr+(25>fu^2);edrq6JR#J{+I)&oFcqlcX
zq@tRy9&jE%cEAjIc50E_oLcR;!SSl&g!4qosH$*bUN6nB2$tpeLi37Sib-*-)K%x&
z;M(l!bqSkYTV3C}IG4kYfbvx)Cdx6>Prc<`%+JNeQfatcF)r9mp4b`M<cq~9-W@X|
zOe`H$sFuYzt$2aH0Evt=Cv)<x0QyX`@{J`U=Ck;Z`P4>;dSm5N?H~R2d}@B6(Z}Vp
z2jyqv-TZEHf$1tVsqb>4U{Jx<0->5}6RCcopu6|ooeUUU&6a#<VAkrr)nrRGt`5?7
z8_oi+CPTTU`Fq4SMG_b5L?XJF>W)nyVu<PNm}{8GRO_OP>F=0Tk~ny1zt9AL5GfXX
zl1iJWqb>KOKKqQyn}<^wx9H6ID=gJab)N-4!y&o^j#gL}+f-Fi#r`TQ3M~Wqa|qL2
z1pG7%P+kE?E#)mA7C4EkZQQkF>kDI6j;&mJ=we(xYW-E~vbKemAG~q>6ZN_h%zYsi
zyl7v`+_FoW7e7>xb<OnAPhL0i>WMy=Gm@WFm!Ea^>=mIEH;*?Lj2pQ2=y%thJrsXb
z6w`|)l#ZQ$!KAa-Fn#{@fYWgndpHYsnD=49;m#K-g;9b~7vB~q@px{mJa%rZHNG(}
z)_7|JwUP4!=SLdk2InkyL*T;55_y?(v3q%7d1P<=eaE5Tq3~b4-vqx2f1344yf+?B
z2&L{)-yosRZ3^eR>xD(ap{#%MCv}JJckwWrMPtD0sQ#Es3*{fwu&$Zfe62&{EelGG
zVW}3f7tN1nbjU|D7B5!V5RJNx+6fGfnWZd)K|40e?eL>KQ=pV{NkaBwyb*7~+wf7$
z$8jB=ggH!AEG&jRb>quo5#$~HqQ`q!^mv9W*ow$0TBioA=<&=zj+q+caQ2w0Gt?9m
zFWRV88yq>T_nbaxtN!blJ+PfCs|~HlfeFYMQeKu#{5s0ZE#!Q`e%^3r{j#g=*^9QW
zFw=j3@r9+NV*2f?pZdkB)lUh#d;Ym$(uUVoroT<Udq4i!p6NFqc>Uo118hFAV_~8Q
zo@47XDqL5&v0KB`462o8n)bvrDHP*1?D9)8{eFpkzr?)GB%OZ0#IXFp+xsnj-M)r0
zTBzD%jN-uY*a+{4;8gF_;C%1=;C<vi?q263`XdpC><p_*NHe!YSmkJSb~qn(>`->9
zI~<OH<9f%ZgmdN2W9iH|HwH3euCoG&&xhBd^C}Gpt01>qL#N*{2Cts)k{ON4jl%ck
zYpFQQ!<d@R(=IYu|BPk55@Ee^Ud*5Wri9~CokS!TTYXgNNfINm(%@*tK3l6sZEq|~
z#5Oxc9CLUdI{Qf5vDA^aj8&phU8*-6hW|`E2|YI(2Q3F++aV*PiDUu2YM;&e_L)QJ
zf3<yi<I^9;w}!8pv;K)ku3d5)zApIOn>Y)rPhoQP)(4|Ym%aRlcVGGm9h0M>&px*7
z=J9m%5tZ=Hq_e^~(kWE>Dq}OrG<Aw^YV2atC^RVxee+{`<8KS^cs~k%=Kaj~ZSd>x
zXKd^R;_+034%qP#I(nsnB;PqOP(v!6<H;!JXy19Und%JZ#m>*fzXnd?V=f*0IhUrp
zVN7b0fnZQ_TBw}*B)XHje$c?WVH)#|4g&@!#R+SO8Xh`!3^sAm!D@&UgA6ug4W=xl
zEpD)w*ha=y#GtCZbD2YByC;8-^rrN&)GP6{izZ2&l+93%(P}B%LPgeXY-*C&3?zlK
zE9(1O^RAe1q^JL|W1*dD4>Q#uEvH8swRgy=Ji~*Anke;mLLJ()@2YoJEqVKz`9CY&
z-jjH0)#_h7cG=nouYcf{?;hTaxtk^rC$5vDiRX>ie!c(D8~bRV**RK}ANp*n8H}Tt
zAEcoMp+T9hHE~OY7Ntp({Z_;=)&PgiDJ%efjCsU+-WN{#jz{>xo|^FB*l^E;$ne-?
z&)o2o*aFWbkp;1};#&W4ay+D?0Cqcr!TJEzvT}i#d!xQZC%Vo@W2%I9lP4&~X6V^o
zlVv5+VRUTr!srQ_AmV<=)UM7<5DRC<CXh+LN?}RGHYavQ;*_CE7F5vM98Ra&IF1L(
z^?b?9FR94%RH9!`#aK^S11!e+h}n(Op6X8(8&VT`4o}p9HMDXOO|V=(fk0YLpESpy
z?KNpTNib`&%n-8{^?gzf)9m6L=7}$I7w#VLw_RVRzs0@}-@z_?>I=2=x`ns&93qn)
zLucH0`Qvy-@Zl~T2XgPgMd?4KPw0uQyBFh4*N<5ID5H~J=)?}-iG$c_X8RQE4wr@p
zh0Snl_&&$aosT=^h_lGKExb3(hiQuxMdB4%vXgVTV=DHOl+Vj^B2qW|u&>u^^1&pJ
zIC2MO#wpte4`uwRnTo|LHX<B0=|Bmy%y+h+%aTx`To&VbfGz6U38;`S6Ei&%()sgD
zkmr*u&H;Kj6n+8kMmgv>OZ$}Smop>Pz$D{Z=G%Cr!4ivUY@TYvGN$(FhNwuQ41AKV
zc%sM<-BFyvR)|p;DQ#4QD5qY1Fi?Q7QM%@*(L*{nZ}vv6S$+Q8=+Lq$Bj0?JyZ4qA
zODjgt^xUtGo`2CTrxwAOI5$0+`wGSc^|fv>=WCka8=xh9=WC;UqLLNP8lV;U2IN(1
zLww`3(Y_hdEN!uNQvIjjH85{L;W>Hd6rNwWaln=V(vX}X#dQNlYol{U6;I2VR@^Kt
z%vo4Ge?Z58Lxo@D{4MX>LL(Ru{oUl*uA-P%VsnX}K!ey!(t-A(gCI_IlPk<JAr^D1
zqjF;oHQ+B#maEB7=wJ}*K{Gf%*b(Fhm^4Y$07lq?jIag!2wRX5wjfKl6J$B<*m|*t
z@thgL7Nm^9I2K!?-HnqdH=e)8{ige4cdwg|yX)MOV5(zd#vNhV2y$5{1Gau*g+XyM
z>gEoo2DIl;0+*WDkH8%}qJNLZ^&CD<BaR%lou&_4%OERYS_)E^4aP<mTE5bh(giCs
z2E6@!?iX#<%0{$bu|DL&tG9h{bouXZec{qan?Bg`tFP{P^oq+Ld-~F~kIjlqPL?&!
zsoHikuKnn4jBmNS<J6LWzq$5FuH^T7_q_4){+Ba(0I5%h4})A80L1qPD_C43#$+e?
zN^TUl+sU&-H6W}7Wy4|kH~}MfOptt<>PRXq>b!#YDmcJqnE*=!s1&iSk7eZR3u3P@
z{!WS5c^~aWQ;N^d>zT>(soJ6Cj<aNo%EUlla-YD_0BH?u32Y1W2KWH+B`sqz{reHq
z|6^o(nMGpHn3SEgctS+juq2G_oai4@-_K5m#XPg3+V|rU*<q$4U@RfkSh3OR5?xZ#
zB|4&*WfWsMn65@Js4atfE4Y%8XV|Gpj2pVH+`Iaj@m;Hy*56tSY~kPUXn5r3J@d$e
zH(WOLwkvv`hcUSxI;xi0*h}bud7(0de!(PVqn+UBW96tKA%$i<>QFY@hdxny6*aB^
zmnHFpQ$+4cj6^}?RZ&U`h~La_;kWU7`A>LpFMpILh)?hbVUOoC5$yTCcH>#Q@hl?%
z&nO$8p=^9+t&=5gWZ7=`iSqYbudUWfR#kVTf7J4ZwiPMnw+^kczN@Q?|N6~0zw^^f
zJ=ACPq4Z>2!@k*r-Z4k<LQ)vUmkZYmLQob2iRTF~coBALg!4IgL(nApg_<bE4EIK$
z=)oY2N@r44H)=Sp)oGJ7jwQ;iqF-d2^fF;VW0Iwo&7>0t%bX@NxrB{vE$sC@oinEY
zsAi+sO5j5^;VV$xgd<jpPs=38TDU1Mzd@HRe=e7-y9;Dpjbg<mMG>+y8PRXYR^%<Z
z>Ph{3ukT7P&K(l38q!rh{I2u(FMt306PMlNI`0mC?sr@EO=!&Ikf3>UHL}2riWYYz
z&JgD)oZI;i;kd{t8COfoXh+QeN(Nw-oy_QGI=4n89x>r%+T^3#J%tr4IV;p2fgNB=
zEJw|2;fTod0xwo6W1uU<v(#DY8g7+(i2GEO9u;w(SRf_kYH_Gi=bYr6&CeERNwbwJ
z_;tcP%6{=J{$25~_@(qO@r3O6sH(tmJfYV8iVQo7EGI3SevappmYu%}2+PyOR$ib>
ze42(-z8kwuMc|o^C0C|<ISD2o=$0wsMqq)oBqB+W7ZI*wxznhB#b7q}S&t*VUv3MQ
z{sl3C0x{tPg&od6=Zsm@zpq(WGwX*H$C>p*>a;CS9ZhaU)q{M-%%6oEhHjT@IkvUc
z!OrnC?Z~wpQ9@2?Yzoqc6&cJ_l>u4Riky{IOYQVKv#7cL+notkJ)2|4|6;bjE0DcD
zBKGd>%wa~UodH_?sZ(c0{!p<!2dkddGPc50wM!r6`H07|F91*T`D)pQnnrbo=*8bW
z8?{cy4YMsB2sPWV+yL0}h6E!NKk;RH3EuOk^n+IkyHCA<x20G2G?MtG=?f@cUIUvd
zHeNs7DGaewl<eJJHPmwOsi?H-L4&Q@%8#(uOu}^I7UIHY;bVcH1e>D*7Z+NE4xv}z
zftss?vj{xB6C?C~;A}P{ycYyb(x2M*%e#^FgFGe{KPKDESYH;&-o9iUcBZb0{F$^X
z#nQxB<crPHcAit(GS_r5_aJKy6$^l8%EP~*Cfvs|7Wv0AaZ&$hPSBhcN&YZ@Sow4C
zvxM-Da6CbRaw1O&MH33g<z>f2KV>N-EapYRx_U5)Hzv0vNfPLoE4k6Y2G3+RX6R@z
zWgU~*d@RZgi<C(})F4c9V`R)=YC0ohhiYVO`i*YfU^+s{jZqwBw~O}OF3N5frG61C
z7f+PUl2ImlN9kB%lXKKTZye3&|DyDM0Yu94lK3FPOuHUObo_B_{AK-M{4t7)0`?5t
zmtOCf$r2|bt1DdAkjzhZ<F(trPk}8RP0!(eYMXuvKiKJEtCTC+ERUQzYY-d3{yvE=
zhtFH!a~M(Var!e8wJp5RXnV{=Dac|UvFV!e(fudx2g@E^vih$0m9IVU#P+<o=d|A0
zHLLObt84gzO%vx`G;8<Pojrx*{$=xOHa*gF7wKHPw*KDRd*09RT%QBJ1n?E6SKvf1
zc}(xtKjr@FJ<1*TiaaH`wSX||bbPmdF!V{NH^e7opUW5U0MCWRfKzq49IpHj<Fi7H
z=h7Irr7><x>*KaGHV8D9GRR60%BDG=ognmt)uDZP<d2(-9BPcA(=hzkCWe@Ho^oEH
zqao57+7j9p+8g3S94Yq)*x3A^r4l;La2fp=F5VuAKbG<)ct&bPYq{h{@++pS(9pGX
z4({W^0-~X)vMQ;Zs23QbD~jE!$L?h6GP;6NVb;sGF1KG7-|*0?kLEvEud7`pOUJJK
zC0}sY)={k!%C6{HNv>ah$?!Yg=&}9E?VMZ4iNbj4PJhTYF#duKGaB{GTuGrY`@tir
zVaFJ8tUN=UEnh4)%W{QY<EaT$hDPb*J>vtTLUV<=$`rl9(-4>vx<t4{Y1A+AToPyu
zt-*dp6r2}u(}Zd21&(E0lhC9tbEv@>FBw2IeECr({X`ieNPPi-C8p4^m4O)rECXyS
zek&B3ZRyVdJ7cVbk)%rriIWC@3{-+1KaZ*t0CwdgmQM|_2o8wp8xhN=hL{?`9=D7F
zA?DhMSXMO}Z3zvIP_;t8%xbA4XQYv3M=~A)ROiFi9j6LYm5YRn6rRpb^b{`(+Gi(M
zL;b~~k&oQ?$_F@b+1EFJoIbLv^M>m?w_kTdC-LIK+g7Ll+;iaTpWtlleB<>ue*enr
zudzO~^P&TnnT;<pZ*%Bp>1XTXb-pgKEkWXmVn<$9nZGRS+^p8b#)MoGtci{bj*HHg
zFL2Ba&W$dSmpYpDOM*+IdlP@~eH8jA@`vohzQfs{BzhBpJU*qT{FQu-KAIn=&(S~A
zzRpVPn&ILCF{(lr12LC|T;cqKD%Mp~ov(JNe1dgi!nDooKDXA=)lgrqS(~Zr^W?JB
z=_<vxJZ6H|j=kli+>=D;$2I2}g}L5OVXmK{FhBl%g*jW&0y4=I=J7FAA$*3$JfkrG
zzPj8pm9OrvE%#;!YryYgA;1a^u3!J%@JP)ai`O4qvg+f@=4=>fJi2=AlfP_V`E0sb
zc=4vmlW*z0`{DF=H=keA^Bwodfqk#P^ZIM=(LNlTZstCLKGabR4>51kNQ#t%hLQ1P
zokOhi*M-N2H)e0i7Am|I(YoxB-jUI%-l@@r-i6Wm*&W$$i|=?o7r%6T71E1It|R5I
zCY6r!$Y{qL(oEiWd=UCH@MZY(=qcjHywewnX_8Cy#dzqrpsO5FEvp;rZqq&A-Qni5
znKB}q^`4t4Biwz;2scwkxC3@_!?c~;kR@(&TOJFdb$T76AMM5uwXFGUEHgcX#PkqS
zz+!$atzB03nHq>6(XjR$tNmfepcUA#wc$f-mBSgj)d3}UO@A@{ZOb37d}YN$JvmRU
zUHRzN)vF#(Hxqf-L_82nThiA&dfUkn+|vgRy!@ND-~ElX27euN&VJ|@1HEbvEA?WX
z$9a4OKZ2jiFXG#IQ88piR-9f#aUxE}8XFWyRf;ysSk6s&v6ti;|5?88<M{r4Mk3!#
zrnP>2g(c#P{aF2po-zA=AmSg^8;-Tn$PBb`sx#qyk^U;p7et$?jYih65ZKbINibbp
z_s}`bbr)QC&bj9fyU>@-7d*IPY|SqV$JEVl>v`L1hq~S`xM!gq25~|2GCtRrTceCq
zM&{4RZOXk|xlOq?|55Lg176~sN-z=%4jMn;-JlR9G?ii*Rzq{;xyoF1t~S>(*SSPq
zqAXFDXiFSRoLvQ7g>Gt2onJg8e~vm^Yb<CiYR_xW@5ukD`g6w}MRyI@H0TlaamT}j
zj}&b$c%>jvl;KEoGeBMj$j<;pmXv6pLxH>uke>mvs5zA<yLygXm~^OoBvIh!wSid?
zs=~_+4`AyI;kxjo@VxNW@S9=L9gc@v!XJnEcz8pYgkOZ-@dIWst+(l;r|Z<MQ^yBE
z;A5-)l;8ISDlBcd%c#J3;M}ZbStKjwmw0PInkgtg&nO{2H@&or`Pe`$9>J0Pu;~p|
zl+nvencg;JZRv;!vpfgk1idnxpjU;N02yYQ?{GJ{pi|1HSwwflst=an68aQ+MM=h^
zq$D#|0r-l=6)lOdN97cjRLn2iTSn^2I?6~H)!^r&kj3{hq)S+>4CI{x^aT<u`YC;h
zM82C5VK;j{cfzI;Cry@X+|4|HZFOVr#~JZ9JlIy#!$8kCC_&MoYMW>;gr`y~`o%X&
zS!-e`8nAu^TL`Bz4K?JaRbSkWpv6U*g=b~w3BCaZhVIe5Iw$5j6H%lTNl`4E1)FRi
z?B=-gq9`}d>5z-nC@v~gR58UzQC!cW{8s98Ml3rM7R}b%k0en&P(xo(<-&r(frKXD
z`GJE#&`yg*CylyJ_l=ibzP2*?)BX2M8a}k-_NiCAILFxLSlN8}l0cv|dhMROW;E}=
z;?4K**|DW<O(W0F3nk0WyL#f7bw%;i*vl>sO_@8TDleAhRrAY-Up{xv=9y2?ahl)z
zcTytUgMu`shf2d#6jZSEe8U0g2xEjDP8D+~perf23ez{Ix%FI>i=CdN1NTbuC}q@q
zsa5KbHcC7K{%MP}P1-9RltkuMY5P|mV^}0n2LiTmYsqCcV0&DiWY|GDGdllM6_3rJ
zS-hpRn=C;gJmlF$-xF3@qLiLm{V=8SN9tI9I}cSxu}G1?WhH~wA{t#GFsfKgab|B%
z^vL<O7cCob?X}x??C_?FvLD>6pVRaZS$GSUmZfjKrRS#;21J;g547wPz5t#+X%~vn
z)hCePNx~bbU}=2IJ-&*R7w5~~fCGC28jy1XnhBK$lA$0KD<Vv02{LIV=wa&lKGTyR
zBjCY4IVI?`74^1OILHLgAeB>`v^{!*cyAB~Cq|fFfQl%QqY=^?*%H|n>5cFaM^fpV
zI%wvPgmO^%MB$ap)S>iE9ky0lWx8l)7|Ha{Oh!?dQdpT7K0`G?mA^j}MrwQ5>SbMR
zCiEW+q6n|MoNgzzRi{CnKp^2AQRI{jOBGmBa<ydwYp-t>7BF>S@O1bNuI}=8E_`^B
zu61d~^2w8L8`kynuCbR)s$5C#=-Gbj;4zb@ZdgyMsoE6!Cqni4&_62v%C;Q{3Nlh<
z5sQ7U5c$kwyEN6`BZ4_ZJXa}TlxtM0l)^iWY6S$&3Yl&Q(7NqVW4l(VQbWnksX#@r
zVce&Zo2)<q*udT)^U9)u6(|84x1$&pDFtdZs#M3KG3pFFgUps^DU0wT(kwSCYtb6K
zhOCp<Dr?jm@D1d8?nY_7e3NoNx?8zjeF{CKzKEWao>gB(uc(L6JL)&+Q}sJ^OdSB9
zqlQpGEkZQp>Lg^UieP#I6#^hjMJC4x^#c(pQ^B$TGshIfs3>g<dW<o(v{l$qA_xwR
z8VG%qg0_KjAax*xO8Xo}s#HmqlZxt76qV-kPFkJ>f~q3batjb8RpAg8N*&mdE1RZi
z<@m(W9j4GB5CI@lNe~m~YG1uY@##n;+|$t05D6VQoya?*VKl1G3@kuxTW$NK)Bh~L
z4Q8fKQ+hv>UiPcQ$#^LB&93xvzM$vYi(96xChHk`*tW*c0e*P+tW10ikCmnz2#;kJ
zCfc&b+bnGc&pe+fWF#Ec4|}^@)&c=cuM{#&wyzo-Mh@VKu;_;Na5|VRr^CR6S9wFV
zHB}a|GiU(q1NyrM^tV~44BNYdeINZt2SgM`p%0hv#VQ$RTwvU0a7MyP;b4cN=QDso
zNskiGsnBCtmJZu|E}mb(iw?yrMwPHf;1Mrsisq6%I`VQpDJDm?ERbcBQi+^$RiH|#
zMjqxG$&C?BX@Wdn8{r;fjPqRJp5j?5HOd!z)`^!&?eZ>hw|l4OpW=5)k!BR3B4?qi
z$X)0u^$kT;o;C9I^4;8Bj$h)($Ya{0jvZ*HxZCwx{$25X<qQ4`_g_87#FI))W8S9@
zw$(+;aF0#vZ0oTRH>$eayaySwBqt?z(nZBNm&7@-BkAn!eb=m_l*$SCSHfgAC-!+o
zRWl0IlrfE;qRusz8J8P38LFZ3fQ_^}td9A<BTZ@QSgGa0r_)raHU|Lzqo$8z4mOgY
zsHzOIimDq1(D?D&1>^y~<veqd>UJewHY7PA86HnckbHt5xuBnuPM6Q=bjcw0q*U1l
zms77Bd#oUWB@ZvV4TsCgUe5!xoJNwPgU92hKKZKexbDO>WL1Zgb9UojnrdQ_id)pH
zsQo#aZYq-u++tj1P-nO4rlt#cKGPX<FuZ=b10VMuU&Pp=@PuOx4I$ud;6EK^4WS?R
zxUt8b!M6VchZ~wtkd_;4L+SC`;!|gJITMZqd7<|c;A=lYuHJ)PXplSM0UYg%sy=)C
zwu-4NBF({PB^oCi4&+Q7zpb2^Ey=x~JS!!vqaHhY2zB#4xD(hxxHr(NgPqbKddE&Q
zl<c;i)OYi~>w@e$qxX~TYJyLop|&@V?KJ%MPER!&;9;)z&w5YW#9O*;I{a8<5lT`R
zMezoi+YeXB;qmF`cRyaomp{I1bLH7Px2C(Ef4ulTATjqHHeMskd+vVy09o|iA#(YS
zQ*Sa_W9OhpI{wg}i~Me^i9At6B02#l-Hb1Hm!=q6vZ#>J=iDCb&JA0Ei|WJGbKF1U
ze<t7Ky4Sr|*emXpUUw^QGf*Ajyo%o$(JOI{b~V0DlS@4_`PtHJZI<gUe7AbH_8jSU
z{8oF-^@e_kdq?@b^8@`e)#Ewsnd33sA*Y`4%%PB*dFH4p5r62Jvq%&<%Qr_<n0Job
ztyAY5x7(@rdFJS<=q7Ge-;eeyL{Ikl=InQ3XR^P0j;J&D9CeZhd(LxS>Bv>x3q<8g
zQ-#^#Ia90`J6H(X5vD7_T}g5$L0g_@T)xlF*u*9bm@o9t^kYYU;E6LZ)nMamgPp#F
zI^r<zn|;<6DwYsauC>vk%N5G1W==9%R<$EHSj|D9`<*$}I`akfSL58AYQ>E81&x}`
zRH$slh`PcA>GV@Y*NV78?8euo@A>n?17ib{+uuvyj&J_xP)+(vQiRhd#tb^Q{JXTH
z=XZGA>~sTsm!0PwMex6D9LZ9BZcgK3VYf%rM6c;_Cp6QMuyG|^nu>fB2_1-pby_iD
zolP9k?d}+M(~r0$R$b(q;ohoprqhHDNfZsL(CJ2UD4u{b<SEn&9fi&zjv>xU*FA<-
z<SFuw4b1k;_RjV<dz!t?{&nJN=Q`t3-=+TRoHrS_cy96D=(}5eOnX6p-q`K?O8u+v
zpUxirgs(T2ox!MpSBph?_el4(Zq6O<dwolp;OTQ)ta7^@I#5gC9>PAaH|bG*u;X?B
zIZSFQ2*awEnvrWFy#b2pF;W`a6C<&1Qn$kmZDIPl$uv`|^Ozno&$GuvJl*)*oo<|q
zMnzTn6KgFq;TYtY<lyQZz0B|H-0h`qXd6=36-`_Yq!AjghsGiXB%)D`Li(}8VVdXd
zNF<~mVGs&Y@gajza{mQRic+>m*Z6HNpf@3)H_szS?-xkx{Q~!=Hoo3J?X0R+bE~Rd
zFv@oLs|`Ca!EDMk(@<l8KHfsh=B0|c8QN?NO(B+-dzEk4fZDM^qd?Hom%Q{*DmR|`
zv@5-Ac>bWvXH=vweq1lgk1lm*@kKrNth)O0)nw^+zukK7?5ULY6anpd8}Q17x0+5*
zH+fYi9$aR*RQ=9W0Kn&Dvvu#6%y9q|lOm;5ug2Btd3ZD#EuW`M(&yr7WSTrjsn?g`
zg=C?;M7a#N%a<uP<Ll%bl@s_F4bWbIi{+G3E&oD(4@-2kJg56B2oP9>#xltRahlX9
zDv?z+i3v=A1k=#eWC3*(5!D4wWM!jc^Lfgpl5Xtog6U8YpC>e2zeLqnOmUy<+~UH>
zWxD3OI$TFx0<-_mr$4#ck$NS@TM?dwT2L?I5DR94!fw4ihmsAd542aZdnj-?#q7&i
zSol<}{uv00pD|-go88o1`|N;aD;gL>2EDnX7#GM?HDk4&OxqInUV4tUB5g`5Jm-qp
z%=e1UW`F8*GhZRA`r^50wIT<iXH)j9Gg!@pFEvn2d{82R(}bnG5{r43JJFEx9Dfmc
zWaX^%B(AaN*DdRo;IHrCWbuwQJr`c4+(-MlIz5?OF8l$Npv%k&W8ApN<2EV?-AEzL
zRgv_-CQuka#U&+<crxJyLTmu-jVGRodW@tHu8AfKxEkS^lERvTXG%)up$&+j=2WZY
zbyN!@gZ}SfSr}|@olHg;w$@~QwD%n1sXB*L4JikSI#;C8+O6==RE(pC3I`GbvR(Cr
z1qmW3gU1dnm@zcIc%<f;*|2;eFAtv=A9~RMb6S`r7EB<GWYSG|V&$|&XY1<y<A0Jq
zIcjP9Sp#2u@8#skA@}RSiyy#?Z>lF2KmS5{GM>%+oXU0~4qs`8Kpc6HkW5}tM4gZy
zWC=>Co`~w{;j8{ejaI1tRJrlO{prclPyT%++^ZDYvW>On)igfV-?l?57I#}UO{2FR
z+ES*A!_@!;i-M>aV`n0nW4Mw|Z%!iNaz5jU)Wnj7z8X(bEUYPd2J<!IGpHVS0NOVX
zxbIdL3BC4on;!l_n;Mxm^}7h6DG0>8yh^4TqPYgC`EOxC0Xr1TCZ0fmw0*Bh6@C7!
zl@|(9|0X4k50m;E)18&mo6gp?`^R5%azx8@$*LXiy<9M&@_s$A_<{7@H`cTEoJr2&
zXK<@f08OX5Nj?zOd;#8>NI8Z9Da8rIY~$ejk)BZAcA&R?39g&WG93=5BLZz74z94$
z1JHB}sFWu4rO8{Vvfzl77K1G-GwHs{ZzTl)jG4LQsoHBV9W^R%_{~GiYo^p*a%7UZ
zf}C|=ZC*u|XX3E8Ylp;^RMEAL8+*SHp61U%UKGbym=~%%t_Y6_&ynXj>RnU)Q^WJ3
z7sQv#EsiGFLjS^WOLTdB7yml{KL5V^1ONMh55n(6{}BI@|Ev21|DEtJ_X+>W@IRyf
zi06`&VR(@*CQ3;3s*xD5GkSh7qm;dMSRK!jKMcX$-45>V?ht|mcXxMpcbDL<!QCAa
zAh^4`yW2~?_a=AuxBJJtJkOl2uBxf}bWK&yoHIjD1GI519f)ne{U_)nWwy#SpVW~|
zec5XEk0)&r!1<x@;jVfBzkaFE;_;why=OrICYv;!R%8am=SeFDkvyacv^*6V<(*h_
z?T<EaVeQA?J^da>HgIUz@*99+)u0|~l=k{l%SKqJT#Py67ul++5tuvR(}yK19*oxP
z^H;QgO-X3eQI0TQJ?(pT)f~$n3`QWFX}esluH!lp9Bu7sK2LMgcb&Z5dJ4MlZ07TG
zz8v4g-RRNyWYKMUUp_eyv|ny%K+wF$)PDRX5s?!EQ*F-HUZLAz>aHAOU$ITD=8yZc
z&k&(E4vs>dAd|o<$~poXBA)|$RBQ>HJt0<cF_4je&fY<U(5+nI7e3Auk30NN|EJPM
z!Y6Z)!Fl$booD95X4PJbfW}S&;;yr=51j8Cd5~xYnKv%X{_G-+qMr>hq`m|_?N3lC
zGs`{C5f8XW9?7T06w&vsK&OetxT#m@qA3I>^<Q@gCTk>KL6amS{<zeYLEZOo$jdnR
zmd}AS7@eo7!xY|ukG_$57*SPpq~9tQM15M0A)iYgvX`%aqckFE>jm|=A-*!l=CtAu
z<&yns$V=z3HLo%^PvFVd@qO=dqXI*-`s@XZ8uewULba-j*JkeyQ|7eui5x|KUaLA6
zC1y}(#@+6f(;=Y#)kgYVFax|j07u6feg-asfeh<9O4%TyX8r+vM=J}0QGl4T>BzA~
z9^M##Tep!q`fSa{jE&hhMKY&P50>d@v9MjFA#Q*<e4tB>>Z@qI)pfM<B6^MZ2r|Sh
zyZue2bMKa5_;*W#Uy>3k$R8^<ExLz)VP9+NLuE)tWs3F`B3r7Ct+_{Gf*}KXNlyK0
zgOBkgsA6Ud8Y&<#fJMHNjsz6jJMhaS(dWr$E{WQAUv6V8$XnV<JXTg+bKQeQ;$s5m
zZnL6fCk3%Ux5lqChX>}vG`u&48(C;xx<{V_PGiMYB0bDg0evr=9m)@8>Z*uG8f_OH
zS`VG47HpX>csjP`oGu|sQ%(;wY}VF-q5R;ld)>z_Ul?a)Hq9!PbI~*nL!QEaxqVh7
z;&HakIFS|Gwp*ca%U}X=ZMV1tKQng=ut)S6!As;<exuA*^sGfDlQW`KD=Swy>%X^i
z`E^ejvq9cM_rlYpuoj}Te>aRTsEkGsZ41m<YT0`q>(L^81rjbcKPk-*?)O#UJ36Nk
z=VAaV<#cD>0MJ9R+8}ByWp7Va1{D&bS9QrGfH?09Dwe~iP$c>IVx8Vkh?k7UiIO(G
zC-%(X+B4|$BYN(PskFhQrrONj`XLtS7F7`rvn|y{WEG~y<tn11;W{%Ijc+MX_K*Ss
zxKL>a^`|WE<~UEEIEvg;T)eXf4{Kln3Rq}iXs@UUKdb;k^*y`V*rE&Y(rGR*@S6a9
z|CY*|H;CzTs{k3#;Pk6iLhHTn11-@Ccr5ROqmWP_rz`4$84MkEYEobU8NMPezjn72
z=`&S28Clb~#gwd+c5_F{ucFjGGuCRamiUuI@0V44{D7#kt28@G%2=1%XDJFdt?OtB
zsb7@ZU#`Fcj(b)MM;M(d$fa35Rt~sIRqF4r-jHE(Fezhq9X$fI(BGyFr&3>%V_Uv>
zsJFZAmtD7<PJZ({m323RgEZE04-})NJ*|;SHSF5F5UbG%juM~FA1nsV<1kt*o2<@d
z;8XSQY|o(b80CxUsxLcEoOF8Fes{mkzv0xP=W`pV)jF45Hc#<H=kdCCqF>{*x+^hC
zoD=l$0X?k%u8<@uKC^VPhuR11lb|zsM>tenYZQ-AWQoY9J@J$1&wZi<S~s%qzfXC5
zr~kNKzXK2^fXU`8jN;$;#Po-GDd)3sU)m%*`Va=e;rMa-XB4?czoAy~k8&p*O?sa_
z%Bjzb@5@X9PxY?K47-GEtZC#_*{f#wRcd{%AwKvdh*XQTiA<7U?0e%ha_Fi9n-5ip
z=p8;;urxYH+8>x$olF{I^6g_&CO$>fi8o)4!t;sNHW!TmTM0IigtHgwfhx?pB^bAd
zF?2149X*J+0ju{dL>^r3)p@l?823Mhk)a;L3i(-_{=@FVO05J_X)A6|w2mhQ!%gYh
zLeE91{pgc*r9-QUxuvtd^Vy02A&4<-hIUP$#+Kz3%g=8l-}dR~RW<8P1*W@2(T<yE
zx48Dr$B!0Rx1z?5c|P7!&Ok*&9|MI%S^QF-vN!FB;h2=}jZ{c<Ml!|BX3LfNOBIM&
z3t?}6xSo?jDHcnq+VoBZ>v^pTQ>+?M=P}VGo>AJH8B-}$=~n5wjH{GQIjn?AjujH#
zQ<GG25{0@1PYbP*Y6yXekasY$(H}P7Khhc^b=@ddZ4~U-pM=BpbM_Bh=41;FW9AZ?
zRd6SpVlrMpA3@QNv7N>4-qOYI)=<p#zYN&;`b#ckp$fVdGbRwo-e*~Fo}lQxZ<<Uj
z=46hs?MENGcpj5^Z}}<Ly-$00@2yO=+A8;Z+tgJWblla3X?xG=b>|9o9`8h+1iZbL
z!rtW+0umM;s4FX(r*Fl5E}z<}PTyD0_|JWIlbY7Jx_4&R&VfSqK{~L)+eVLsFc0y?
zr;fu&Z_}pITGJj`D_Auw6ctgbuoRiU@0F%Sr^Q%wR>V<%>a(weTgh-R+33Wrscq+}
z^Vg8kI{P^(QO2XBc|c7^w*%TEdLNW1dEcVR^;un_YkdFy8JUxFXoW||+8Uo+@!K`i
zoL10}_B{!ATWz9)?K=B1TXyFZC$%`paCn+|a5DoVtgseN&Pj@kH1pc(+Gb6P(P0VO
z8qJt9fAQ}<zA+JLRLa>0)f^^U=VYQq!FfZuj7j<`G<6dMb+AQPwi%OEm~iREf&&8-
za&}YJ=b?H<w-J+VhSF3&3cu#8M72OTv^=d?wTL^k%&mMiP14Y=ct;5x(kuO0XB)6I
zz*f%DPJ|L2r$kXVAvZ7;$@r~(F0KE2Si%6;Wuzt;tnK8`3roKMI$q#blHT{@U&F6K
zE%Aejcr4Wv7wf(TEqVRBZr@9^O^q}w>uD@OcEO8BFnRMTEia}VAYyJG6-0>#D$N(W
z-sk&1UVW;?ZLv^w-!;`*y2b*s`MITzqTTf=lyE;f4eDBHw<Z0YigGRR)lU+Ae!t(P
zFuQM`H7nt6yK3Az@1oMxevep5hI|b*YsK#U^9xr}g4`1nVayNjJH41g7l<z){cw)*
zvZ2Web)<`_6(+U)$EiFVTpGuQ=o08~gOG7t4yT6REnLM96cy4Y$a|_1(NM>V*acnb
zERN8NBYM$`uXZD{F$#w<wl^`6?$tC1AZld#KZU5R;ph8XVmP<<*e2j+*H1RxIsI@5
zF4)Y{GDc639i!X^Y9zOym0#Sga9Hnwa}!6oG1xRs6`;*89SZ2@f>>8)=Dy9TPd3?+
z)ktQ^oiWC93J@3IW(;U~pH3H-W?6fDJCWH&!iW<$)ep+T=OKOt-K_ozM}hzDIi9wz
zzzcP;#IhF!(bK*tH5Z2iW!oKiPG)e(V_pI}46cxTlX{5PxGiL~JXU)s1ti@z8fOY~
zRy=~5u8zayxll}Mn6xHvHyL4M%ty%#^EoxhP4_!8QN5rc2JwI;p^otvs4vmX4oNE;
z(hs)1D(C6v7Ppy<D!18{G;&>)->C9w*nxW}$uj-fKsia~5tlQo2+7AcXoaz{t83fK
ze^KnWX@Bu)I?t*i>!`o21@UnUlTxqV?2~C{?YKD5!iZIov!VZT>)qY)GdrL-@7a}K
z$RjRH_O@<tb|8Klkxp3`V~&N6OQ$Zzo{_A7w=`UOCI;t(m74Z--Cf|W$}bDLWOAk%
z6&Vao@+DP0fq8^jDZS%RAv~j2ls&{KcARCvc3V!LpZk=UMwN0FbBd$T?Rcp7W{0j*
zcltZJ`;qh^|3w`p0%e+?n@oltIvPf@Ba??QBTBtk{kIb=-D?c}ZocjFNc3<l6SFk7
zL(Zq@y!d#gaA;#>qmQdQMh(@)Mk9#3AT=pq;Cc3N*UkmPGc-=SylMTb5ncYc0Vc(L
ztMB_=OrEQk?=sRm2gPK0!WE~9aCfXo3EH$K+BW>(Z;R+&?kn%Ozn+eVmNzy-Kj`k?
z5EEhR{V4CP8Vc3y)~DvQBSoaf{xl5#c@{`Zfc2}GQM67lvrSj#8gYUK${AzEssVDV
z&eBg>VXhOP#oGv$Tkfbaup8AI?fa?7pth<k+sz;3+DIXpI^2;O&d*vyb>LP@4@b2{
zU>KFbF16R{J+D92Ym6sUbH4b1zD!LtbR#*)kd7Ep^4t!1tj-t`Wyg}72DW}F5KG@w
z1*;e>SuR1$mXlggkxG`!wG`Wd(In2;P$7KgDa$m&EHObWc7TfB&a$`E8kjlb{XTP<
zWk6F60dn|7l#GtgNxW}YyYa^~gNyjneDm2Db&aRX6MOTMbzX7E*80|ZQHVNgL@vyF
zqOKdAxm1H<pZv#LTR(r?36w>{q8bI%6&jnds*y|3K&jI)cXMYGD$z1`rVk?5_&#J+
z8{YCYVppHTCAg&^N$fGiiKZrq5|KVgfogZg5byIgj(C?2I~Pc&>kXKtb}UusMUlw9
z-5bPZpAZ->yd64b0Y_NBS&;Ybm^XZ_<&mC?#{8y-BpIUj!~Iw?SdU9&>)XrDr$aJ{
zob1^ldwmv$J|Jo;<UTVhOMjC04Ysk%t44+Q97etQ3-&DB(T{uXg{Uglz?zREKa=1U
zP&o5IIbwPPx`CRJky#oL)F_NYi-JhmgcvkBcyQEYfNDK~2ZhFkX;c@Ot?9;)&M5a^
z+b(Vo_;ZGk@Gf?mqsT2;mzKb%*H^=ir@Gz_l@5K@gDj?=&xxMQaC2GlVw^i6yI<Ye
z_y&3&GN@mG4{pbUI@mhKn9z0{(WlProbSEs6MpQb;22ESM18T)Ty{g=<jY^^#B;#D
zE3RSWid`41L~QkA$LjLp%H2d~PlwO!3Mc2u!4SH-He`l$gM@FBej$377J_bb#9wFU
zNi<I>sq@Vk0qVXIZHTV~X&YBYfgVofN{k&|x!0Vvi+N_6pP5W3hF(?C^jS?J7Kbf<
zb!79&pux~Ke%mn^<>^QIu8atYOqym3O#J=Z`pE2<FfGmO68gcob$pkWb;oQp<j2Zu
z<OaNbiD+VED(;+#bvg^TpL|}rfi;qO@%MPJzY_Vs>Cg2W<O@wd9_AKC8;uz~eK9I@
zPt9Mg`{j{ol3-#mc)H9mzWxcfUWa*SMKGRnG`aC}I|&wc-34xXW=UuP<fK2NFtUDH
zaE-{zW2Z;q3y0K=QVrygOO5VlI&|2fkA+7yN6MFeShj0XW$I}<j=`w)OfA&^5}{Se
zjA#ZIr*^LK#l7KvP6?2j`bj(xeKYPj=-;+%ZjG%9+1foWl;LW&f-?EV7`Yk`Y;g7v
zCu+HhPqUr&?zZaf$_6PRhMOPO3h&~%;U3d)DDx|S)b7TdOJ;K`hC}ng59ylw?2f2L
zo&3yuR{u4YDi59s(lcmVIYv@=6r5h#&9dHcDtShga#V|?6^0slEOgAiC=7ARZ4l;W
zvtO`QX)a-n!5ZY1v(_8djy&iKgm23564_)skM?CNgx9s@*l%Wh+2$g(P;vo_;N*s7
z&_9_jF&+v&t&0{it-)5{Nc7v%*rQY0$~OtpTd|WXz>;JvU`5kqSUfv1l0zd3m$VtZ
zH!`ViU3Pv`_fs`+`-QRw7?J?kkX=#_4Ur<Vx9uC8&QL$}E{^LYMHl(Rd8@a<AiQqt
zY4Yu;C`{9LJtIJ{za9D%^8Yvum_}-ch<T*NzrWMbrtRB3ya{oB5hsa-!}$_^<94>>
z^GhxjUlhShT~+8f`Ef3ayy;G}oOltq4VrtsQ-+J27b$9Da;SowepYUsKGo+wVkYzo
z%CYG{Tmcm2RsJqt{2}Q8+`B?45bMBX1*HTiI%+#xgpe<&63msyChry~W=rKRYpWQ9
z2k%EN4~24m&<nR|-iA0;7nByze)JBKeP2VU4)i`@VxLpa@ggr`DfuizVA&+w6@DvX
z^kZ%Yxlu0b#fsVkI7<kRA6;?Kun^fhs(FAzw(skv?0M0A@8fi?Cu|}5FIWns=LJv-
zm>j9XXWKJ6ciNTwq_vP)>PcMAX!Ss>4&EE?p!FP4S$v=e!Z(E*OwVD`>UT)ZCWy6$
z@GOw|m&is8+;`4bWsW<bnL6EfLErservOXUIBQWobz!7USH_in<7W?;7M*;;31^>R
zo7B-IXVQA8dWe~Pv*m71?UM0AFF&7vx$X5EKF}`Vs7k;6_3o$8#tNmFpl3~puK6CP
z$7&zAZX{QPxCY*O&P1Xs)KW6On@=-^7q85sfz~@&B1T(ej%5>m)_!W6#&(q59+T)C
zY}zT)&zaSzvNl|4A8Wq@u2^r@$sAFv$iw~WS97vNmP0%FHSYm4O%rUuuC1%l0UN8}
zLYz2fjQG*)y@kMuQGERtLzz4KE1H#=Z5hw8+#~#C8T3*pF#RU|^92z*f$f^w6*E+;
zM-4}`N102or#Po62HD%y+c*R4V-A`84z$kvg)W$7Q65pkS$<g%JT`7xYfLsBE*&;;
z=T`43e*EC`A?QKHfdmmRynCUu{bx~LDZ9gINw>;(8kYmer<_?CnJu|1ckN5<9gjwj
zF=RSau`mP_=Jd{J>vHyzM}>7lCJpc;AUYJUwilvC!oSvNT@tf3*0k5O-jsv1-40_(
zm54)(5u{c4mFtXDm#b~e=d(J_GaQchQublLW=M{`u7*<PLyI}ZX!Gx#U3;^iC0yg7
zOaw+l#mLa4H9JqmKgADi?a&ulrnb5tZJPOHY^GfHj$ko!8+WoC_o_u0JB_IGAJ?cY
z8+#a^XDcw6Y-HFu6pf@Z@2_z}(3@r+>k>bB-?%8kXh0eB>mp6SVnReb(xfbwV2Q##
zqD>1<`A8zx>P0Fx4lwd91T9&m2xH`BFEAkNd+PUnx|vX6qanihW~D0BX4f5T!~#iB
zuLrg&!ZdClPd+H^RbM1uQmq#Wn!6Yb6(6|EHj*o^mjrihJ4Vb#18BNvhKsQEZi166
z5nM3nV}cH2#8DO)8Ri)dD~>qc7)#mTP=h~ofi0pfkPN}3somCLOlc@^%;;eXGK%Yg
zwi4#l?VAX;4}lZL`Nh7-P@n7B^qU;8!d#LSWP`OTF<ky&GIa;%!X=IWW{&c}EXl6+
z>Lzs-JKzSeK3R`p!8%uOM_``l+u{T`ee|iZPQVtn+k<-eoX0?5@9Lg;dNzQ#JJWmg
zoKL;M#TPkkm^mUc9a4JizzK|O`MBRv10*R<<gq-_1B6k(Ek3tFV~%9)Qsr0oae2cB
zEH*X&%pDLEp#_0=K*atu!BUUOD##1$+O#XXG|4sdD>~A*gU$EQ85q~b*aS9ECph2e
zB3VFTW8sIb7q|M*U0RN{f1OHSBhnZyye+e4TjZ-VqdM5cCyu*Uli3??=F1KT3*DVb
zkIMS&Y=I=(eL+(O0a4px<9bAIE5CJ(38H2LyDpE{Vrq!q`>IoyHBi%_H=Bu(P7~ln
z=eyG=+ib~&Wtt#^8_xIrQ?c{bjMd3jYpxU4K76b1plQ$(pBhbg-8gY+ja)ugd(a!}
z#QWM<`F&FxTPsV=<h^)*koI<6tLHN%;dX%Yn2*r&LH0Z*n)`V(U#EIrpA&InlRD_F
z1}ko=Qy~Jfp~~wakMmrZ+OVm(P^qtDcq{hFJqH^uh%aTdldNaS8E>Wx^G(&t@V1BO
zuJZIm6~+>0@lyG&-N}nK$(PvbBy;JMO?_->YDuU2Z01*%H<ZP-RGCiyS=?cq(VYw3
zxd+T~_=rdSEq7DWrY3RwrO+L08Sh;6eG%=|_PXxrv;#)(v~mr)nIZAfGp%5i>dzb^
zjxJ2|a6gR2^VjWr?YH;s<*(}<HC5-!nBGQDOaZ+7cVMq}&m;HPb5$`1$*Sv9V_C^P
zlI}jo8aSJS*mt|MmNTy|Db*X1+BUV~zwQTMtY)1#Y|z@`J5P`JEE~^+$2GxCUR*d>
zE-pnDa|DHvr_tF-$?9or%yj0L5-}&I=9Z=!b2?g#9=rQ5jE0dF(&)8UI++*?&5RV5
zkBWZ!^)07i(4<c}UX~icEHSCfRtG>mn~p{nH7415<=JoK^n~R>jlwLeD>u@Z(;J)I
zzT4?8sykcuvK)htQlr2ipIX6Sr_-rTG_p+A9`JW+<hi-!;d!TbwzqVAXJl;f67)dP
zY;UirFQlFP)KyQ4-dL`_wl=p?Z@=NwDzRQ;=Ez)Y)swcji$P9Ct3K0SO=+jB|7BS8
zA~9?f2BV2aquO2|&l`BfTJPGwe+I1V8+)$_3AhRZZTf00mEDlPQ<xHU`bN|S40;2N
z&DZ)S66|!9M!EokjY8xKt5I89!j~z~TmPi6xuQnNwB^Gxo%(36K_=Hddv}-zzqR}*
zJS!^;GtGwTOz+dQ9~VTgSwK$LS3$$dtU}o&O!Skro{Oy_at?NRhw%{`Yp-M4Z|i)S
znQNcBIxEabU%xEz6cgw+G<sF(okWDEZBm{}Cr>n5S_BufHI}P&mKzCfr$$wGKRF&m
zcY2$t&91eU@=h+)r?D|-)HR!_9jDT=Ae!33;4H%|l=#U-W%@Qq0@-vKD)L>Yv-VBI
zeHPawcA>wgxhHCZ_(f;Uen0bW5B5Hc_Cl|6(WTk*yW>!~0lVaZt=(<AH{ktzjkQl3
z@O)GJE0XR##DgxtVeWQ)zwWW;#nl_uht0BV+_l%f`P`><SY)BnxWY8*_J=EucdT%^
z4P}Kz-Ql4B`yM<$yhbbHj7F$;u=mb79ZMATk~U&Efu|p}ShfJ6rkx2Db!P<iPAyl+
zk5Owno3;U+J$!F;@p%TxMK<7NbPA2!6TjYkH%&I&c|8xbMEHLg_K4x3h?a*{P!zPX
zY{HL$Z@or#HDe;01lof^o9a|SZ7qN&^e^<N@IUl4ppB3d-DKGW7GXsV_a}*IWh?z_
zA%4l-MGS#)pHqamAULm$l%7g{OR8A~n>$+pZ*240vn<PESS%IKGRagn$Yg8o<>I-}
zEThBKoy{^-gQ!q4SzOx$rUN37`0=c~pkIs7!YF1}A9S5>B@0QuBrY{p$J>=-d5s?}
zo{|s45=F7rmfV*qlW*Dl#eJx0FkoxPW+(I(hO>6nDA5X^FZu<{DyS9$TKw&kj}MuT
zm`dDN)AYVZ_+Q2p9y#q$yBZWkkDzaS!Cm}u{Dka}kV!({1DFv0k$S?25)t$$lM~3l
zA}z}|!$T7i^nUcZO}v0K*f~Kb2<;)YPZ2VeW{uh~W2qYaT&KYO<!~-Qf3*&2WRiyi
z=R@Zd1LtS$+fQ<qWDK85!AH9|<c=-vxw1bxdJv(lGkGGq;aCL-ZAh;LlXpcS%O2&9
zgiJw;f*xr3u8HEwvI#AIGQvUaW?DFsMc!ehun};>fb-WE`W`}*5RiG1Vtr+7($jLe
z34FzUg@YQ1&M)9Se8fKJt=uJ}t#?}{Ya;xLy||u=C*H^UfY-yyHN*9B)zv28-NCz#
za*k(>SehEq*NFNBFHu5vPjC@Pl*Hq+wTZzB2)i482N^L(9g5e`k@%!A6H{{ks6Udg
zFH|dK2`3I<!BWPO4q)6fe&(muO4)o0?|V?Rv7`Z%m+miF1s-Y*{jK8nCw4NB2s@a=
z9`MI!LJ=@%y7g7J!(-58sf47Resg-cpRzhgMLoE>8Qj(o_EU(=#m(y3F%6|3dfU7d
zT5><P^L8|b?Evb^CE}TBFP_R)beWwv?O8LTOM$I8tc&3`Jc<iXOo)(zqi)@C<f=Jy
zAh&iO-q-Euq~?4e7ZN*hzO&C8RCVb)j#(;WrE=v<d>QauCF6V$B{Atc0ug&aWBWkT
z3n0tvxi_`EC^BDm)X78Y%re_L3dWWQR2Al!JZapp=sdAnH;rx>QSrGBj0EzNH_03?
zXW*8(D6Vr(g05&2wJC@)GGXXD{j652X@le;jPMi7az4_=u<Du?)nENYW#yN4`Hc6W
zgkwxQtWV2DvatOK4R2BLP0dO$rnAYm#A3%{0W?^N{i4C37`yY?OY-&lyFHOnvye40
zjx4(4$7`e4Cftaq*P_nPXk7XDR$|VD7I}2>D#gG!pl)UB<4;xcQlyTdQHj3_Y0Y7!
z11Gm|!+`g@7+`dmo4kme*uD&_vIAd4EL>mSBd_wDMRtLRXRToQa622k%uZQjMYqdN
zMCC4J>K31c!$tAGVsqb`KWwgzJtWmHVRaF)k#(~C^fs;aZnh;oNj-Z=^yj>+vF(bh
ziP+lv(!4+Bs&&%qTH&Nj+F@+sIq^Qf@c2>>Cv3N3jVVECStwkX$N!D$v>s`JBycWD
zrZCVj>02N4sqD(GYzbA(azQ<=9Q|iuls2iY>Mo$uo$};fx{OEa2NduSEpC2tTH)gY
zwTA3luk44#=yVb3<!ZVTZKo`!J3D^}CHeNArWX7)TDs7IJkn02>@dkK{}gnBPzgr5
zvCl}9G^<Hug-{alKMNTt0fc7Yoh`+^Cg;rCFW`U`<X+Rr`MwKXChut=cz0FkocYi-
zj1gb8$!dvloWYg2!>aJ9J`@~QckxMvsFcBS^P3j)yZ$$_(eGqv!{;;@+v9=XSuScq
z<YtdH`94F~VXK9NENmPG<Z~>DLx>0Fs5;uPHeypsb-5PCP#k%GUn^LsaF54NM~m>5
zL~aF5@{UirkrZvLQ1FcM!G5Cb{3Kkikn39&B|Q=3FB7`hr;#Dd)TxiF!Kjjvun>mD
zK_W>R^L%8d*2uffq>G6Gn@6)>+XLAD$zWTV!05=HusKp5i95zoca=RN`i*gs#v~8V
zu_rac6arIy<1<lDtfD`$D?BMj{KvXRi>-oLPlKC?oI7!#o_!=d#z*$uQd&%6uj?~2
zifAs^1$sErKT4>@5_Y*>>zi=$Gx5}%aX@jI(D3J6u-kN-(i179Gd~s}b-uoXY=S#$
z&ubfGEB$7Hk^Xe=$!J5d%yszf*KmtQ4SYz=w_##zYGH$6#Ii)3%`v|=&>DM0YKWRI
zKagXB9<b>(Dg#++tvwoXAf>Bs)nkgo(BXV2E`Fqc9k|;zIWgY_4N?>$M~jlFfvx<}
z@PpO1<{q{AjOj7!Jp6Qj`jXjmtF2cmOPQshaY+W}N929$y}hcwd>I_dSyJhBRlg@V
zt@W`C3}M2Uid1W>T%D$zp*dc#hzhtmh2hQ9e%3=^7&QR87ZLQ7)U+oD;jQC+xpTM6
z_Z-yQ(T*`lW03HZbm}Y+H>#qAWx4Yxm%+Tet-CEGPELT*3GC8E+vzI?3?}9^plQi_
zG&|y(O$Y5F*_iH^U??(4yfM`X)=+PdR*VE*BWptkM|&eZE9ei(M&BHokr}`M_)YNe
zK+_947#LYQ0@#^2=opyTnE~{|dbXd9%uGx_c#Ldx%nTfC0D2Lle`(P&F*4Axuy8T~
z=*2AcOdJ3#AB2syqmYn|D?kH4%f`k+$I8mU0ib1OVxePaU<WWUFfafZ85mgUI9NFW
zTK`fPGqW^e0x&Xtz>o((1OCO7(X%oF&<p<aM=fY?re`Uw2%wj6)Uz}*5VSV2H2Tn{
zmo{^7FtavMF*9^D1+cSza1<Pktds#9>;QU2H`@;bzv29bYj0-jXk!n}$M<*CEdOQH
zLV6BHzcv4-LoqXZ2S;I3J^SD8{<|^2KY^16&`at4TZNJJBVhjmF2+p#8;z5`<3BJI
z?VXJN0rY!#iZ)8tW(GEfMgT^}f5!Y@umb4+8H~e6_<oOvgPEC*fq|U^z|O`%$HdCa
z31DMo`yf7I_z`+0Ru%y3N1u_EiTQ)zpkw7^=J*f6#>Pg+$;re7VEGXJW97s9fAl$+
z=~y_~7y+zI3?FL0iNB_p8GrluUj!_SbgT>?C|Lgo@nM>sot=(@nF+wg!1CelH&$lW
ze}QIYXQE^Ojs8C_KJtL|F9KF3IwqFi2tK$h%<OcmztiBq=`#J>_MeuSm4%LzgW&_@
zU(kOD4h~K_MmB~I9Dl~o$oVlsMvmV`ng0azKg1vP-*7lNSXcmmef-h=!}!zwPoMt{
z?jIokQ|<o`=Z}*=?Qhe6ko_;jA7>v4!Ai%-%>JKI{~bO%6VpdPK62>a?O(x%X||6v
z;$Y_d5dJ&Bf0X{X|9wdQ?(i4?fAaE=?SJq7+vK0H|Gy^x3jX8t|3$>f!c51(!v4RF
z;=h9Z1MdHAS=cz~n3y?!7sJ1+;_qSp%lQxSF|yym{iFJq_+#}i<1fMVZ@hon-@*Aq
z{|(9iYV)s&zr=r#{WkLN@cotkw*2Q%{5JT}{j>ev@n3n$%1OumF(3Ss)c<h)=Ev{3
z<M;Nv^8YFF4;vgG;QuK?HjdvF#?Hv`(FJfY{JZx4^#5wHanNzHe9UNUAK3n>&fmxH
zU)BH5-1AY+A6A(^=6LphYWGi#|AGB6&HtCw`KR|s^mmy5cKWyfVeoI3{9E?7|2J#2
z{_8Z(`d_B;j}wWbk^RTi`TKO_Xe46v&m{YCmXR{DHu-&qU}FBg>%UKbt{G0V>()yQ
zxWStal|&)wMNs<hZ?aH?f*K_7t<n}Y0Jx$E#ZS;TIWGJ@Zxh(kILJFcNG>*1uWp<@
znoip!Szj4(mj@ib-)VK>Og%oZ)qi)Fq1WR7F5GauG<>V&W`!_n#x#n--<eH+Sbcgw
zFr+Uh?X!n4p1j%dR8JK{UzTg3-DOQbYBA5p<CP`Vh0w<0_&WSP?&`^%sXa}2n{3Xe
zMpve_w4d#6Dzly@Tw3(rezILqe6LU{<ffyrg70$ZX}-k5@+z4|V_av{a4~8h|Fo);
zJ*zink#&DsW!#*_Jse|nhE015j`wB2!_g2%eF3SWkTfT1yD*bie0<U32Cl2ib3c4L
zT-%{tY~8-y^(@@#^uQw;V>!4h!r=%DXWQxZQs;=_h{GJKA$m#dG(Rim$#|wru1egC
z`>0KBJ;wcd((jt!%QOK4g5R6(BkT>th+7W-hBoLE$R5K)HbToGLQ0c>Pj?68&Azbp
z(={RcEATzVKZ5a)l^ckawhv*3_|x!f_>K4j@v9N9$kT9I*iCW+>LI-aV2WTf=3jhT
z(I?`UxHm|jg0AwK&pv_t|A>-raX-`~4t{SK4?%Aqi;Q{u>HH@De>88kdr96wI)^F`
z|K}#kJ7E2Q{o()IWO|3JAG$pJADgZ-#Q97h53sv-{%6@|Hdwa^Djb7F*XmtIuctbf
ztY~u0pnaPN*?isqd2Pq`e<%+o){oQXpJHMBsBC6Nw*OWyk?l~r3QBkU-pNfnyGCw{
z$#fEFbY|1YrjnAm69ZGV-@MHHJ}**+%Cf1U2|6Pp{?L*|vK52|gWaGz%ZuLT;G*NW
z7Iic(AEVe3n_6$7Hv=~5Tz~H}Tgz(q7=O%g;M-q$_Gb_p3{@r$4@SU2qkKCnQxe}8
zEWWT#;c~h1>;vB>3A80`&s0dJxw>yhq!JH}6brRUVf5Ks336CgM?#M2c}q;4r%#_O
zY&#Zy5MmdqYgU^k|N5-E-=#ua&w<xjWr>c<z$*7}_T$1Wk=NoZuMmUp_y*{NKIoj^
z;kEsHf=^{5H&QFoS;*LUX1gO_rog(O>34#=S9Yl^?pMv*XP%QX$W*=*ew)p_MyYz7
zTsUWE?>GO$Yluju@sL;fz`)ngi6~cyt+?o}WO~6=4rz^;VjltKP^AGBwGBu@<jqcj
zC$@*V&I?*8d{aj&9e&HlWx8u0smMN3eR@wt(T7I|e!~9UtKx-K#A2-qtr*zP-R@Qv
z4bF+aJe<vSz9I#}$Wz2vm5f9vOvGTX>ptj)qHKoZ@H--OJ7V}dqGl9$MmbVD0ngyF
z=+JqVi2?R<_|UnYioU%ih-kSo6#iWKbS0QcIr1}TNxAkja7sC6B@m?|ymIu4L5edt
zw}M`B{EAWLvOX+8a3TQ{x-6ixdAX*T*wJD+ai*x)Q9pBPOmRzvZ%uj9e97`CTH&RI
z;7pm){EPC;Ou5qhjPuk=kVeHECT>mXT7gFm@PHm&>+ijHcI|T^N=~U=eMaZPem2@H
zw)D3*cExq|{1{L;-&toqaH~ga$a%fs@<$!%@%olad*P1s3SuROke~U0sUG?*->cdS
zn_qHI_*gk0V=q5h&O~Z?P55h`(gI|BQy%+-+Ckq~<LLtU)xAI!Moz+w)6;&VjU8Mk
zaD5`UJ!Y89gw3RQ3Nf!6dslS@<PBM_%A^_-=#mvMZ(=}Xus`TsKFGwJ$^<z_|GgDA
zM4GIi{B>?nQ?B?#x+{0840?jsjgz<3a)*^IMlkP$JlvouU;UGqBmK=bcliL@3(;GA
zYs)jrI=Q#mG6e59NYpKOCQa~KhM-Mu%w+O`2@m)<K#wVHY~R(|IKA!^vz`;=h8t45
zAtx8S9(ffO*#iiVFlM46j5#bD$O~0lbmGW<;^kwFbH3O<ooX--Tlld)kPC{H(EF|R
z(9cwZw1xzaVOK1mRZLHiyfXax`v+Yuz$@}+{(z>SCGe(EbB(3O;?u{*E`KR6-)6##
zOcY?agj^N&JdFwUdZc<M{&su;kBR&P(D2-Z1JoyCu8_CzPH}!c6uO_hwxn5pRRfZj
z3J)CK*j*9p<Z?`@JW^v*06c{IwE@CP0``wpHafBe!mPt8!id9MmZYr2m$faPi)i7e
zZu~~D&LV)4r#HurCuAHERxY6&F<JYLQJ+9P=hp@8k=s!%2k0`QuI-SbH<);EW4gC5
zrP?9s`z$W3Tp>Ck)??D`VCwfcU!dP$-mu?cd=TP+8BtPG!eR{LgycoI;&Khi76qJR
z$%pK&VB6P-31VXg$#*2LY_4D$WVzdGP3iCiASS~c@wL7rPo^KB0LGgRFmNHBm>mc!
zW80EE61hh@hF=q&gOVSYAGBUpUy@&vKOv*$7Bgt3kgibn2gZm}MI)MovWKxpSoEWC
z6~G*2iHP@bMGJhbdLl-d6h4S~;Jo2n`+B+q#gl>C-BuIUI*IE}@CL$<X+@M&fHjXy
z{t8UrBN-dO7fhcQaR9nGD9$m0_i^W#Syw`12)8zo`Qv$R15I4|t+jm$&X~Idn?)~B
zZWo}lM$n99%@vqNWB(5R&nE}8wFvbSf!aa{(8!Cx?(5O^LqIcV2!^eM>$yJuPO7$O
zu3<(L(FB_qaUmD>PpphNH5@WyoA@t8EW)xAw9P@Vg*Kblx^Ck@+Th!21)shO+BpLA
zN7BbKmV7H0jj?5ZM7S{Fhzz-^1M&%d_J=QE4vorqL-^{Bi3cLd5fMBwKPlqLt@^Hp
zECw>fa|7gs{*H&&N8OU@h+c0`xp|>p9Yih%gV#N@K^QY>aKPyq>mAy6z|e%c?(5Q^
zG?0HFuE&3m%G;Z4cW7lp#`hy;>wZZl&L{t>k^L~GU&@nzAGl2uYOW24ge0GQ<N7{e
zU?Ik_Itk>?6=!1>xKsKQbrtY9E2vgT7es^_j678zAxolRE@#2V;RKY1xgA`x84t1N
zc)nnq0UkmW%+Dvym8!Cmcw1E*sn6Bb<yQ(F3KZn@ngRTY$>|ArBhU|CsaS_*+A+(!
zjtf@G5&CRcaJAY~VV@Axf0R^nsZMX$j9HoP*$04tqt?7`7;-Q?mV&^IdUGf`oU)F-
zfuAzHH>i}_?nbU_eJ86@<gV-w??P5WM|&y@c-yOc^?$>}=g)(0Y`TS+drsGAI90bw
zAD(rNtVV(CCV!bdQ+s_GZSK)o)vPm|+dB&OzVH$^^jg<lKYYp)aulKOD}vP+t=xDa
zUYLck!0A_7eT5X{BCao8#5qw}J%PG2kTxyioJ}ZZMIew<S*52%ETN~e{OMH;Ud)oO
zn{Di%+6H<%YduYKV};(Z{D7n8GJ*ac*Nees6GdtIMR<XMmc#0*ztxzlC2O@0Ir#a`
z!kL!;yt5WY$NE&GY4fPg%+aBtZF1b1-DYjWW{o@V?5Ga7vAine+;==aBQ1E8)%LhT
zD*OzRC6G1SiFEP%VUM|UfnH;m8uT61*b+}0FzVLoN~9Pa4DPM_Y=V^zz^1|H`k+-e
zr-h1EmA^&j35k1&$6hT${MMtAS3%KLq=ux>t=~|_3Nup0M(UiS*vc%quA+ySyFW}V
z!XE?}eDv+Rx2c2{BG*(DZIO#`da-lB@J1DWUvXNoA2xP+VJBRA(%A{evnO+QKIm(@
zk4Vm)?lJp3erg66(GCSaQR7heBrpTVdgm%GJUa#|gJ!6gVBEw{?IrK|yk1g9dGw5`
z2R*PY;lASygWFYNz_oy{nUkcHsDf^>+ihs;PA7r11b6t%=jP5-mTG4D`fR&MJrm`o
z?866FVZ;p&sr;~LV=e2C|3I-@Dm8Jk`8oE!eRH$(*pu%cARbwDtzu*SdC2+Vz~U}`
zzs)H_(u#HYX>O7weu>CTksIc7#)2K=@^@wy2hIz6)6ZGxC{944r;vB^EYxry@x$(3
zfQ$EQ;hILDny+SM)C7{ObuAtbORxCzCpyzSea6smd-g*cliTbzb2<){;4fo)qpX5H
zqkF-l2?kbW#h|ZWY_BD*DBK*cUyg#Eqkb;QSV>q^E~+DBrUbQts6!n&kc6^FbL4GB
z<^P<|1Qk15=V(2n=qa!f&VG6#LRU@w;_500iZq!+44VBj6EmB9R~%{lhi$O|>Y-?(
z9WHT<%*LYI#%r@p1j{C;i)xD^RuyikW_fv(N*>jMGF@Mu<i0Pd?vNi?Fz9A&cBie{
z?xfA&c!%%OlCKT1;MP|p@(9an{)$rzYm#}GI~>*Y`q!Zs0z&3Np@gqQUzbBl4QmsZ
zUd1HM0N@@-L-OXA9&rc;UE?I~UR<1gHogW}Z*Dwd?Y-mslwAxsdM8)IErPr977_&_
zEvQ!EDuHrJ)E;W(Xj)v`wj7belHr7|IReVoDqu;d+**a1pFf`1wQaUAvu23cn6I0A
zyOZ2n?SIc`4-9!X_<0&+hGL_U`QZ3k+efg{y0ZY`xd;-bgQ7#)I^grVg>v%Kf?R5)
z*4umMs$S!63yHpBC7UC--qXx<dH#mD5~F$}iaf6F6vnAQjZ(|7JD#36U-sKcEzJ;C
zd`#U2WL*+20UGXL<wDr1^<~Qr>>|0H8d=-==HOLXFOMGs7pqQAZ?EUhz{1Y`UT}S7
zV{K(^!;hm<-?wifd1yn0Ka^^EW+>Zx>W^S=_^^Mv%?U6DeicOA+||vbqjo_ei<qjd
zwRbfmLcG`!-{17#*G_dE=%c?o^BRauPexmtj$L>ia4BASdoaliHy+PIFH8lu<ZsrW
z2|to8?(Ka88IaL3{mkQSySRWCa23w&677hi1=bpTqM%xF_{7yOJK$&qma6J^iIKxu
zdU8YkZOXE1Q9cdL!lMoBCJPBf&Ivqec`CLqITcIl8Y?L0Yb>)>=##^1V(aTQY9y*?
zYL%=JVZWRg9iUFBB_-aU3{=)lw4k9kUfu(fTdgZVtwriof^et$jGS9ap?Bi0#QLc|
zX3d9z4Fj3#`K@^FhX%N_*S_VeZ_@cahKr@C=IzY9j69~MT+>UyViirFnd?07bx{=z
z49d@YOn1O#lWmVQ!YGb+9}wJeS#FnP_e^H2$|tfVKJ(|SW%$Q@uv0k*10ny!I)z`C
zd6<d<_t5gN?G))G(f4{JDW36CC2Ig-d~r9Dh-*$uaB8A()_%EIAf>21`5=94;xfem
zX}M}4t#HYjqrNXj9Jpar`}ukcfq1(?rl=Sg8ebNu<v-2AFn!tv>jNS*W7t%oG+}eJ
z577e?f|<yn6#zq2({2ey;fZ;AcRraF$(HURt)nUihpsK{Bc!`;>Y6ycgo|0xUy}CI
z6v+PC<VEVZ^$zK!%!)Mvj&(D~z@S{`aslB<FqkYI+cBo#VF6kFWF$$spKI(;1hptl
z){o}KW2_z++A>%`jJXU$5<bFL582sW@L4`>5tR{1A!>dHni?Z-g7kpQaY8<?-h5RO
zSQlhH>=r_W#LgE)-`D?+6$cXZm*k6))P743(3*@!?e-pc#`|Fy+Siwi2QosRTauz|
z+Dfe^X1j0vP5`;J=gHkBos7n=0piIc3BH0`E1sJQspI9(MLL>d-(qFz=>e;EEV;9o
zapr+U6&&(Y(2?jL>(&qVn!pUj*O{;q$bo5gL0tgyoXlsHT!CsL2I;~npg@Jd<PZQG
zaR9mvUn3B3AfP;Xu+}bY5HSfwBZcoA%HmpiFp55e<@I8H(%2tjsYd|ugtrmtwD%XD
zu6cJvlSw@tTo2Ao*A~&~3%ukilUJ)}lRTta)4BB_spRsvo~VGkWjV5?+`F*?c%m=z
zvNqMnx8Skju^cCX93la0DTn!q9G;)MMW%3gZ6P_UPg2eS@Ij_tzOsdz3+I>A;ROdZ
zS<OIwq$7PlfCnUA)iJf@0-XS6TR<CSt$O-P#yP=b0y^D|U`TUDyDe!k)OI~c)lMc7
zQ0!;N`SVI_aLt_uQD4_H8mi3%w=egXyuHYmybcN?%BLR^&0LkXe5%bXNF4f3pkm-x
z*JhfY8Onk;gQ}Z>8AeK}5@vi6o<n1vI4W@r(?kHsyCs2PmFfbhD~(w(n*@sF4?;^M
zN(n`w3{oked;|ICos)RMuGkg41pGEZV>zXzze1<NE6^su<P2rF)5N|Qej0qV*PbPR
z<$K7!Sk`OzE!ytwKODa7w*o3?WIM^BO>7{?XrYCS7>pukx|{W{@zr;|m<G8*%z@d>
zXCSehc$2Wwv5OHHkrw8=>3E7AJ9I|Q95@9=<B08-<BoUj`B-E`K9(fnOWGQM$~s?7
zQIo7p*Dlp^=8TCmtk38QF=Y9GG@8YWtD*Rixn$L91eL}*|7&%@Az0i39<XTkw>@#>
z9q;(b)4Mh)=j7qUJ?GR&cc?>Dh)dw3IHD(--fStdd^v=W=@si_n8T#5ID<D*ayumb
z8xT;%p_~j&D!aXIDx&Isni;JqBRG%?o43_$GWlfMg@%6g1MKP~**iKrP_yp1{!Ut5
z7+kFT1&aXWkEywNb=x+^&LxWbW={7+s-4&Rexbi?8-4pM0Hw<HV%uel(`8FIOzy<X
zWNVBY#o%%~tfl~ZT(73GrXs#g;j=j53|7)M;n9sH;e1w7)-g3Y)ee(K6vGJX2=55<
z2)8n(g-+3OfdbJT)ic90$urBQd}j{*z?{ElrVM?a?BL$#@xj3p`HXavru|)`AWLVC
zZ*exXb54|lXX?B6ZP$@XnOuve+OWyEFhMIb@Hn(=IJf-_=5`*`zB7bMd0EzHg2o8J
z`AVgVv02(1wuTzh28K8%w@tjdaFc?Xk(RPiL_%|xa`ou<<M2Jnokdi+med4C=(Uu&
zvh1%#jMnI?wj?7$FdVg?AM{D(w{qYRJw;kv`N}iIFX<QIaY3GWV}K7DDuk0H8!BLr
zK5n;uh7q~gOE5>JmQG6IYD7%Bqs1>FGY{XQ$WDh596GGs-D9j9qoZ{8^Xmpil9?!Q
z327z;w`$b%OKpqdO3faqT6>Fk6iQ>ZpNy{z2-d%9k1dp{vua<rA7pW~-A;G0dhje>
zOXIzrK5S@$$9$P+hpU<VIbxF)n|w9~cqHA#_YmiQ0Kw-XEZc?u?%l{v7{yiR*z>sf
z07d89mBWjngwR5GY0;kKqdznOwt=N>;i2G4U<s=a44p%_ag0%B9oUu+S#cA@cXkvZ
zyK|++H+FLf6&?2+bA%MOc{adMNl{dt>yB9Kp!T*UPW_^1W0TK+D%X~MU7`SQ#+T3L
zErCK-UKy`H`{PR?>l*g=$ZmP!4n6#2UCpJ4Zwynym|#@%%`)Lnknj5~QfD`v>);K!
z8Ng0;PnOG^k2Rzg?CTn{4d%u%-n*;CH$?kBKKf#X&UsR?-j89_zkEDjFIG;|F&cAm
z&fCo#M|Wb(pW#D0-5&GHqSx)FOWqRRdFlyp#j(XbOHP?PVRyd4IZuN)9JPYKd%l~$
zdj+owdMhJBIM_;<eJ3aXSi7z5;I`$hzMf{``rDvA<Ixl;=E#>}iQ&ORau?v>RZ{YK
zE%mg*@gUd4h^d!5K=!1lPTKL_FJ6K7olwsC3i>2Td!E+F-g4b!mYwmPHWR}Mp)NR=
zdj(DklhHw*)S7%rSf5!Uj*z{93zAtxEOTor0xDOkeLAV5yj!C7#0ZS-{hk1jTOchU
zj3z|}v9+_XZs8iOpY=fNTzkciBXX2Bma<YNn7<ae9_KPA%`|-PDXhcy7&z)4z)<l3
zRbWg}z2Pz#h^~#u4t5Y;E(<*jOHh2TZnKleI$a!kp0~mBi;k-a(@l7-+uIGp;CF7-
z<6CQWY-68STFOdoMefr$!=~%loC)mKU)mbSF(1bBBckCcj$0V2(z%`{61^gdJ9(OJ
z&z=g28_RJTT+cXKJuj+jt$D>*;4&Q_r()>8C*|+cx(aOb<603a)6%hhPoi2HNO<Jg
z;~dfB1Er}X5J8X5=OL>W!9|B^O4!0934B1HfD<fo6B5DK>#dL~-M8ooPz*{{0VZ(J
zmS}}sp%eb8+=qS&6mdIAW(h(dz-U6@Rct|Q)iX!nBjpK$dn~IDiU;k=l*=^x;(Hhy
zCLmjf9gMs>t`GaZASA^v9NF%g;X2}wOg=m0xL8_kI?{=S0w@7IA_D`f)NBeOth5`S
z)Gecvdu!A(Fn*ff<XqnlSzCLUEET!$&lyK1M@BH$^ik0VrJOy}$XCa{bxk&-U$V#}
z6E*3$8!PQ$NKD!#4n(d(?#qvc)g5g{t(X-+`^rijUV+Z-*H5b&T(0GJdFp+!$GV-h
z*a!&|fpO&{g)4RPMmTBfye-bYsd9NaehJ`F+fG@Z_<n<K8iKQ05<MXao}g9}>K_@F
zjwbJ?FP}MVjw<SBQm9l>YtAz0EK|T$j^T<$_$_VW)!AH!Q~<peWZ^Y>^WsO0>zK8n
zAZKY$Clh`}pe*c?gub>$ol^2xqkS<odzA<xcQy3E2ndDGwAnZi&YHw2^So25o7=dX
zWE%p`jMY%ymPWI1lhZK&n$1yWVNerVN~<+4v*mW9ph2U{RkxKvNs`8BrT|l^{3{m~
zk~gWApt5og<?0u~F8={)CI4&)s%=IoP6_24k{{-!9gsYmJmJ-QOm`E74$)u~Kn!0X
zU(u)dCj*=KqnpUn)GtpV7N2ytz{$Gk!eTCH9MMzOWM|`PozVm#kZ0|9M0+h6#pZC6
z5M$3hl&A@tu@4XR<f9Ps)n8X&q`1;-w>FZJeo4}>gIR|pvZn}10#$X(0IOa1p6?i1
zWm~o|-dhd}x9#frVXn9!g9Zs3(z%Lsm2RMg;uhUsUHrhemdGZN8mCUq;jfVD2DX!@
zgWBC#xZExuwUpWhH)R&hLMfM?AOcc{na^ZBBm%<W>$mO#jYpzI18!eiy<^2I`B9dK
z5(w9PC}D%ui}sTmDTuX~-*;%u_nDCl-NtDB6HmFM3DVXujk(Xp6}$CYb{7|mcRR|%
zuKOF<phMlH=PcuxcYd>WK^|D!s+i>W5L*A5#wrcn(~t&izbNTn6~OV-^a|);rb%ri
z46ADgsaQMAub<9u(xc|6c7`O%;@ew>f12*~G=sWo)6Pzx5dXUJ+<<75x1i5^6fY{(
zMW<|P>qh#PObWxJermAa9@S)n<8e_XOn%mOm@EFiZ!0%m7-gVRsm|uqT^f#*MEX!w
zd~pP0;r{kCim*;bXPF*wh=UW%BBTEG!3)6}kL7LeK|F257WC6x$i!DHD@A6A1f`T2
z;fFbdZjjr2iOj6|;Va5OzkB@+ov!a>r3e!3xI*B%&9x&GsrV9@k|P<ikuwDBUsMGv
z6?EId0LFuEwyrH#HYd>{eUX-=O^Zc)Sc`4M14c}~YY>*7bhN*XzM%cA&^ecRp|$`)
ze-5n0K{08OlYBa-_9%5J*-}xuhLa@pX~S9~5b(&xH^)y~J18ttU0yb?`1p=|(ML3%
zaXKndm1DFAU6wXUUY9kJWU^@NiZg{hRctIZq$#L8F>1)Xnsir!m`|5YU{s)nngxBR
z?YHeI)|GkxoRdxdX>g+pRZ&KepSGLKXlH0jrKO`s`m0u<l&uR!eXBlN9jZ!*4Mc;O
zq<h>|*%!qPepOh*FX#X*bdas7oA1wWb{dBpH1l_A%;#{pmv7GQvl`6C-^1qTtKees
zdK$#<GOVd^xS9*>pBhgQ+;!fL%T0<_JN0h9*0C#}nbf8rq-ep`{(k^sK%KuRK=-Jo
zNFKJcs+7cp;7paKC=-nfHp*SadDW!G#bxOM%hX}UgTRrGQ7s|EAhTbu4>|nlJm(J?
zF;lStdBS2<&I7)P2fLX7Jot^LtyMm6VSDG}7h9uXmRIo1xZHUqeqM8<DG@LsfG6!J
zQ;FqQ>Q^agXp8`s2-w2>X8Wdj>tDWog{jczb>DYj)6~iLIgb|p`oytw%a)BDllb`T
zYd_-E&U@Fru=4tC++EyVH%#BW?UwB0ul{AvqC*uWJEE^7&Yfen9A!B^#B@C};taJX
zZ@>o(2aHb}UNu}a@SI_gfkebAaSeZ~;XdOb<7wktMjfQS$RHR+JueZRo|hq;Fc^#m
zWQ^f9)tRhuzyV&bKZOin9R_MN#IUSNe2C+WVinPy!tWr0&mPl*t$>e3Evt1{7sDSP
zl{m;xI8`t4yk3Goy*_0{27`p=vG72~A2mzhkdZ2zSr9N8z@j#t>@cWgz73}IuV~7a
zt}?4+PP6=PunU(Z`Nsv&L?vth0nsWA8+5DAz&c6a+H=Y#6m5dcu^dA-DF!LEVKQx4
z{PA4c^^TX{3A{6`dUgDByrhNhygYGlVl#1)Y4Q7$b>iCqcX#mnA$Nc2c#Z2u7xBf~
zK5S7er97*IRsh_LrLgcw#mXi~@LV~*8rNNEuex}b#c6khP!3jPs+g=6r_*n<+HE$g
z%WKjAX=w?Vs=OfBqt-!|7+$IxYz}9Y-NuRjfYHJnl4PY-Ii5VZDkDbLwS<^wZO36m
zLn5p3$1lcPH7vH*Sr`#Zv06(>$p(|=dZH<SCaWtQDTJ73V>P!FJPD^&U`w~hNZ*C(
z=%=pVxn$V3o)3OT-VVn9ctfwX)dxSiBN5+y(@T@_Bi1}!pY{D0eLi=^9Yco5<lFs;
zEk#A2zxY_<f9_fE`ZT>3XPyArZ2_BQ)#N)>NB8tW>BP<K*25Ng1<CmGh02Btl=Kyr
zWx*Q@HWcsyUDu2nG!rdTHn}zhMVAxB+Ww{H$d*!+lZirpddW4&`3JAx#s~a*qw9g3
zD&YaAw=lEH=n2Qj`Xggfte@Gg7T>{S;}<WrYElU&qkGC?ajNH9AnICLu0<x6r?T{l
zUY%^=`-j{$=)hkd-un89ABI*Qd2QA1=ZptUb81KITQcU}$^Gu0y=&Iecj(Bfs`D@Y
za`YZ7|Mb~6$Nzc5>8F$%XW#Tw{O>CtoB95%^$-11!_?1Uvo8atjA)$NX_0)ZOwzb|
z{(63fd=q~gFX$w*AR^NQ;O1td#0!3%$RUHV$_F2P27ic5xHm3lVg6!ND@nyGwVp+_
z9KEEZOXp}b0G=3?2Y`48lu(@S9va1+PR4VB^kCMvN8cTC$9uow?~d-@{|Dg1YZG?^
zow%p%0(UFu$^%F*MGqg(VujyyrX3S(bYTk1WI)e>L(JRevs0O{AvruAA|X$avxFA9
zLq&6aGztwhX84O^Z7--!NncuAY!CWHKJ2#}T~+2hUmnSe;mA>M6(rIFTDnH60PQ7D
z`>XWcvUc_m2T)&X{W03%aKo)y(Xc5+B*J0LkXn8v(@Hs3$i8e>1`9MLYV0DV#dk)I
zY*_uti=QuDU6<P>@%OJ!{$u|G%Vw{<Z`thO>w9nOv9xyAgaPZW-}o%eE!s9>UDG}9
z?w<2xNqMgk*T0f@`}`9ReT56JTX@$E(Zz#qj-#IQ`)s~`)r>W7GOTX~tT%%EGEpb=
zuxjcm)CgpK5q9g6k?F%05FlaWWfE+JI!4cGU}Ldok#|}4lA_Joe41Ejsn8A3&C;#M
z0x)JPfL@pD(`EVPOW-vAkX`_&=ltnL{D7~@`~dPqa;u!)&dZYi^Gc*np<el~un$Mu
zLlp#UtrU}zq_v%s<=Q%+4^lIc&5v7V51duMw%3GhgVxX9`tX)FPyB26q=#>P^zIkG
z+%<jh9kXke^{QMnwF@3@Sutz;tv~haK7R2hKOea}@x!I>{+{@D&Fp8%zc%li@z$Kt
zI|iyNA7b)a3=1EZtBrN$1L3H~0$<H(RG3_MRH)`-WMhl2`$Da*c(H>=vKl>mhr(|c
zBvu1IruApfUOvEBGGVy@@o3*^MAKDwj@(ryvfe1_3=-8tN?T2^pr0+DCTkFfM92wD
zf_78!Fx)SB=coC@oX6BXRXDhKk-64Xf^aD{B6D?;(B7V8qJXo)Z-*1NbfgQZwzVe>
zn(fEX-?+8h%Sb>`RZn?=>d0y^bjVPS3EQ=Cf_sk=RXByOg9v+_YDBZ~Y(Gc5I<6Y5
zpG*O9P0_L@<x(Z{Z~y^sZ7ck_y$aBj)+kP8bzQLoV@Hg>bvZ!^x#b|fw<U2V@nQ?e
zDTW_{98J(<U#9AL0dt~+$O_;?imDe@@W?A+kFFy<I}f}s!qVOLVhJ0HfZPn;-0I8S
z=<DoFuR9pO@8Ey-kt3Lj{Az9Z;ND|+I|pPN`pB!8^^s5ZQJC$gv|2!39e+(9FF+3~
zfptMA|4Sb+?#lkTwU@h6e7TLjMQ%w<ZoyT!vL!JC#K(c3T?si;I`RV^@)mg3cu0+*
zj+@0%x7WjSyeYFfBRxICr0-<G#=|BdL+=<Wp2AarOJP+pc>=!b%==JrdU_yh0%Ucp
zh!;-=;5aLGSDn{}t|LlovN=%}Pk`P37ZS`6qJia*zE|&D>>ahPalu`l<Kds0m%TP)
zQ27gMhbxK8;j>{p4@|7!%Wajzmu)|o`QZms9-lC8`jC5OFP)Ou2_PqEUSfp!C;m^U
zKN^R=P^-8AH^v&U=h(*-W(Wnf6}5wEsl{ruDW>7W5Hi;e7&>hD2orBc1yyOaCPYU$
z6`QRSG6StMM>^%j$b+h@z}Kle9@R+}%|e0RS=@JUCpx;XUU`mOhin)lGprGwt6Idg
zPF44<4&$)59==w@!2B%7gPpp1>gu1t`yfl{t|=`%lvUiKty+ylGazO{tYTB8Ro{TZ
zv{#5wdj&4Zq&Jw9GiNHbrB+%?Ro1{eS(zYR<t3?+U@ciB*}*K1IP6xg#GhSWA_%}<
zva>Z`W<`Nw4kCi0IkUW6Z300rqN&A1xJ|tu8c~0+@saNrjC-&mt7S)Ken!`^3)Vf6
zICS<OiB*646W;YBc;6{?$4h=rJpS*`6Ppr0_Z>ZLIernVKjSS6Cck~+qv|nsW5T&+
zbhnjF12#-nn`Wzz44yFSqg(dis=X7U_r)h~HK*nE9FC3K58$k)K1s~{$B&5zA8Wp;
z@h>+o`0~zYKe_lBHe>%=Zyb6n@%dlhEXecVA)D^*d+S>>Htz1d1ITsTp8>ny0j~!l
zfcC02Izb?UPABq`-oObulffVgIx{aRhPw=y_#th{6b*J!G!O&FWl{nho?y|;LG)J)
zzk%^dx&SZ4@M+Z~iX2BN(it8zuU+E~dz6dFof@%WHJGZ(RyJJ2MxB97uWBE$38ze-
z)jjz$XEta{QK{U(QrjRdu?1;>;s9mEqkLNR)%VZ!k01Ug*y5KJ0bOwef9ls7ygxCX
z^u+T&x&5X?S}nOAA-*T{(TdnO%%9Z$xr}r;*rFn<(eYaPYZ;s^l#w3Fb=YJ+J72bi
z*g#7%Ww+Y`p-^5P;?mLsxFN)m%#1+Digd05U5xBjjiv&WJuJH+dv!LKogKq}QZq9k
zmq${1x|ETzLNcQWSQDzr*HZeL5$);xP~~4*KEJ&7cS(oxJv$!P3M=6_f|TPTESdSU
zk*;gGx2r;|tW4&GB{)#*$|UW%9{?H-q(-%AptwAV%0N9X!LP2YoU&oix=lAO+4AMK
z#8Wu`Pp7+2UY~fq6%Sq4DY~f7EyojE`BQq!m|gYDVx99IXk7OBGCE-6nqK4cf7>M~
zwKrAIoTK^QQ*B@IA8F%<ds=quu#HhRU>$ai%>f@#n1n5igSgqDE^Kt)ZFiGgdzDf{
zmnxiMvO66f#cHlF-7e#b9jyMrS&L-qDdHpqae_=%?dBCGXF+EXN5B)5rkna^l=fx8
z;(}Jq18cw7!QG;eqFuBAdLVEn^W`KD0TXu#DCkEP#a6~FmJx5iC|ET1!Ts^2iHW_R
zBz{c1_U#9_$KP?l^>oJZ?TH`u@A&-a-IoZLmPlO2HMle0is@Is{?W4Mf$!c)eEGL;
zUu9fi0$}SXV9N}?|8{kdi%nrjXA5Na+dJEv?VK5#{Y1iYx(}zN`}`3c@r(U=>{pZ&
z!hHS!#vwv%6-ppvMmleSZbX(6!=h?QqNgS>A7g+ILr;VafNRNXau6+vlJk(5Dgcwz
zuvyZpMVqdI1!1#&f;k!&gBL?a9^hdDF2<+!j9&Wq*g1!uy=BVw#Gk)@VEK@;{@sU6
zSlQ5jcOuT8a{2ard&iN)XP>RgbnVZu28#ww`EBpf=Y1{>0~4YDN1*>QI-~XslYH8p
zsNxjD>wyf&yiVeDMgu2Fsjdo;bm>G9Q7#YyXQ7t@AsOk!mym#k7@71m&vO!ei9iUS
zq-H>p52^hMtu)qdMuwyr&H23<X{J+qC4pbg4xiUdN=x9Arlc*ewImi5z=$?zu>eO)
zl5<0}_e5O6Wd$!k+&~8eFUMxn`+{r&NVfwCvOmeOqR{sN(02(vp_ciuk4w|h5?Us-
zk>3Q4^_|zr`v0}_QV4n;!;4!K)_MHW37%It=sawyZjMu=6^oeGQxMQI{m;?#uc@EG
zpf(OW%Ej{vTb)nUDX!^c3J)5eO1X-wx){a9^kgtDPo^|@IlhJUuINB~rq;LD+P)G3
zVB3E5_DPfp)@uQS?(f5y1t#V?O`1)A-6E%wx8ATJ+tcj!^d62Hg-1BcOMNIK<oEef
zQNovLtFYc~@`q4>gfJGIMJAe2BuKUbE0Kr-DOxYpmE|qytj7^O)|XNcl0s=fUpnHN
zLFS=Jv%kdlKEPM<wn`M&Mv2brHna~5B?pQsuBx1cae0730QcwRS`=$GV@=5{oCSCm
z@NKkzkgQp?Eb-><#0w9u`#YZc@%=yFn(>0~<$LxdzIpU7FFgNgAJS)k{D~nAFFt}1
z*5M=XHa&Z{<F1DeB_8?wv%lShdnB<j79l~W*~K|^5GUz$Jk`qpc#d*L1Cix+Oo(Ep
zj<>^U2{MO(UQc9!=LtxN$P6ri5kZhdafMFedH9wX*{lYQ5+RZ-|A%EDUI)gZbJaY_
z%tM>)gWChj?<-u(HN*KY<z)7$j<v=_VdL5vLhX?U!ZJXr1Z&eLFq<|p7MHwyGx_=E
zGl_T3?1)P{`BU*dWb&^yq$OUPlncwp=73x%x<i!|9!t22Cp={EEx84y+S(n|)@q*J
zQA#LH35rRCf;6D#l<w7fj#O)~3L$o_#hX>Cz_&lhY5w8CyRPyNpmgZn?>$6&<-DV8
z&Qg7593^-$bRzK%V-oO<{UF~S2<>&CeQNd+1$Q>9=HccB^8)ihW6UTbJC>=@WXhBc
zc3C#y1{5P(RgYjGLXkx>8YPpdK$aQ|^MNoKv||4YYMMj~l9N1k*g5-H*%>k@vP*XA
zYZ^7AhdY1{2EP3JRD+|}=&7{|?7p4eGLWa@U9$4VChC=y+e&C^#CX&RW%~HuQ+;mF
zUtT^J`Sghsr|=WTF`*HYd-RGd=ghzT;cqV;ygT`fAd6?;YPkJb9cM)pvsq1PG)(|M
zrqk<rN;z1{<O+l-kUuVy*V}ns59vpyq_e}N0?!`GpuEwb2ZhNzr$IWT6OoRO;d0ez
zTyT|lJBiDI(MO`m;Kr)|m8pS^%F6bEMBRqkE3*?>(UniZQPfrH0E@cHBLe9=x=xh^
zw}I8{4O&IyJ=FxhNpM?3r4n1fp)ZcY8YRm+_1b{Rg1!^$j&UKYyA+4(8K5zQ<RHcr
z;^UcJG#%UH<M0okB<d4qrvavWk(c66T)vNd1*9Q6iR+QTT#B_Z@5QS7TG)bJhuEW<
zFL5!PucnC_gs(MTAsN<A;(YY~5!qPK?}%qt!IuFyAdZCQCjL!+fk^f1H`;i{c<@8N
zLc83gR;}9O#bvZyESJiZ{$hWrMj2?WrxUE#)45!uZjRJwXf)2VHrnQSmsxN2Zldcf
zo2`#oKeC?lrtR^b^OB@|kLeL4waob&jLcHsQ@s!kOp2Ud>QG_9J4_T|87Q(26K!-*
zD`sf5H0F)dP9ig?z~mR6X?p?j@aDjRgOmfmCy3w)4PZ~QS+Q75HoL=Nb-LVc$3~M*
z^2geyxA0brKZZl<NC%`Ngy%D@keTs1t3wCd7L(n=6N^dG>oa8&7^I0MEN+J#zJbSX
z$9N){R_H?DL@)s?SS=P=*6YEmND`nGV)1dFQFjQzJyZx{XoXvHI3%}w7Y}yKd{ch7
zR9ic8w6$7kQc6t`d5?Tprt{>R<#RHXBi<@6@xG~tMyvpf-zE9^9Xx5^G0%IvCfVTz
zV|QQUqdm;c0$bBaOL+NT*;4twX}J<@dXY)Z)8Vd{zmVKvmv|J7-(0nkblWI7)3;Ka
zBo|g%E0c33u65xXbg<^H-hdmioa@a0x<K8!b;I4d)oaz!1%Njjn|6Yk<1e!bA`WUf
z86A&{|9wY>)N?x_KPKLJ@t&?ztD^DGpWS7bJnonIQ<n#we)5hu-3l?`jh}GI_D3)G
zrcd7T<cm$0>oq%?26#0AUTt`)+PH`=;g^|cg{j^&gKspgR`@(axnY`RiGGQ^fow90
zIuNpGGAoMFVznuXO)=V1hGzi(q!;aQnkYtNrbr-ZC7^7=sFyh2U^6P?Nyun0fcA~X
z82(lD8X&B$z@Rb%`&P+d_)QX3akWT*rL9-<kpwr;QahXNN?s?4_7FyT5zJR~!TmJ7
zG9TVP;hLFpd#abzY%=DiH2LqSw${$DgI6v{9r{~Ju}D*<!n9dcseQRN3e}M~w|m76
z*C;J%vd0y_-cTws&j)MN?)9{A2U=u$WC0v&3Y>;Zp8Kh(Pi}Eq{;}s1@4S?_V{(}}
zd<xv&UoJm6?eUYZ(CdD!p~Jp-V*7iS*J<M~skz=rK|Zuw_2!X~OqSVhwG%f>gs!AS
zT7oDmrI}hypLu1Ql<u^prE?)Xz&*|ee2`K{kx}v%2+Yc|yOnC|v@C6{LPJYe16dvs
zuoQGg+5;1%ent<IGdr|O5D5P2*#I4NXaxlz|Fer)8kChy%2VT0tiTh@LZ|U7xG%Qi
z`f<HqZQ6aXIdSgJ7w3GixasYOqCXzHkl0IR;Enjp#C?emK74x9Yh?ot;-bB`e6)Pd
z^VqfF6U-%UWOAs3*m<Xx3wqIgYPW;j0UIf_b+;|GZL)GE#cQ@HCdH9vBNngOoWiL^
z34psp9<P=Ym;sI67=B*Oauh^_Dq*<LAj}t53xd!H>Ej|yIwEG{m2i0pc*2F>asLkL
z-!V#OX-@zU%K)@;p@|jY*<9E55`3Tzmyl_D_RJd8w5ZRv9f_SQ_u#(IG|%ofV`pL`
ze`?^78zwxnyq7r;KSX{Ru|GOsLRi!Pvu$-kXKij#C-j4Aug`DfXLxV*a%G;*;0al-
z5MY{Dl56d`o=k=ZHpZj&13(BlY2LI<XU^(eK4i+b<hgFn{}u7M2pXNg!n-8!cO+Dz
z?xfOF9p;J(!!+p0r^K1gQN(-l^9qZ?G2B(P<k2EhA^M7JG_OdM(hHm^3^`L6a&}<I
ziJc=l2ManIaKwNOrIG)Fp*Tv_5S2@<7FLnEGT7<5W`GDaMRSsqnE+O~Y;cd&W=j~@
zNKOh~EW6MqpJ)?Sxeo{3G;ZDOJ2zaPNIW%lV9%Eq-E)*dFP6BlZ1=?@cO<^uckj|o
zbH`0+=-<0>N!`dr<5t#;+>iMOpFh0g4;6zM2tP|~;jY62kA9B%Ly4oW{IsDlYgF;_
zbd6&Z_Cyu`XTYHgWux!ZTLP>MqdhA%PR1;@Dpsr6>CSegxt%tN_vP4}*)CTKk5=~Z
zg=~kbtY(?!m~wrx)g`TWrZu<&fEfo0W@|`wnL}p4tu8xTa=F^c3`E=GIg+oyFLV}&
z&^MQnn(ckt2iz}#c>kAlBo(W!&0fzdU#2oRt2V8hP3qT1+!?H|)W6#2OJ1piX$3Hz
z`8690N&xI219`Fr1}JX;l+Qfz%$$EDejA=YvD^Gl8Y>1C&suzb<73$TOvSw0hIYTM
zDUrpW>UnT=%QwLu6}N0oe1k1_Tt7GxUrY;ldFZV})Ja)M-nXOeD}EASzZ`vh5)}f<
zjh4~^hHEyv$-soZsMDH!QpT0(x&^3IhB<b!l#R==!kEYwIgzrWJ7j7$$_0g;1ZUTb
zigZ+gGcueQcMTRfsZi8a!YdGCCC0o0zqPZKn62}z#2O<dE#0JoE)3XuxK)?eG77v6
z>1<cY3YGfPJExOK`g`eLq|@{m+0s(+Iw(W=5vaz+_{DJYiLoo?Gd4r}ymCG@<`GRg
zPPVd@i}uuvlf2x#<ZSDXAqTNEuM<FAn`i3MUQGI|M!w?(GW6KW=968D&mF3odfm$J
zcDG!bho6=0qjyc%Ti>tSz|xl=tQ<aeXB&F-m&7ahFV>PV+iLHfT3yktVQ{GTJyV)a
zG%S66g5)sw3icdbGN61y*_ix{u{EKtcQxGj#tk1Q<=+Na->22D_o!uQ1pAR+ETfcA
zNrweWLM*{fBAX`x$W*Rm)PPwZW@#jI4}q*wEs->&XO^;`8fk_E6$Jju37y8wx1R(m
z+c6U>iD2zfl>eNJb>(@QYYPz30A}OlkXQTxn-jhuw<eefCjQOa4jlNkHQAR}+b*zY
zB*BmFR*NM?vXtg2e(wZFqvJ-r)FE7zW^!Dn6M;^U(SQ*NiA7c^1SF=%aZ|y1@MsJv
zk}40E36ilKBQsT#7eCAutVei0+~;8@@SPS<=^8e=cRtz#mIl7>Jgmc2s5Q(U3+i|h
z%#@;s$tMTf2S&=0*=74gj&i*F%rmZ2+vdMGzv!_uEuD5JE;aA}VOc)Vy%qDzmh71M
z`X@B+^1e?KZTH>q(u&$=pbd!>&(ov(Ra-yYkBr8nAyeu|0%C3R)G&|qe&AvOUI)pg
z4q=>0csn6%(vMCf@p_={D|D*<W!)+40ulbK8hAfmp^}IB)3QIMHIG+`yDxfMVcqIJ
z@6ks0w7i6osNWOgt4J{Ga^MQhCGNz9XCIH4CiWomo0mU@zU}_@_GfOOFR(fRd!|-*
z6Z9t&PgLC@7ao8Hdg@TUrx7)JmZ4>yjcAicpJZcCyRhH49&p8gCqr7w<~}-LBTZ#{
zX$quIZlrS<wDbwunM$9c$@EFB^?1|L+^JtYAd=Z+G%B*eAXy<>QZh0PX_=Xsk^z!%
zgG+HZGMz2}iYqfsa`}}sMWUHbhtWVtrrV`+tWW_8tBxvuR}A-RaR(HDPOsy}KpM%!
zG5mfD3P}D_cotId`^VExOS^m^QdOH05(m(<vKc`a;NR;};$C-avbB}%DLZ?R<I30$
ztWu8p%!aEsv_EZQaI<Gr-AR<z_QeUsFZrRZXjLS#G6G3QxB3)g4N#4+g5O~}(NvSn
zLA2xp<MHEP%c3H|%ggX{Z+6j9Yo~!h{P62>=lfkmu4jIN0~#AHy`Xw6BY&Mihg?3e
z>)n#+kJQlaKxvmQ*uSOr@_^(#*yjPCd93b(uUETse!0TW^)+tBv_juqt}qOc2N?R9
z`kKeeV+}F+XY`}}qT_p~iPBtDX4oiiG8{Bsl0`|zsgi`=L|jg*8?s{^Q#Q+$vDK*K
z*l)2AGty~rOsYAh<b_&EP?izLGkegROjNO0t#-4S*sN9sRBeDLU~uTDNd|M0iP=a^
z4uj6>a_X$aAw%BlFtDo#3+NOAIyJtGF*V458HX7nw_`jqk2k6Ec!QsgC#s3*{#DiB
zClVvp_dEajCYa99T2^azf8fO)R&DlTx6%sQZuP=iv!bNN*&}%THBVll4(G?_#({n-
zb!XVK4X`|OCb_EAVt3^k-5I9b1x=vda1eK7Bw7h3sn*`)nZ)Feo*gWEeS_}9eK3mm
zz_<VD+hC`%p^2H~OY*10v9-=F{iZ#FN5y402jOPm$ixulQ@;Z}MnI1S^rbp-mNZLG
zAZe5Y8HZ$ptT(imVP(BQ^_h|YRwD?Q2olMpf}K)95(wo?Mp?jAFM;UrL<s5-LuAFU
z0wO~Uzkb39>+NqQOY^KQjpNDM6_b-&6H%&y1p?B68EAE@D;vz|SSzl|)=nZ_+j}j}
zbe6DbYazAPr6x;@sWlw``Y5cgE@cI5S3DLal}i#m-~Xt8-$AQ!-9O^}7LszhHZgkZ
z-i;68!<TPJ&0j{v5JTNsjq`D}??Cw;2%F}Rg%IYAvDsoVnM@Xk!|1RZWX^?ISx@Fo
z7E31P?HKdC#f41<e!Uz3w_;y!34rG)YjHqY{VdsyOb{1c2$S8aY=-nO0&%t3*?bar
zLG8~xDi>Kj>q7iX2%TSAl9)-l4P;3PjurRXAB{OvnH=3JDaUMDQ7}&wSzN_}SXL4c
zi*4ldyE}!WIi0&#B!K<>V7c77Gq2D{eZgIHZme5GhLC^Yp3C)z3WWo#@5aPD8qoMd
zo$7}Eb`&)OSP}Suh^*u=J%xG1;d3p#cvy&G{wUAp@K{=qM>q2%7Eo#)e*7ZzMe9tw
zvMPS1G-tyBF^Ee<BfbUi%J?L4?6Zu-JaO=rU*6i1l>bw0Uz5(-ocpe->#EwJHvJy|
zOls-RC`L>z++6L~7g{eR!&k=*cyNk%-=(dW+Na)w|Js<C2SJeaYoeL~!3dZSxP;`S
zTS@}h%5wohRD{Dkbf|^HhY74tP_ddrC%G6tcbwMh{=Qiw2w>=Jkm<kl3`c>}fb%U6
zV0U7E#%FlQrx|!xV%`>^>lVh1$x-?x^h-cvo))SJk3S)NZ&pF!*sOWD0Az|NaAsgS
z^c2~HgygpH9BdOfhsj1H;>kyzO+G>qj)%`{ZikIYu>3x#d44?bB%ZtzPd)w<+%ItX
z92o=szbVnk<t6?J67;GD_S}S*M;`9)hpw7u)TJ}+8gQ)P9!oT?S;JaXz#SmVwXunw
zYT9Z7pW2T0;%58;a7TnFraLh*v$<1vNDKCGXFDD%sf|a0L`QLo>0zdi)|WqB#2vu4
zM5~sQrJfN-d8jLTQ5`X%2<PZ?<e(v^usa@vg@~>~H!d(Uz?Bvj$Xq0pYounBlNk(!
zsm-V__J+dYLcP(h*BhPLJ{NY4wE4VZuD;kuWmlaU^4S=ES<Q_2h1@c;KNHm{!TCWF
zY|B(F)>4$IWX{W^na_}=kf!9qQX4;yhHEcHL7K^FM#&kFRju);HmqQ3cj4`BJoP9~
zs&3TrC|a5JkO9jJIwm4%(V6i?S1{Km2%?FkC?i#_dur;gV<Xm2?uo|?a&)R%wqR%A
z>25!qd}U#sr$@T;X>-rqaWfuV)2DIr`27vHju?DsL;a>vR)Z;HP?xIg;^|T4!GqV;
z%pWs9@$*f?imxlh7tD%e3SU<-WXhz+nT-2^jM;ds4F%C<b%s`X$YcvHFf3=WW3%Nk
z%SnrnZ;9ko<@9%qb<A)G%LAAKZ_2W<2|hGEn+iS~Awi75vjMRN3(WTU1kn~kdbiIk
zOMYurI!5V{^s4k>>EEUE>FKOmV?Yui?X^MheyT^(>Qhx{7@EY;J~mrRBgRhuU3GuK
ze-s7X?X})$Q{RboE%VcHc{p019Oq<VC4T-&)xTpF$c7}1N)7w7B)Ft~uC<A>nMtBe
z)O67C>`Omfe0=WMtwZj7ZTOO#ZtdB)x2Rw)UNd>po*B1HnzFAPn0x%<u->14u<ajv
zCPn5gcmp5H+IZVK?7eaQ9d|vj7)*B|$l3{bPD5K&eFbf_&rG{Z;Iw%jW7xbJ{T2(E
znAWJQl$I&?=y<{IwC78GaUH4C3Fd6mC>dvWMh$2O%d<GEPZm8sPDXWp+!_4dzf4ZQ
zn44~{Lng&UOoKDJ4Q_uHPMdL^oRNHG(#QGKlRw%-k0dg+!CgmkhII;nG;qA%Z+j2@
zc{9e3KJofdyzsiYdnYWdt9uBqwY~P@7jHa;haY}%k74?P&55tpY}~kBv)k*TpKoY2
zJs&!F5@jUoSXS20No-a!6--=)hc+5w#uFydX|iYJi$O<!(>Rl0ci{*Q=nEZV^)vK*
zcU-KmbPUFQ^n)CN+iW(-vRyKuG@m4zO?tbJ$i}x#b%wVU^Ca^;^IkJ&j^XSR0maYf
z`g2d>9CT&2x%NW=+Pr*tv#|q+i>oy4v&Te1|2ZicFl*EbyH`(6HW8}a_t;%;?D=l#
ztJ9YrOT2R+(YbK;pcT{B-#V@LoW=q79zFNLOSt#m=Sh!WYw)x4R*zZz_^&tJ)_u!|
zOdhG<@jxDwg<d#`0<4|~0`ajLlaooMj!8ubWo>b9@o;WWe=h`{<DOSMG?y02H+naC
zImE6-X<kIF*kaB=*$QreR0k_~IBalu6qn{LwCu3%wGyk9^ZN{<3$S60k=xZYyI+?Z
z%<!94m%kL574v-aIgnJZ?A%^SfP|9>NzF@U@X(%Jfb2F|y>nH(5oTZkw#i0TTtX^?
zO~S=422%Mg4z&L!%<$&i#COjwd1dB97~T2Y|Cla+&uy9-J(kFZjCJFjMbG0#>)LPT
zzPIiv+<(tEZx0>m^W6Esa=bj<uyN<!<Qx&&SNmO~SJl};5r=TTTp^ybowM_9oNFz!
zQVyI9=b%=H(`kWi#2aJ-l_itK=?o$shyXv#giU@4+esk>?$2>laDqRwEwa-^?B_D9
ziyRKg>8wK%w+Lg6y#rmaA9G1>Z3TaGRmJW6Rn>~~U^$WYDI=-hQK)KdVy>m#`CBWL
zH$+}(ALz$XM$t=b!SWLA0S1?-`4W*m=@NbM;f#lU?vjO5tJel5_Uc-0cfXnO=8N>+
zt#>s|>z(nSyX({iTQAQ@)+f6r#&Nd-hO$rz&Nzv3lQz{QRU<BDD5_#!yNkUG;oKF{
znB3{PtGn_!;m%!2jy1<og(`iV)9EO5x%7HZ$QW{aJVCt+qN59Evj<fP^#3-s#2E3}
zMM%blkk6<Wd>Ll9Tk?47B)AUbCAn^PVV^7FTJ3t*#Z7Wy1aUP+a*jzsKO^?<s_DeP
zJ%9tRD7jU7jM$`<kW10K^riaTNmq^3N1N~kh@W37Y_vWaZCap>=%ifvd)n&X9fNns
zt^E`glRB%voxk!BGo!sG1+t;k<K7IQE|=g;KDAh0ew9s^mrxT)0@r4DIj?wj6Y2gm
z$;#<6bl-qT$hvLMLmxl!&8j~%W$*tmxZtgIt4~h&%8@y*Uw!l3opbuEoKxOl>D9~P
z98>Z9*zK(!x8TBiUVZAfw#S~G)#v7s9x`ffdF_Z*Sh#WRef@X7$#`l%aMe9neG1#v
z8~bxOSHwPp&qySkqZ^28bmQm--8&X>rnp?U9AfQh-D!)!$()JUWjlBsmzxl`JD4Q5
zlEDx(Dt4n$u|a%gk=6*9mLxb{XOy-pSW%>ivC4R}@m(XQ7>5}r8Rr=}qmlhKOp%vO
zfN{G4@m9=Ac)ts_9tk7G2=UhF8r$pYsW2T;H#wi8_V?3aqD|M#w9s_e@rY$rYrAc<
z7okN{YD!f!x&TF+u8O+akIkf>3=t^{wu`4fHSyNl{cDeJ$QaOX%F*cslOV*Noib+2
zf^NIx+sN9j*`<AEw!D_;2H@=pMv|@ZP!UH|{Q>$a{fhobIf+#$heW!S4wF_(?@81r
zMWj8_Vd;6PO%f2#ahQTAA$bWAQ4Dg}&W=oFvK4qi3~_ppnke4DNs1;l@FeUD-SCC0
zx%W82L5fz&EoK!@E+x2>(85h@4h`^;<D6RCsY?5pRFzxBsl9Tvy_Uhb$)l#;0XS+8
z!NM9$p33N)T&G8pYgg)0$<8j#$kX<YdIDA9tN-f%Lq{oB#g?sCRaiy-D*qI2(k8##
zN+_-l9}6e?eSZ9NuJ!EM-)!u+eAsUl=@R2eP?N0{omKm9l5oU6j@3!^dQ1&QBjGtF
zK+eL;A~70+dTeKBG%3o0=(m_bh(@DdFCiphmQCu}!-)8lnkDH~bHyZZ6N)~fuhI|G
zbNaE8-WI~lXV~;(Tdtnn!$yUp$vX1#+Aoq6kd>2vKQ02CT<h?ane5<}S-%nZW`);g
zE+#>kd`3i@`@?FpY?u>-&=QU-{$8ECSLd8Nej(g#@cRBt9>3gruch`d*ZH@@?+%`(
z<)AfS+w8Z4WIXL8(zpFf&6kx@Kd<r=xY^tm?r!d0UX(a&ra}6U{!9IjdcIM*mEI+s
zrCh4U6_ON#rBu%zisx8vC+Lt~XGEe=rT{#dC~_TeU{<k))+^!4cv!1=CF_Jtu~k|D
zEKMB_Hq$ZLNG6=XQ%*-@Ie684qmtx&BS|OebwN?Ei=x1O0~SJ~(EvV&X^ZCsZN8CS
zis6_V)^k%MJm$AnX}*LSS$ni8NLM_^SOYY0?AHG>$#SR?W#se9%p?tl9rU}?mH9|l
zPfThbdli$@lXR8!%(XXxZ`T+)`$d)@6=@AFIrbb;zDxAL)>l9HbP#{)@<RMeVo`hs
z2|Sm0AXy_Q1Mp^OxJ{^I8hAX6U(LVAQyup45q=MUn17yc<3&Pguw&v8qTo@r$woJ{
zJ4!2h9=(gmYV;mrPsT!SI4e10ZtSFv(G9Tn1xaH^s@qzH+KnACW7qaf>E*BoMxLC3
zr;VSKC)Z%ysNJ{`Gj8oD7&l6J3ATQ^H#-@$UTg6kCjY<B(E|%-6Hjm%IMmb(Jtmvf
z?+c;=JW%afW5I>0q%Yl5cslre;k&Lkf?pBg9@jm=r<_k^9WFfW5~@vObz@B9tTRkE
z7YY*2(q);t>Pk#CI-!s?eV9=xrTGPf6cjL7V!u+ch}HLTMrLNv=ePUW0YCQn{AQ~)
zXtUex?0_BHZ1x<V;PDv@T09d9e3>k5ER5mzRioW3S?lZyvMDwK8R8t(=*v(t>wswZ
z6d&=iBR)iwg1T$)7zWk&6`x(PF?XDF4#{^Co$WJ#qsgLU$JQB~{LvKnYbSV+=mRXl
z+n7=Sy>|0TGz+tE76zJEB5J|R^<P8U)!ThPKb|vvPju=!$B34x>(;rpAHUt!r*g!>
zXz=>uyOrLhwU5otYUFYcH;rw)ZraqF7IbNfk0#HJ%_*&%vggrwoSYr#D^;f)emJ2|
zaf}Mkr3-zh4%dEXBS^A!Wu!(omW(sZAj@=1EstBC2Ws)Q?hT8HI$hu(C~>(oU8zdN
zd`(v=dZEC91qx2F3>w1;)j|jsLI#)72#k)=1aJ>eA2rk|uu_3=;45U~G+70C4#B66
z{=e3q1w4u(&8qI6>F#;<OeQm#yt*d|A(=c$0tpYv1QHYjAtVqJScD;&z(B}^$s`b1
z0bK=D)F2A%t}d>yh{!@nmXJg}&~=qtJ@xkX_I0PHckJq_sOPe*t6wJfS9K>$6!+Wv
z?k1_KzyA8`^;dPh`meuTjhGDaaWQR^aD90(uDgxCMH{`Gql(aiH7BQh4suJE6X@DO
z<2YG8s2rzaS=x&xbe-dqcnzzEw~tNTIO4zaK;oWr55zC5y8pMu>$uF}O)dMnX73!m
zgZbgwg6Z=v{V8gn(4$%h{IehhZ5>87SWDN#S~`iUaS-vEw2m}JuS<$|q_Rzp74Z$J
z4RR=cjjW%q!x5?5u|08H>Q7i*vdr<YDK}ab<jX54L75)6f_RDV;90&iEi(|a8^11Y
zLxwh3{zBd2q|(@%-lgibsEPe&%lSipzWCuI(N7M2`_+x-dPB3qYpder{q4*5ZJv$~
z;L_JleEQn?=+91Ucya&1?-#7ueslB6-XlvNdxOm1n(jelLmu>nFRe;$;BL3Bh~H?{
z&5EBcS8<E23*&WDxO{6)d?`1_s*}i_?xhwYfdp1l!dBdqa4$ZDKKJO|37Mucd<$MD
ztxwPk9&EQUY>JDq*|Z^4k}N6e+Enk7Ek;`wvWQ9|N?e`DBn~kiUj{k#5p6bDhVG@K
zE0I7(i$s)`MTS(AW_We(<SBnbg~#M2=C~GuE803!J?OE)zW(|-k9xnJ?h0U=zX~Rg
z@y^1~tF^4Q5g6YG#N*<p<W&di4qs}2;#k9l;MTJ?cewhoi+8T6>JH3{26fLr;;(+|
z_2bb`j@P_6dVyWICBLE;uRg!$z{35%fPNGNK5qm*!vKUn_8CV^c)R=F#N8=us&+A(
z2y@X(0g2ApXr^TeT8TCweHt0&^NNWc*NeV|uH+JZsx$RA3#|Pm$&4JPB*tR3rb}iA
zc*)U+CCjWQXCD%gCb5WCYojD~nBjp1W=fJ&E-jH(OVEh8*(ZrMMVBdgvdog?l01gY
zVVsF33rtga=~WYa{rX&T<@!Q?Vlk!N10(_uo2ke{%;^ca3y4*{z}gOrT(M+6`~HKE
zy!QS7-sL|sE&H+P>*u0}@AB6@wQ;w9_06lMXKn3$_l=ja?}<(AKmB4pd-LOm_F`%0
zU60JIJrq&rav0;-mB3poy6W35vb)6t!hVs{o1Nz4!YkY#xi46KCX>aL;Tg;=xCh^h
zd5e`{jSO&3+dMT2dZX4gt?DEXoI^f~R6-?j?4;ES$<Z3@h1Z}CnC?G?F-sl2SkxfV
zIsesRJSRq|fv!e36G`Y{grF529&IYOxL~$6JJl&X&qdw-RBiTd(pIcFH{3B@XZ3gw
zh5=%Hpi|EeSQy}*$g6w2ZpM;Z3(8hsnz@3@{O$JcsVCBY8NCv1&~zwsEbuEAeRj_1
zwc1K#?V>x8<@UJ&c+~uu=dm=lo89I<XnfSf8Og)0Xg!q*omB#G4|{*YG2?MFw}9<2
z?lrPrQ-&ukz0AZZCL@~y>i}>$?8<P~#i0z0vlHbwUMFW8Q;6y%DS~s!5tN7<6;<|d
zh;jI&JaQWUsi2@K(iCROr&PwwmXTe8oRX7y$BCUU<Tt#a4wsvA7GGU8dU+Lq;VUp%
zY@Rs7q)J}MyDs&J9jTjttO?&-m%YhQMQ^U_jv!)XF8V%Py<fllT;ZJ!TeoIRiN2dP
zzw**gF8woimfO{J`}(}pJKmhp;D2S$(4BYUjmDbx1#2n_yx#5Z?9eScelmQ>w5Fq>
zs3<dW#)^{qElUosT)C2-@qWxatUG}c(O#eTR%@%Z+q%bk*z(=Dr^LSGi^=cD!Gw)j
z<hCNaG1q2-wGV5werkhRwqJ_aM{pFyF-ZfCM$t6HB=wsk#^;zM=&VUd1ST0Xa-p+I
z;zJ@U4lxf6B$W+NHDWneFJC41_`trb=^iP!(W5BRd#3Q?dIZQZR9q=lv!b5a;SW<Q
zZff%tCf@l_%0s1ZEbUJ{yWKU#JLkY7w&___={uO<KCHVVx?|tyxelk22KCeQGQ%7n
z^>w)gxA>@WkRLR>7ytVN9(ESu-KO0MkMfTio?)NX3sViH3Eh0RA!6!E(C6X;X{K$V
zjf;0Dz|zC%b~s_Bu@jox=_X4Lo!}4(Vd)`YBDW&Aouc5<XIWvOb0-*diCIp!pp#sU
zPO_-5CN!42vE*LjUhNLKIrk8A$3PN1;bc9MY*Gq!_)XnAx=(d%fsS02al3RbU814v
z1#Rf7ArGypBaTXQjmsTV-Of~&N1Z;%@<Y8nu_}k|PAn7m1jk1_x^Enp@1eWMbk=?0
z()L4XyUsmmUwHGP{Xvg2WzD&_pSt*)2U_PJWdfs3%M0erzja4L>3#TB*kEJyB&^?h
zfTsrZxUbqil~qg&3_eq>>0W-XxXbh-eB5vzlPgXJCpXnlhKTx}V)X(P)J<TD)i*Dy
zc#qxyo3}<JNCE@gh=-*ceLwIiW<&TP%-}KO2wqHIXOTy0lxp$N#CpiEBg7ol(7BUb
z@(>Jm7rEr23X;&*<hb^9-%6{qWGQaGF!}_SIeLE0Z#O^8?4<QM0(*;6s81r~pZR+?
zwkH2aGL!AT*}WxhH@nNY+jLjlJqf!K4~hTkcu#!a@P3>nnI3w0N~jp#eAq=xFtypt
zCZo|3?{v8w3GT#17ul@p4OD<fuTMmlIG2OoMsPJ745a39mS%?|QQw@13~?h&3vw`l
z^NGnWSE9YqHiCzdk!cyYXuyUcJUqZOVpxx~3=sLtA^d_*w8CP<o%Fyy`mS^H;%l4#
zAdOyI6?I=r7<JcF1uFlLuvohGG4P6tldBxNLfJ-C4pXrm@<L%;KIcZ40jM5rqV9<B
zkuZ{Um$-33a!nY=5;|QN$8f3M{L!DK3rx}G%jZV_`dk*rWS2$X<1(Y^(W|K|TQ>z5
z@934DpYQ${|L2##V?wh|Z2b1<LGliJ6#CL);Jp=Fd=9&0Q*6vstIt+zYqj?9@7VM<
zy2!|zU7{DAA}~!4!x5vW`m)E55LoC;CX2;tG%})SfVGEU5%rj}3OvuUjNSlCTq|_4
zMS4TCk?amc%OY%TMnW?`!lWTRV;mr7KV&Gw*l|umAy^uX;5U$j*|P&wmhv)DJwUV$
zsP-h)#N=#%a8ghuUgijzQcsPG0=d{uS040bACddG)}JxmIy80-8oNX=Bv9BV#=A;*
z(r-((jWUsvfnlE>AWY4iidp=6^e>lI6lLL}x1#f~>C%R@oajqT5@URRgCFl5eQ)$n
zzo}}C-a*!<(WTrSR9E+5U%lciH2O?F=N^MjG#SlK(Pi)&%glN~5X}|~k8nJS!vbrS
zq+;IU;CYMLV&Em#EI^Mo7(~5bV3jzsX0u@Uw-_2lJi<JT;(<BP`J~GQR|;UNqlZ|U
zu$`u=bMkQ(#Yo&s!W{aT+Df$(Z~BNrCCS`oESp}MmRmCGY=3Qn4gcHoqbt`QZZ40u
zo|N34mFv0e(f5uVVQ>3#abH+nV`V|#aZ?@p!@k<x%zb7?Z|uT5xow6H^ZQ196|Ocg
zCZoY%W*N+3*z{qJD^}mI8zQ9l5XBS4f*xmBtr8;hf3eLF=W<nxQp84fj0UoC?CIwt
zbfAXtGmtA$yN*7we?nhZUd^Ff^sAT2*8J+_8i_o5sC@C2&4d}3%QaW0$;e5TiK`oE
zGd=4lF2zK`B}Tj@D}|YTQ}vx?(JqCZo-lfGn*UH4e$um#`A+3R^P%u)Pw5)*2(ACd
z=u);<_b+G~`oXzb3{Ff<9m3crdh;D#Z+@J^L40mi#L1QDLY`^UOlh7eR;$NEG?WZ6
z8-4b;&kOZfKj^4px8$dvv1Z_m=db~#!V~3X_;ZQF`RL5F5quTp<M{(cN48NJ4Vbw{
zi41{sm8j;p{u+*G2bwu9SU`nJE!sWxI5OAROUd@I7$);HDlx#T+Dzi<o`xqgK2;q=
zF0DVfIGmBZ(2-Q#FgJZ^S(?1OI?Lm|WmC&7Re6flSh^~$^!ChI^YYVcYnT?MruHVh
zcuxJgGOO@-cGIITpV^e-*}SUejfXQcowm5g&5qSImB0JZtlD~p@a(zhQrtx4aHgJT
zk%hsCVJ}cY6~wHC_48V$4QZc0(X?L1*@|t?Jsw@k-}U(pRqke4bScwA`F`GKZ_UH`
z&Y+{maj%2(x-qBM(?+m69d^4jr=Wl~LbBpWPFCE>ZtOuQ6B@vp?#U#L@Eo%d*)dW4
zpX-yH!wQGF!2*2d2s%S`>s&ooka1?pV9p4TC`|6T<l%w>3`t%aDE{MNIwit@MC5iz
zYpjBm!Qayw<Qy6J&+zna2rRMaO;VyTpmd@MDB3mNLQbY9eNm@xp*?xgZFAGq7IE2>
z?3Ah7R@Ic}DW#1vX_DC$p2AwD<tS6LFM76Y`TCjABHp4Yhn`>9`t6MD;OfP1?4Mek
z3oUZ{l6jB4S5{jGTtCL-aYxxM<U~t-Gkfg!+8NGhbUKVl&Tidqoj$|pbxt?Vb}le3
zbn3<J(lXM9Z<-w2*<~j4yGOv|c5S*_6EpigDj);(s;ioo(75Sz8BLegrSYo%7wCM)
zHk_Js_qM94^osju_`Xv&XVaA>zRgVDKW$AfNwL?={^gt*$s0;ZKHB$e5RVS{s)@`N
zr*m*bR+FEQAR|{@^&SQ@jE>b~9`)j09aD>Ib<8{X9UT+F5gpT@Cl_pC>BC_p6;ho=
z_xa4)?Xm>|=R)-R4fGQp>en0S3&!hTa2TcXmtXyYLoxQiw$+1g!^Par=<6@x_)#JH
zAvrMB#Sv+9^%Fqomv5$~uC~tkv)~r!XXTEDU%WuvpXx9BzkF+Sol)e!gmQ@5w?Jt;
zer~h|%{QF<@~toGj3V*?2V#GlVG>5V*U)WTCu-r^Pz(DRs?ncB^SM0mccNX~cgB9B
zpNXCYc!O>_rCY(A#51^csGRE@`;c2O_C7Ncp17H)lle7{hw#;4f_w^kMc06Si1%QQ
zIf;JEoE$sArl60wQ?L=6iKYQ=HMrf(%(25jzn|;G1>kN4(*b4`m<Pc;1Lkuu-vx6Y
z(07rzB#jBvi8(<=Azj1RuOYuC-79DW%u0a2#r+pr1!aE){0$^7hfpQpS3+8KP{$R3
zZy|L9TqC&8gMSUcy%28<;Fkf8@(%!i8pbXF{0ZQTARRN9(@^fc><d8KIkp4%;U#<l
zQwe!=g4;&;1$3ky(+M8Gf^NdEj0q6F0N@#v$Aq5no$wKO20S70YX~nX?-6<u%5j84
zW259FuVAv6Q)naOK+iF!#+E_-kCC>6pjl`hx)lxLGVH@c_##up%wpy-Czw9w605LT
z>@oQJh~v0H-JrgXFXXrJgZvl5TH$-buY{|jMJy3d7zD$E#zf=KP3uip&2!CfTe>Yz
zSU$6sSX-<oBs(nMw%Rl7$Kx{Njydd({`k4^2b~t@N$0hM8h4iaRAN@*r%A_?Ta#Z)
znU``h^<lYN5tQA^CFL_ui6`vY=NU<BOHWHbn30+>IK`KlocZR|9a)B~-(|1&)_6b8
zxjomOdoiyu-;sZJL4Lu(!excgY2j&~740iJUA(OL$r6V4>CNafGzYDKXMsTyJafyT
z-<30qfiZ+V_3Q^!e-Qa?KuCiz>}@t^FoR4eqQNX`qu<D7DPt4RM;feyDU;J+Jxa!D
z8qC8&a;^pos1R8+SVZ^X&o$W0oMi5rc>1R6ay1ybkj}5c4ASdbHJC*+bZr{UA(QS&
z4b~y6?z9H$kwy2s2J>i@?o|yIP=c;lgGE%O&(dHsUalwlr!mKp&+hOqYA}Zq`8O%7
zqxcUrnBYIBu%7Touxl{zL`bDDPw_J}nBeD8SfKb78cgu56c#o9tFX#{6;}DL!oYuF
zhX$+sS7DX^Dy;Hfg;oBmu*!cGR{5{OD*p*=h^f0FrtU_-JA@B3m_v#XrLc+gC^1!o
zIg~8sQ`iD{LA+IiIph%QC`^P_EMlt$L;9jxuQ-Z-P=g8nF$z0kc<6}XVLYWD)L=sY
z5`~=<|F#AbyviRpNynhqU`WTHwpS9NH+VG|=wY)?;FOqrQ)2R!X*zWpOwzfX!WlH3
zZVe{s+)ZIG#s5Hq3H}s?^JqFRYcNUY7X%h!_%FopUx=xf5K}Kx4819a-W1a=rtx-p
z8Y!p<dO#tX0njqE9tFT%44Xaj-RB7EK^+t`AADheiR}k`kW%DBNCiCmZQ#}cj(j;f
zf;y=$0B!)NyTNV&$_jvk5Vs921RCN7QS;YwniWH*rm_xo0qh5?GASnc3NlH*Q!9&t
ziXoS2s05%aNSDxrA*2&bE5ys5lyYoJUrlE^q(eB851iQ=6D#j4C0{lv#UQP>A54Vu
zh<r<X6D{{fz>zZi@A*qoZKo-!@s@)x2tLA51=Z8iL@1|8&h3CLpeZOc?e(-?3Y0Yj
zJZz`s3R3F)8<b$#1XM}Ou!ZKm4*W}??5(uUBs7n<O9-vi%2q=|)&qvLQth32-0M`G
z|78^}a%EA(1-VVreaY4|Y11v~k~ZD<eM#G-O`A4dK^O#7kiijtidV$}6_CrIxD3Jt
zVesO0VMgv;5Cn!zWf4>cMZgQgqD-C#5xDr9`Mu`%@AUONCpjnQd~<Sga&q$Rr+FK0
zJ)~i?l`s7G!KU;RyMK3?u5ijX0`a{e;d>A3Ywok3`P$nbwBN7X<-W=@*&&>lX&m<C
zai4hVk{9+R?rI#6xbSnP%kIA6i_b*%y(DobIG#^#Kj+a#BmUFle>J<Pbo+DX=B`9;
z*>m*ym;UyWKVEeR_h91L%nMha{ke-~zr1Cg`QusFy?62NmwiCGG<|2;MR%{w8jtw(
zHRpajd073b&%Shvbp0zQK5@Et-{;P~?wvpV6Z-SdJ^IIIBKY6__Nve9!Ko|Gize^7
zF*H2=QSX;7|JFS_4}t5$y}>`2UaWg}`@eekLABe}*ZUY6=e@1@p7Ubd1Kv9>x_fn)
z@czup-|%gJ<=R}KLI$hX`7W_;-FXh+J>dZ1bmN0ZZ+S_(JM%ZYa(CQw#a)N|+c*Bt
z%Dn!_ZGrDlKe?cN^wt+2I4<(?WcTAwN3St%jo!1~`N9uA@jmh@%~8KQtFZl%mn9u{
z&m)~BdDnYK=k>4pq4^GS?;l?N{`X(L>>CbaI)2(0xZ|HJyv%`5Du>I@oI{u|y+^Tr
z>lnEV9Ch7I-s2Cy*0}HJGr+ff`hofuhSwde;di+1y8DBNzx|*uzHsc}R&7bR_h#L_
zyHeFV?^l2BZ#;!-4sDm0j+I*{j-EaFar4g8|Ms2_{K2yCPv3m*IO9%qB385cE93Y5
z@~P~N?t?ysZNC=3>w{T9vqN|9eRmvsz^87w^XRPye*3-5fe*b%efIpohw?D<iSJx@
z&T+?&-aj<N0&k0H6IY+`a3)?}o^{t~&#A^}V(UYPK5)?kH`XrkZhx9N>;4B$-Tw8?
zb;sO$?QwUWf9dp<i*Cq2b6oDF*(IO3>w@1ubLyey^3H3;pT18xMDzJ*=UDzU@~|7O
zJL|e@uRr@`+h@M;Q2DB@@|Pbv<4Vh&cf31WJMd>`?G0Sx`^i1X7lJRq%awFZnee>x
zYV6Kme(Jotu0OK*!ux)vt|3?NO6_>$s+&KeKlFCrZr`3Sb>Dt3|D0^y3%>lyub%Y#
z#%KKW$rJ03A9cbZ|Fr9?Paga5zbzkp$FA=YU*C4uKXNy{>$FeD9FLOglTJ+k&Eow(
z`glXR`fb}^yk!z&ZrOAHLE0U!e0*mn7=7<A?k10WvGyAS^PSMt_p3+E-$B1={M_i6
zT`#`>rQ0t*szL7l{CQUwKJ)vX#<Tvo`oQ!R?gsri*Z%a~!ciX%Tw1yD$C~1&o^!hY
zIbp9_Klt4CUU_#S{PsJJJbm!_cl-8S4F2lge?9k4U-;23&Er2j^Ih%GgQtJ#Ltp+N
zeBa-lRJ!-VM}Pf}3y<jd4*0>P%s+nq%<7RJKl|7J{L+cQAO88Ja(-}$DBWRy#9nKJ
z{<y1N__t1}Ise=f#~pX<jlF}4^>bgjH*kmb?x((Z#f#V#f#;4{e)7R5cU<@GCl7=l
z>zwq_hqpc3JLqZC$Z-dK*$F2^6XtKXI_DqwqwL?Fy#2VRue|+jyPwm&sPjA<3!DD*
zshfWLmFH5UZ(VVcYv&PHPVQ#>+iu9ebl}e0Gyinv{g2(%Vt#wnPLp@nfoGh!`xoc@
z{`mv`^t}Ol!|^|^-1?&nKKbDr?lnBhTf4n8&b{f&ryacG+R$y~$M=LgpZM%Wk2Pij
z{J?jw|Cdubo}Y6!yz4Xd?ZC&6)GdyleEp=09(w=x|KT?F`3u#*Pm^cudFi`<_scCu
z-_B@1@Z;&B7e4iohhO|I|H6s?vK!e4Tn^v<hdu4bk9_#!r@wH-Dber!@tO8xnnPcD
z<d?TUw&$7lF9(nL_gsJLE5H75<b#KP?Wuixg3lcF_CoqY=Ug~At@Og_H*DQ<a`ort
z>wo;)Ek}-?J@ZlQ*1bnbXP<obgIB)e(~Z%){(jG16vT{Wy0hct!ycvYGyKBxo?qQ@
zWf*+o5>ImLo)^%)_VQkP-Bv$te&}Og{Z#dRdv|cH>2Z6z(o;7-`(49-{QS|=p4z(W
z`j0;K#l6qp_R!z_!?WK#`!wZ%UtIKq=Ti@>uTeXv^B!<FaN)rp+jiKgA365;0}e0D
z=UZLP`LA`4{QAe?;t#Wx%f5Bk@%xV2zWczBO~W6a%Xq%&e`opmrX0C@{MlXOeZL9b
z`;V*em+c?^;P0*}f8`0`*<)V3b@8=x{^RN!cinmM6TV$136EAkd7^xveBw1HANCdD
zyx_gb%=6&B`+h}i4PJHQQ>Sb@_dC7kJwLhYtc!p4*x{;!^SUn_VOBcdxZ}y=WA~r+
z<B#sVd#CpYKe_e1gKj$Q*mwT?)ZagMi~>Eazx)p;eEplslhhaPysI2K^XlzaJhAJb
zeYal!zH^?IPW#%|7RSGGA(=ey2eRGQEV93sr$RoDJC5A(vFRCq|C2B3xBleto0-SX
z+WOfeZoX{wfzog8G@Y=bK6~3&FIjP)|6M_U$Bsu%Jk|}(&%ABlR&K}YtKU4i`|I1z
zzr0-hQZjvFdVJQMpS)7qxA#);+wTBB_=O9;_Z1+2%zLrz{oU&eJm-ODd=&ih<3D`l
z-yPrPdZk;We+B>H;+y~dJr{odGx>LeAKr1@(_cUHaeVJ9pL@c+<NO=0{n_5%-Qefm
zN8jA>hi<v}3SaQWn|!?&J%!en0^d64iR6b*4LsdBY@eL|{`r?5z4hT^x8Hy8@S5Yc
zmp@&mKYGdY7i>G?l5f;9-#`DpFI|50Y0ME9ylwI^PxsdMp1a!pPF>*;i{Vey&i3aY
zk7U+gzJAw@-#YC#pSa~3Py6m))${iq{GIR5FTSIKJ5I`mA3tcZmHzgV2S0pp>RmYV
z&@B&L(6}jd%Z|)hS6rMjZt1^k&+e#U=fem5@kEJg?|Unxf_MX@;=crtsn{?SRvBBb
z1IS<%WrMizP2!6RAX6zvZz7Q4h^oFLRlLz(2xKZE$z{jX5-yio6jyO(Z>ErK05kq8
z3YqOy1lj&DGMkDo`~Sj`k#A^&zm6k&!=C?3D%nPBzKKePsx-7eQ^_3vPgJrErjBai
zb%NS{R5C)PxjA9io8V(ATL@FxSq>MbvZfr!>*O*VMeHs@t;1g+Ke$r`7&#rUGp9BH
zN3T(soVW_4BFHzO!d?d@shd#O8{kej=CC7#i`YaRy@otejlH(|-!0#e^)&#~Ys>%T
zi@nO2`pbFwU%r@1w)<bc*q_m38&}qwFkG%T3||?3AS5^NhEQ=Sq?D<;vXQjhhQ0}R
z801x$qcV5{%nOCzV1-_<hRR}_v4Igz^`B_Ku%iKE&W$Ct5#SpErUvk~jkN}hA{$G1
zBVaay&0L$&&8(<NrCF-r%ax=|Ln<C@n=#}@VN|6RqAr+lASh{pF#`-6Udy++cjJ1x
zoC!Til!Si6q;84}r<|-T`pa!bHKHEoe`hMQQ2OhhiX}7VgqgBfCHU^POenG~A$1r0
z;*@Q+Z4IL`6Q)aLz32%WyHJOv4RYj2=&jVle@g`l(n_UY{?&HbJZyI3*t4&-!mEwr
zQ=_l0ZD!eQkMKqo??ymw1e?V+H_#hV_eQW$%;8ak*R41<8+kL!X8Q&=vTUA|O)Ka|
zbhFK0x4g08RRf!8n?^T_ZPsPe-ez=jm$2HZg#|yG34Qfe&dW>TjU8m81HFbS4JvDu
z*r_5%<C1zd>f1Ijra3jf5x#l{d-Yzf-rrxnlWlgwH(J{uj=pB?b#@$`55{67{%3mJ
z{{<z7I$gvY*jQ{=qiqdRCY@F9PP_9Gs>hS0WHlQ!@p&6WFs;Q?FI&Z2zGaJg>QUTp
z2@$r2u{e@DrHIm1=P1FE-m70=zDyig4daY|f%u%9C!K0lz+sv#B>*H1rh0}st}oG*
z<QVKs^H`c0<I-Fkr^0RlXsQZ8r!U^u<pT?>UR!33L?KYM&nDosoU2Z=ny3w7EuwqQ
zm>C#y)^#9iE2DPJbl$9W=2*H=_8W4_z(G>lL_}tFF+aX6c)>x38=1#7$rGDPX^*Yr
z2<UWJC(dEsH6}@1X`r!&G<I76@-HC$)az~}8ZF&mY%T^Rjhz~x_R46G@M~)eiL`~3
z&O#yOB1^zbIn)SQOTL^8a#a^qF=o2ql9Cx}$vWsJd#--5hC0zvCuAQt?0{FYc?*+l
zv^O-jZCKMb^c3RROqI$c85XKBX{b6WSV6zZGHp4<Xh&o%hP74$+R><{1dq}-2M`~Q
z(n-jmnaqIlx(5&PX2-mM*oD$?9c0rDv(F@C{E1<&8TR?%ym?UftbG&_7YzZjuTOfa
z5<m0J?2R5Wi5VwM$+EI(JC-D@beBQUJ7tHSfi^a3YE3;4hy^Eek@9!ujHBn6yS%nR
zY0g<%d@o-N<}p2P_WL+G(sug-zM7&BE4mUP2;sgyUGgV=qFu-4of$7w8&h6ym6RRx
z_E;T5bz%<)rbmETr!R~(EeoHdgFdiJxD76@87W80P{B<uZ4(XYf{YW}Vlbjby=U36
zLP|KSskY$-Qd~EDV8f@0$5Q+%<%P#?eWoJ>AX)3v<+4x;b_1TQV9xZ@Bdc|7pfhgC
zr-}AyS#R&9YZF&A3}&Y_V~KXKwL;H_*1PqoIjzDvCrqGhsMhL8h3&KgHZlxH{6T`(
z)odl$Ua=U}w*$nRMg-7Fp_R@Zp&NQWH)(sp_7DW3WGXlbn&ez-AgmPKL`tnR?v{wa
zG7<Jtw4e#MGZD9F&G5O9>|N{3qG=WClY_;?tCXp7yq}%WoI9_dtnKo$T=(E(ve7CB
z(vlHvB{E*o3Ok}wM`sC7g=CA*LW?EaOkl2xyP1@9us{hG?QmwW`-Y3Qh@;th6Ira0
zOjkm>qb}R%PAr`u<fs(}!$BfM#-uR|P$nd&3mUCVFe3EV3$m8VPpsK^m)Dc=B0}5A
znya3g16f|EC<#2Q;WXxX7uL@#RWbt6q61`nNR5YUI<w6A^~%JVlk>z(85cRK0r>oZ
zRRZO6^{%tK0{u$EydGk?h-{!VU0Ll&O2M^K%7Qy>%0Q!t&`tSCBiBNeaei9o;Lbd0
zjdKIi;Z6kGBob2M1<;YyD*dsQC{D7B$E;z{m=cM3JmJ{b-dHCv!Rgbf2Q1?2ur-<X
z^H3wu&;vsg!x+OpG0@I)HdzT<z^vO#xBZbW?x#^N6x4K)DZK_mE_Z(}6dNm`31P)@
zf7N11W5(|-5$<Vg%;;y4j=405Tk)wlA`$&0+m=E^5{I;bNgZ`rTK&+XYbr^A*QDi3
zjjo-p8agdR*K*i!KsE&&vuSK5@nuO{TN&qhE=9qRC?jRN$Jd<Ch9K+@z}#@qO!_mc
z#+1zgV!bj*Pi9dt>!=$hsazc`iN2_g8oNtLBh{=^NFp)y>*KYMIp((5En<q($F0*4
z+tSQQoG8dcFJQ%qrlmIL3DC*1nN_`4hx5+rpiFw#0eV&K%DHyF;WW!rK%~Y@#=@`j
z{if7xJ36Q!Si4+*QuIJJ2SjQ;EoaS87h=JZBAXWOa<S+yu`#DNR8vP!X{o5ckVJWo
zHu`5PL$8*!48kJCnY$2+C+W1o%GkKNUoJYK1Qjop{4i<f3`RR(EMYS+scF?~tB$3w
zUG!p<8FGX9c+-&9)x4ucBV|*u+l<*x&z%|C5~sRxtLzG}zK%WM)ijhsP~tjKLUaY}
zF<oFf1(+I*SD<)dXeIj|B3_CQq58OIu`jdLLc5vuC(=aD+sIl6gq|mh<k(RPud_8x
zm2WROy0_AkoWoE<Mr(L(=2KN&B1!_3r?5t}gGDLK=%7Hoz6|8JaI5L^dy{CoGOl))
zSP}O&s+I^7ld^?c2ryMk{YifvDmOSJkkv(s=1dT(XZr?SINxl!>n2aORZxO$rXS()
z%F^!zmk^8>l|e0%^-L{eI1U2tU@RhJ1tm<nyqs5&CV^3>-Ux7mMGY+J%FDSaJ~LwL
z3A@q|;Eaj~N9X|UCp4Zp%q(Qa&k;<LCyk`v31SqRsjxzhp7u(qiR{w2n+SrynL@i-
zNQq-eto4LZLDw!J%K-xhBA#G$5m0}Q-!wpxDWnu?0)~#W87}JYbvpifByP*QkYz<X
zCkN|M(O4wAZWg6-i%`62t7X?ghqgkN<YJ*S;%nC2#0dbwxlAW5bO#u^S-PDVV-g``
z$MB4fL?RAHY#h<dM90#gkRdzea%%lH76-;gUpKf0ebv#-9V@2d?p6ma0&^tepN3<4
z&ZoMQIxS<Z?KiQJm`j%W?y|}0Z1tQDExfRX+rX?e(jm!qbYN>c<_;=Xn$iB~xLJ^w
z)-V)rP^5PTBob^RkeN+gh`BT>ER)g<p;vWHG}sf^Sba*wIDJY#CcJb@GP@G4NigAa
zx{HLJ)7C?Q;J`I>PT-i-MA|MbV;LDKzCjvo6aTP-_@O)pDR^<R8u-lSIA$fv3o(_3
zQ9<^`5HAeR@MWje59?4@b;25B%U~~*u4|XQs)Q}Ge7!$Xa$Ypwf-RL2D(dNE!n5F6
zD$Al}BNQ@ML%vuh7$AZMJXYaa{XAAl({c}TuV%Vl6>8;l{Y5y+S1iIL9q7u%MaYxr
zw?l)Ru4oIkOBvWqdURonp+%=*!PWE?l)5Ou=9F{9m}xA4%$7zWQR)I~GGMEQyUk+5
zKQcvvY%DPBRs`=t!~je?fl8(Xi#d&U-rQs~SR}ESE~<_)Uu0>$+gcP;HBjG<_CvOE
z!#Okv(}mg)tyQ?bbd2f)Wnwo6V#$QRQs>7tV``(>dKR}p=PP`#T{+$N7U!BuhX0>W
zatY@f0kE5sTyLl2E$ZDBy4;$!C?8}`xjhQns0HdeDBTIVp*ZD=#RxbB<jYw)l`cBw
zB@+X&#^AErjRpYDZ07ROuv21jJQr;k4IN)yg8dqEJqFQfh+L$Sh<n5Zx^rWqYnqeB
z`4seF8C;Ym8X(heR2?D6S+?jxc2CNgE;55yWNxtHs5LgQM}yIMGb1-T?IDxzSgA<U
zX>pVbZrmFwn+@%Nr#{BpN(AI}O2pnzgu+mO!08~cm@gVgx0T37YO<(Z7AiqwFO|#t
zdVqUWti*xb0*q&U=^VXmH$63<b(Cqvn@LD!hOx9pUiRv3wpN1?ikvT|9W7-^KpHn2
zsB>&2l;~HSnUzf#A#v7VL>N=LpB>KGa49*;EIH#!V=^~kvsY))462=3rOvjo7Le2r
zMvYoVT;oJFTX)+7ZZ|@wJASZQWulfuP6Vy?$-pfd()O~UFmYsfUBwl`dpt|lWPQY~
zaq~og7Cog5ndi-meASe&^24IMV$D`v9Tz%K1Im~{(dlV*DmIr^Un*2(jU?NX{d&OP
zOUe3)q1;GT>fMg5kJF_<nJo3iLNTPtGy=oGB&?s<;8=}XxlExjT<q#5j{GdBUux5H
zRGnG6rby2+)2>?X<dO)5#(A@(<l6z+Yr;SkknQb7%+#ugaMg%0S%<a3P=fNbtW|R-
zZuALJ9UZVtDXMD-2XoA@JM*~mE{Jeg=81Nd7V<W%HI~H$?PQrUIKrmzzyjb=yF+L2
zjC0k5NwrbUGRQL5wvML}AFb2$@OCNYE6_S;kg)m<VnZuc5{j*4O(5&cK&Q8*T=W2J
zn;P+mP69j@GrKSwMm5tMPiR|Be(oI2V9644d$a))m0S@Tfff@6a~t$chl4=I;`TPj
zjk%a$bXtYYv!-zh(Rt8fnO;pZRvi`h$@)yKQOCy?Uev-tdFpiKXE9&4#xarbM9eD0
z63z@z3qKjUm?qb(@T`y>c)G1gwA>PENuih)Co#Q7<KcaYwlN3SiS|rU_iOhX;|_Ub
zw#=zD!1D`>QLEEJe3D5y5y?NPk8LvGT9^I(QI9KEyPd3a;nI6b)Do?w;L<o(*EtCN
zLL8Q?a7Y~iQ<Vt_T7zDJn>ch<c!o7V0O81}B!(*e@SM(&G|&s%mHK+9cemGpW+#Ut
z)?_hS49B!>`^2ORgv06VU_#o+NMWjpP^PlYzc2<tJxnSf875V^2VSN6Nhy%6cT&D?
zj_K!&1#`te%i3)-dt%Nz7+Js2Iy%ZKG_bFXg+;nKu11^-fL-*KOKrm3s^{b|=1yaA
zQ!1!!Y8!e81=whYlwh`MO#p+kvL?f}LIf4ibkQQY%x-JDQ|i(KXCjG~95#s&W!4Nh
z3*MTcTbv^8R>9owga#d74C@2|lB(qJjGwd?lw@&;YTEIDVFg93Oq%lJRiNQbgs1t8
zP}VnxkV}14RV2?)F}kKn`ddkdQDa&As@@?p^puE9ZQ^ZcoMMRWVa+h4BssG0v_{)S
zVKHvDlR(_3kq4H6wb08YY=MZSo9~w_Xbu-L^}$dIQIQ0cir4*7aAxJjMWs82vPdS0
zigDh86#y&(^!T7F>FAB1g(B-~n*7}9DOla2MjCo3M=`zZ)<-(FCUu%|(TZxK&0Nq`
z7+C14#>b^JN=TQo^j$>Lq~Kk^rk};ARHt8&P%_vo64P9(!}6hYe?;oBer;mZEbvLH
z8b*4>geToJG@!8&5}2he9?0~^V|C)Ip!T7_rqDTtbcRDdF`Z^p9gsHGyyInm-HOLk
zbE%SU@PR7W=yNjMi&iJm_QJ}PGjc3hCQ$>&aYI7m2fKJSoNY11GM3F4hIKL=bI8UD
zknApK1?X6+aZ}YZ?~hwzzMa*e6ULK+cr40M1#axZm7dO-q)Zwk=iv20wCiY@l%`Ti
zN^X745SMK1+Njse%f0Z-=Te`cJGcl&FpF*3iR4|TbPu$-oCT0K6llBvPMNrjR&tFw
zO4nn$EHJf7G&*FfV=n+}s;Pl%vNZGu9uo)*=e1Ztag((%)=&C6p>(Q<^nw$;HZh$L
zHnTU4uIE9x-@?E&%iDxRag4#Wf--3%QmAPzi7_*%Bc1U<sz0X;T6yUSmR!12Vg<GE
zvWyHlSFwz?fd$r)e1js*rvlY+EXW%WJ*O>8f!t7<mfE>l+#1YM>!!ovs;@O%1+Y&w
zP`g>zcC9hih^XSsCON~Ds3;N?XZP?0*;Qz<QFPeOwaej(G>J2<nb->>T1uVqYesx}
zp&ixeMH_Sx<zYAHFfW(gX?PVcQD!a31!|#K&1|a$jKNGNUJ-dOT2B<sHGVA=IM$aS
z5(6heXDp!Bl`R$Wm13ac6N^65Fo_lg%Z$|XzSSr=6T_1Rn(zcu2pglM-bx77v@?<J
zMuw%OpDXL9$p!{+tfk^m+dJcS6G(QNbGKIjGMd>O!S*y#u~yko9v)F4^)}rQphV2c
z3?<j7B?05K-=PuXQ@x>S)8?v5y5t(q2L_6(&66Xfub7SDa6XAqTD;0N<OD~~obhx9
z^Gt`mv1OHwV-apCXJxxq2@POk9is}F$#_Arp4N~7Q53fuftJjha52fUOLH_hHL^>>
z;A&fp#WJ%bgRRNfo13}Yxy53QCGEZOgr{``D7E1AFzWN0M;;<Dp4S^|8)Y5WsPx?A
z$NQbIhqBdSW5<<Xa_$`NV|z9QwAjk+sT2=JI8A>>=5nBY*<+AwDQ(Rw3zY37`yutp
zq;Qkd)CyxTYLR6D^ONq7VQ6g(TMID~9L|Jpdk9Q5*@~tY^pbOpB^dUjod^i3k3-;C
zim3z<L%W@ep>!uQ?kS9MmJ-V%B#x4cQidoR<6Z4M)Ez~KU9PJyK>c=LRq+h<dAyh@
zSjqZW7`fsVea0H=23j_dfSgc{LIZ`=h^rz!XJcU(Du`5FF8$$vrC7~l?xogAdJMK)
zHZ8+q8fz&%Z?Db;h<wzcM}4KSeLinn{enpty0B@}=WlbRoIYPN67>X`nRy9|e;7nu
z?zIPtQ(n%L^hXT5HCT2#d#i>wo&^hpU^g%IjQ|_(nlqJhRGW<q40-=7_19*~8?NL3
zsXG{Vyk(~Ba*~CNo{p8=;~c`oA*NbPheNs+X|GvZ<A%qllQrmIzN%`x!J;%OXB~}M
z!jsB^wpPbUVi*&&2MxhR$>}VZdq9yP&2%5H;!AUz^A4#%A;Q{GZf3Swl0ra}siArV
zVaCu@9#=^suL~t`&scKudAS&`f_j6-(TXiBR-!Qk5=^sTty0<ykhc(#kg#wV8>;7^
z2>4pVRw{x8y;);*29Jx($Tlk^>$uC$c-CtwVstf2mVSzaD^0fVDR;`GEiyGv;c-6S
zwl$<?F{^WjEp-j2#cczR0#_s`UFd03;qn^p`WHpB5$;VnO2c=OkYLJ2%@t7{5Y|xJ
z8cFj8XIY&g)|#RdFTyTRA7rLAF=@?C)=_AQu1(3-Ea~)Cy!n&`Uci&8g=3Q}KlG2x
zp>$}P7cGe2-{EI#mraw2^cO9gzt`4ksZp?7!Q!i)*lytwlS?89B;6T+Qbil`N6dzm
zel9URBPz*j$k220k(iOm^&F8ZJRL^M*?@Pg?#&yYmzrW!DSIaccU6~%TbjhYGONy~
zwT?O06(eOw+m(u0@Cw4)LnNxH<c)~V+wA%zW7=F|oU$(u`8u8yOXB<hSf+hlK+)vo
zP`earNSgU5><o>=U^U3*CKe#l?HS-<-P2=0eZ*r;W-47G?26J_Xw;6`v?UZUwvB``
zgJR8CUUrzUssI|+@vs?76|zwjujDJK{-UHUcRhqejHsEv9Z8OXvB}~YvEicL>7qgs
zXrOE(rcE1Ky6B<;$5U>EofrG=Y`tb#)!I{esk*_eG+0>7)MxtKI1y^OhB1~Wqi#P8
zWsvSr$Or1~Ay)u3UK++r3y$vKs7*T#jl8o)ZsDt1d1u~?hLmO7jDuanR2~*ukZWS@
z43lGh2(49vl(fpxbdd5!BPIsLMtwYHF3^eavc~q1gb|#Wc#BmCwi;OmrbkiPM-^Mz
z1(7v68@`pXR7hzmQ~k(QS4)zkQaHc|n0d!si1y(|z8)VN{cW~_rwoBLt~A0aw;zZ=
zSZ!z>Q;rm&$-q!Nnzk2!;Zl>q7DQ+?5T{6R5TpBTq)x-^ETPlSv=VQ2f*E(*J1}HH
zhe<PXEi0u=jV{n6>H+kn86m|jwyd@`iSZRJ*COIId_ow;?$w%Zrbl8fS{}~1Hf%t-
zP$wEH6E+7y1$~Hm%jh=2ur3uVb!JApuR_`3l$@=)bEC*Cnp2!*kg8>r+*l%$)p>5H
z*w=Vq>0xqZx>oILh2*+3%X+*XlfI~*!e)p-0FT;%J65^ZRm1?{4WzmN;_}3Eq9&^w
z>Qg@N$kv!RI>AUXFvIPvF;JuOMJ=iIqnxKhc2_BK08#p-v&A`60%ij%*wP2n&8c4w
zFiK()X!cN@Hlx^U8PqLTD0QSa_6`0*XkwJO0mb#k&89|m^-1ueQ1|JAW_~&FAwl12
z=&dw6O0gYtAkKllYJk!(QS%e!Wh*m?w3oJ#-P7be`k96idAr@hR8SL9=*Q$Vf~nV8
zy{`JE=S82R*GgJN0dsU4ta`CA!`aF-kGXmi_k_R&W=PBl(dZreJ!GY5FhnM^9^~y#
zI{sEEraEKjfRasM2K5oV(Lu~MPSghS>WKhKDCT0^a?0<Nv$j&)UodyU87L0YiqsHT
zMl3Z+n~{aP^_n#^W0JG-!qp`N2?;c0ep&b897hGsC8IR(O;y+OEQorHkh7Xx)MD!6
zm!0mGo$&zC@Y`fVZsHML4!}L(dO&0a6;;piIH^9qF|fv7HUe$`v}i|qeH>_{`uYrB
z_9gs|K%H!vo01HHSPCl91+j*+i*(yaRw^P`MmV8OPr3#J!)VrmXXS7Ri5$YpD<EI-
zkgnMzSuEhS8dG&rP%x~wX1a!=g-%zedf4gh63EJpq`TPCr1+UIYaM!+RJjq;7G0zK
z*ze5ca~v~a63wX(D9+?0okKcl6C9x;9fdXZ0V&vM#Bxw5-is?^dyb)5GKS9>bCx8>
zogC1IoL<mt;|x@3wOEfGP(bO1<TN$pHSK-`nD%<CFP}m}1$W3EW>KkIAQSNsH-_T6
zMyZhthfM6k=Pdzwjb_0F4820S)EtB&L_m~tLKw#?qg-LCMJ3L!iKf?m&XiB{QEVCq
zkXl`x!&ZrD(KJC)#;Da5(ej>10@gN@U`)2Tbb5VNO5@9Fqi^A5uxfFR9eC54@2B0t
zmbN91JW{HhcUZV(cQ_i^hT_8PK`eBCK6b@Pu<fRDhGn1iW^(n?Y%xoLVB1h<%TZw=
z6cNAELG+9X>ljJb2F~%^Y{TgC!Xz6JJ=>`f1tl`@(W=uv8Kq3&B^?Oma|2(8lv($n
zNjI{w#ysK$OB3~&MvCe$)r7%8%$V$}^IWt>WN=+0F-v+XRxH~$t?;qcLn@l4ZsZ@g
z$9{vmSHj^Minib>J=5k2GZl?y&y=yA7|RCN=2*b$wSum6RG^(RuY$HKvf1DlmMOAP
zB50qVjX(v;kq-wXjfaHbrGkJ-A`C7QBUozdOsRCqjWx6B3N@6Sv1)3P*1G2qCUqvf
zu{W5h?xR$XK=OLhHOQ}oX_zwu(^hL$uG?}nQVIo)-gz;QaRqP)pBHf2q4Pp`i1K1^
zI^`o%uF=Gu5Dh-VctE;(^{$u+tKZwi!@4<+Rg)DdoFo$cxt8m!J3u9*1lKLW<i-_l
zSR4-WN<=cq(Ofn&2ehh-f%FL=F@u{EU#}%nK|X;Fx~gvlu3!{ngjcq31~*T~ruC}r
zBhyiyLmKU_L5ahd)+PqJHUp0~!a)El(ayG$1h`2RH9_(+JT9OjUq{o9LZYAbca=Qf
zZAZ{rc(^d-O0mB-o7|8f{7+|-DEdZi0YC4-O$*w<bk<;NhOPoh1M4Wze7cn^^NP;F
z<n=PQhL;wz*s@e?z@W=Stt-u>w-^jt1UVCnl8>%tWwxWibucg_IGJ;`aP=!D*uha0
zyN*s7LCXcAAPQOw9(I7`&18tk)CDg)>C&OLxz+1CiM}5a#)3T!C<!yI>J{uJWh?@f
z8Wix?(gr+i59>w5?T#l(LzF17CPP109?d+%rpe=v#fN=PvGYUqOY-)NuF{Hb&@I_r
zf2H9*v=GEC@HW)BMOBUb`LoT5;~2h8-1e6=r>X?m_-vd0B@MyenucPku5!P84u|Rz
z-!E-LjktdriN7Tu0^@JVr>aj?9m$*QVK}lOb=ogY)iCX!<|G}e<mt`%2!h<dEa4=H
z{p+I6V-Zz!^`^1}iK|lA{nA{RDv*3r8lnnzRQ=ZeX)fd~X-))HyYa^7wRT2e=Z4&N
z|1@I%<52UF$bNM}V3!l#zb*)>R%SnY2#%;K-@oi*wcsULSZwilwm`Aawk>rJjElTe
z#6+0yB3+^1?V=7B;q37OjP+5M(DVKGIhtE^+g=xB4TPz%P&HxwO=(tN>8&S%DlW3w
zw)G`dxu)u{UYBT@wy4#ZipsW4xms=ulv9+|wvCgqO^xKGQ-zJr>+@|{uK2}jvpXXQ
Pu1<co=yc(9WXpd7@=-|Q

literal 0
HcmV?d00001

diff --git a/projects/mmfb/yuri-vitalievich.md b/projects/mmfb/yuri-vitalievich.md
index 1764d9a..1482991 100644
--- a/projects/mmfb/yuri-vitalievich.md
+++ b/projects/mmfb/yuri-vitalievich.md
@@ -1,14 +1,21 @@
 # ММФБ — ПК Юрия Витальевича
 
 ## Hostname
-`DESKTOP-UFULDJQ`
+`DESKTOP-UFULDJQ` — HP ProBook x360 440 G1 (2018)
 
 ## Доступ
-- **NetBird:** `100.70.173.66`
-- **ОС:** Windows 10 Pro 22H2 (build 19045.6456)
-- **Пользователь:** `claude` / `Kl@udeD1ag!2026`
-  - Группы: Администраторы, Пользователи удалённо
-- **WinRM:** HTTP 5985, Basic + AllowUnencrypted
+- **NetBird:** `100.70.173.66`, в группах: `Lion ART`, `All` (был в `Trance` 2026-04-29 ~1ч для обхода MS геоблока при апгрейде Win11, после убран — трафик снова через WAN MikroTik LionART 195.26.30.163)
+- **ОС:** **Windows 11 Pro 25H2 (build 26200.8037)** — апгрейд 2026-04-29 в 01:35
+- **Пользователь Claude:** `claude` / `Kl@udeD1ag!2026` (Администраторы + Пользователи удалённо)
+- **WinRM:** HTTP 5985, Basic + AllowUnencrypted (выжило апгрейд)
+- **AnyDesk:** ID `699349099`, пароль `1qaz!QAZ` (unattended, v9.0.10) — backup; конфиг выжил апгрейд
+- **Юзер ПК:** `Юрий` (профиль `C:\Users\Юрий`, SID `S-1-5-21-740515355-1758947854-3024202559-1001`)
+- **Scheduled task `WinRM-Persist`:** at boot + every 5 min, restores WinRM/firewall/LATFP=1 (страховка после Win11)
+
+## Microsoft 365
+- **Логин:** `mmfb@7ppcln.onmicrosoft.com`
+- **Пароль:** `Gow18155`
+- Лицензия: Office 365 ProPlus
 
 ## Подключение с Mac
 ```bash
@@ -20,65 +27,118 @@ print(r.std_out.decode('cp866', errors='replace'))
 "
 ```
 
-## Настройка (2026-04-24)
-1. Создан юзер `claude`, добавлен в Administrators (SID S-1-5-32-544) и Remote Desktop Users (SID S-1-5-32-555).
-2. `winrm quickconfig -force` — запущена служба WinRM.
-3. `Set-NetConnectionProfile -NetworkCategory Private` — сеть в Private (иначе firewall блокировал WinRM).
-4. `winrm set winrm/config/service '@{AllowUnencrypted="true"}'` + Basic auth.
-5. Firewall rule `WinRM-HTTP` на порт 5985.
-6. `LocalAccountTokenFilterPolicy=1` в реестре — снимает UAC remote restriction для локальных админов.
+Для русских путей и вывода — через UTF-8:
+```python
+import base64
+r = s.run_cmd('powershell', ['-NoProfile', '-EncodedCommand', base64.b64encode(ps.encode('utf-16-le')).decode()])
+print(r.std_out.decode('utf-8', errors='replace'))
+```
 
 ## Грабли
-- На русской Windows группа "Администраторы", а не "Administrators" — `net localgroup Administrators claude /add` не работает, нужно `Add-LocalGroupMember -SID S-1-5-32-544 -Member claude`.
-- Без `LocalAccountTokenFilterPolicy=1` локальные админы получают 401 по WinRM.
-- Если сеть "Общедоступная" — WinRM firewall-rule не создастся, нужно перевести в Private.
-- В `C:\Users\Юрий` есть junction loop (`Local Settings` → `AppData\Local`, `Application Data` → сама себя) — рекурсивный поиск видит одни и те же файлы через сотни путей. Именно на этом cleanmgr зависает.
+- **На русской Windows группа "Администраторы"**, а не "Administrators" — `net localgroup Administrators claude /add` не работает, использовать `Add-LocalGroupMember -SID S-1-5-32-544 -Member claude`.
+- **`LocalAccountTokenFilterPolicy=1` обязателен** — без него локальные админы получают 401 по WinRM.
+- **Сеть должна быть Private** — иначе WinRM firewall-rule не создаётся.
+- **Junction loop в `C:\Users\Юрий`** (`Local Settings` → `AppData\Local`, `Application Data` → сама себя) — рекурсивный поиск видит одни файлы через сотни путей. На этом зависает cleanmgr.
+- **Cleanmgr через WinRM зависает** — использовать прямые PowerShell-команды.
+- **Setup.exe Office из SYSTEM-сессии (Scheduled Task) блокируется Kaspersky Endpoint Security** — запускать из интерактивной сессии Юрия (батник на Рабочем столе → ПКМ → Запуск от имени админа).
+- **Microsoft CDN блокирует Office C2R-bootstrapper из РФ** (RegionalBlocks, GeoID=203). Решение: качать `.img` напрямую с `officecdn.microsoft.com/db/<id>/media/ru-ru/O365ProPlusRetail.img` (HTTP-файл, без geo-проверки) и ставить из локального образа с `<SourcePath>` в config.xml.
 
-## Очистка диска 2026-04-24
+---
 
-**Было:** 44.7 GB свободно (19%) **Стало:** 59.98 GB (25%), освобождено 15.3 GB.
+# Что сделано (2026-04-24…26)
 
-Сделано:
-- Кэши Chrome/Yandex/Edge: -2.48 GB
-- Windows Temp, WU cache, Prefetch, Temp юзеров: -2.07 GB
-- DISM /StartComponentCleanup /ResetBase: -0.03 GB (WinSxS был чистый)
-- `powercfg /h off` → hiberfil.sys удалён: -8 GB
-- C:\SWSETUP удалён: -3 GB
+## 1. Очистка диска
+| До | Стало |
+|---|---|
+| 44.7 GB свободно (19%) | **75.8 GB (32%)** |
 
-Cleanmgr через WinRM зависает — использовать прямые PowerShell-команды.
+Освободили **31 GB** через:
+- Кэши Chrome/Yandex/Edge: −2.48 GB
+- Windows Temp + WU cache + Prefetch + Temp юзеров: −2.07 GB
+- DISM /StartComponentCleanup /ResetBase: −0.03 GB
+- `powercfg /h off` (hiberfil.sys): −8 GB
+- C:\SWSETUP (старые драйверы HP): −3 GB
+- Перенос PST-архивов на USB-диск D: −22.7 GB
+- Удаление Office 365 .img после установки: −5 GB
+- Удаление Office 2007: ~−1 GB
 
-## Outlook PST — план на вечер
+## 2. Снос устаревшего/уязвимого ПО
+- **Office 2007** (EOL 2017, 15 компонентов через msiexec)
+- **WinRAR 4.10** (CVE-2023-38831, RCE)
+- **HP Velocity, HP Connection Optimizer, HP JumpStart Bridge/Launch, HP Customer Experience, HP Notifications, HP Registration Service, HP ePrint SW × 7 дубликатов**
+- Adobe Flash Player 26 — в реестре отсутствовал (ранее удалён)
 
-**Нашёл 5 PST в `C:\Users\Юрий\AppData\Local\Microsoft\Outlook\`:**
-- archive1.pst — 16.42 GB (активный, сегодня)
-- archive3.pst — 6.27 GB (активный, сегодня)
-- Outlook.pst — 4.93 GB (основной ящик)
-- archive.pst — 0.03 GB (мёртвый, 2021-11-29)
-- archive2.pst — 0.03 GB (мёртвый, 2022-02-07)
+## 3. Перенос почты Outlook (27 GB)
+- **archive1.pst (16.42 GB)** → `D:\Outlook Archives\archive1.pst`
+- **archive3.pst (6.27 GB)** → `D:\Outlook Archives\archive3.pst`
+- archive.pst (30 MB, мёртвый 2021) → удалён
+- archive2.pst (30 MB, мёртвый 2022) → удалён
+- **Outlook.pst (4.95 GB)** — оставлен на C: (активный ящик)
 
-**Критично:** Outlook 2007 ломается при PST > 20 GB. archive1.pst = 16.4 GB, до лимита 3.5 GB.
+USB-диск: **Transcend StoreJet 932 GB**, NTFS, монтируется как D:.
 
-**USB-диск подключён:** D: Transcend StoreJet 932 GB (свободно 366 GB).
+## 4. Установка Office 365 ProPlus
+- Скачан образ `O365ProPlusRetail.img` (4.95 GB) с officecdn.microsoft.com (после блокировки C2R-bootstrapper)
+- Установлен из локального образа с конфигом ODT (RemoveMSI, ru-ru+en-us, исключены Groove/Lync/Bing/Teams)
+- **Версия:** Office 16.0.17928.20148
+- Активирован Юрием через mmfb@7ppcln.onmicrosoft.com
 
-**План (когда Юрий приедет вечером 2026-04-24):**
-1. `Stop-Process OUTLOOK -Force` через WinRM
-2. `robocopy` archive1.pst и archive3.pst → `D:\Outlook Archives\` с проверкой размеров
-3. Удалить с C: все 4 архивных PST (archive, archive1, archive2, archive3)
-4. Оставить на C: только `Outlook.pst` (активный ящик)
-5. Запустить OUTLOOK.EXE обратно
+## 5. Артефакты на ПК
+- **На Рабочем столе Юрия:** `Инструкция_по_почте.txt` — как работать с PST-архивами на USB
+- USB-диск Transcend сейчас **отсоединён** (норма для схемы "архивы по требованию")
 
-**После операции:**
-- Освободим на C: ~22.7 GB → станет ~82 GB свободно (35%)
-- Юрий при первом старте Outlook получит 4 диалога "файл не найден" — жмёт Отмена
-- Один раз: Файл → Управление файлами данных → выделить серые архивы → Удалить (убирает из профиля)
-- По необходимости: подключает D:, Файл → Открыть → Открыть файл данных → `D:\Outlook Archives\archive1.pst`
+---
 
-**Рекомендации на потом:**
-- Windows 10 22H2 EOL 14.10.2025 — апгрейд до Win 11 (i5-8250U ставится обходом)
-- Office 2007 EOL 2017 — заменить на LibreOffice или новый Office
-- WinRAR 4.10 — CVE-2023-38831, обновить до 7.x
-- Adobe Flash Player 26 — удалить (EOL 2020)
-- +8 GB SODIMM DDR4-2400 (~2500₽) → 16 GB RAM (сейчас 8 GB, свободно 1.1 GB)
-- 4 VPN-клиента (AmneziaVPN, OpenVPN Connect, NetBird, Happ) — уточнить что реально нужно
-- HP-bloatware: HP Velocity, Customer Experience, JumpStart, Audio Analytics — снести
-- 6 дубликатов HP ePrint SW
+# Апгрейд Win10 → Win11 25H2 (2026-04-29)
+
+**Время:** ~1 час всего, начиная с 00:55.
+
+## Что было сделано
+
+1. **Pre-flight check** — TPM 2.0 ✅, Secure Boot ✅, UEFI ✅, i5-8250U (8th gen, в офиц. списке Win11) ✅, 7.9 GB RAM, 77 GB free
+2. **WinRM-Persist scheduled task** (at boot + every 5 min, SYSTEM, Highest) — восстанавливает WinRM/Firewall/LATFP=1, если апгрейд их сбросит
+3. **AnyDesk пароль** `1qaz!QAZ` (ID 699349099) — backup access
+4. **NetBird → Trance group** — добавлен через API, чтобы получить exit-node `finland5870.com` (route 0.0.0.0/0). Без этого Microsoft возвращал геоблок 715-123130 для Fido/Installation Assistant.
+5. **Fido через Финку** → прямой URL Win11 25H2 RU x64 ISO (~7.6 GB)
+6. **Скачивание ISO** через scheduled task SYSTEM + WebClient (BITS зависал в Suspended) — 14 мин avg 9.4 MB/s
+7. **Mount + setup.exe** через scheduled task SYSTEM с ключами `/auto upgrade /quiet /eula accept /dynamicupdate disable /compat ignorewarning /copylogs C:\win11upg\setup-logs`
+8. **Phase 1** — 32 мин (preparation/copy)
+9. **Reboot + Phase 2 + Reboot** — 5 мин 15 сек (быстро, ничего лишнего без `/dynamicupdate`)
+
+## Что НЕ сработало (архивно)
+
+- **Installation Assistant headless** — UpgraderApp в session 0 виснет на 0 TCP-соединений. В session 1 (Юрий через `LogonType=Interactive`) — то же самое (геоблок MS поверх). 
+- **Fido без VPN** — Microsoft 715-123130 region block.
+- **BITS** через WinRM — Job создаётся в `Suspended`, `Resume-BitsTransfer -Asynchronous` не сдвигает (требует interactive context).
+
+## Что выжило апгрейд
+
+WinRM (Basic, AllowUnencrypted=true), `LocalAccountTokenFilterPolicy=1`, firewall WinRM rules, claude в Administrators, NetBird config + сервис, AnyDesk service.conf (pwd_hash сохранился), Office 365 (16.0.19929.20090), все драйверы.
+
+## Очистка после апгрейда
+
+- `C:\Windows.old` 28.9 GB — удалить через Storage Sense / DISM `/Online /Cleanup-Image /StartComponentCleanup` после визуального ОК Юрием (10 дней автоудаления тоже сработают)
+- `C:\win11upg` 8 GB — Win11.iso, Fido.ps1, Installation Assistant, setup-logs, dl.log — можно сразу удалять
+- Scheduled tasks: `Win11Setup`, `Win11ISO-DL`, `Win11IA-User` — удалить
+- `WinRM-Persist` task — оставить как страховку или удалить (опционально)
+- **Решить про Trance:** оставить exit-node Финка постоянно или вернуть прямой выход
+
+---
+
+# Рекомендации на потом
+
+| Что | Зачем | Сложность |
+|---|---|---|
+| ~~Апгрейд до Win 11~~ | ✅ Сделан 2026-04-29 — Win11 Pro 25H2 build 26200.8037 | — |
+| +8 GB SODIMM DDR4-2400 (≈2500₽) | RAM 8→16 GB резко ускорит работу | Лёгкая (2 слота, до 32 GB) |
+| Уточнить 4 VPN (Amnezia, OpenVPN, NetBird, Happ) | оставить нужный, остальные снести | Лёгкая |
+| Бекап D:\Outlook Archives на другой носитель | страховка от потери 22 GB почты | Лёгкая |
+| Outlook → Файл → Управление файлами данных → удалить серые archive1/archive3 из профиля | убрать диалоги "файл не найден" при старте Outlook | Юрий сам, 30 сек |
+
+## Power-настройки (2026-04-24, для скачивания Office)
+- `standby-timeout-ac/dc 0` — сон отключён
+- `monitor-timeout-ac 0` — экран не гаснет
+- `hibernate-timeout-ac 0` — гибернация отключена
+- `LIDACTION 0` — закрытие крышки ничего не делает
+
+Если Юрию неудобно — вернуть штатные значения через `powercfg /change` или Параметры → Питание.
diff --git a/snippets/amnezia-vpn-client-instruction.md b/snippets/amnezia-vpn-client-instruction.md
new file mode 100644
index 0000000..52d8108
--- /dev/null
+++ b/snippets/amnezia-vpn-client-instruction.md
@@ -0,0 +1,61 @@
+---
+date: 2026-04-24
+type: snippet
+tags: [vpn, amneziavpn, client, instruction]
+---
+
+# Инструкция для клиента: подключение через AmneziaVPN
+
+Готовый текст для отправки клиенту. Конфиг-файл `<имя>.vpn` или QR — из `assets/`.
+
+---
+
+## 🛡️ Подключение к VPN (AmneziaVPN)
+
+**1. Установите AmneziaVPN:**
+
+- 📱 iPhone / iPad: https://apps.apple.com/app/amneziavpn/id1600529900
+- 🤖 Android (Google Play): https://play.google.com/store/apps/details?id=org.amnezia.vpn
+- 🤖 Android (прямой APK): https://github.com/amnezia-vpn/amnezia-client/releases/latest
+- 💻 Windows: https://github.com/amnezia-vpn/amnezia-client/releases/latest
+- 🍎 macOS: https://github.com/amnezia-vpn/amnezia-client/releases/latest
+- 🐧 Linux: https://github.com/amnezia-vpn/amnezia-client/releases/latest
+
+Если приложения **нет в российском App Store** — см. [[apple-id-us-on-russia]] (зайти в App Store под американским Apple ID).
+
+**2. Импорт конфига:**
+
+У AmneziaVPN **QR в Happ-стиле не работает** (конфиг слишком длинный — QR получается нечитаемым). Используй ссылку или файл.
+
+- **Ссылка** `vpn://…` (пришлю) — тапнуть по ней в мессенджере на телефоне, AmneziaVPN перехватит. Если не перехватил — скопировать ссылку → в AmneziaVPN: `+` → **«Из буфера обмена»** / **Import from clipboard**.
+- **Файл** `<имя>.vpn` (альтернатива) — открыть через «Файлы» / проводник → «Открыть в AmneziaVPN» → профиль добавится сам.
+
+**3. Подключение:**
+
+В AmneziaVPN на главном экране — большая кнопка включения. При первом запуске разрешите создание VPN-профиля в системе.
+
+Проверить IP: https://2ip.ru — должен показать страну сервера-выхода.
+
+---
+
+### Поделиться с другим своим устройством
+
+Чтобы не просить новый ключ — AmneziaVPN умеет делиться профилем:
+
+- **iOS/Android:** тап / долгое нажатие на профиль → «Поделиться» / «Share connection» → получить `vpn://…` → переслать себе (TG «Сохранённые», почта, заметки).
+- **Windows/macOS:** шестерёнка рядом с сервером → «Поделиться соединением».
+
+На втором устройстве: установить AmneziaVPN → «+» → «Импорт из буфера обмена».
+
+### Если не работает
+
+- Android: выключить «Экономия батареи» для AmneziaVPN — иначе система обрывает туннель
+- iOS: «Настройки» → «VPN» — должен быть активный профиль AmneziaVPN; если нет, удалить и импортировать заново
+- Перезапустить приложение, затем само устройство
+
+### Чем отличается от Happ
+
+- **Happ** — клиент протокола VLESS/Reality (через XRay). Хорош тем, что работает на Finland-сервере где уже поднят Reality.
+- **AmneziaVPN** — клиент AmneziaWG / OpenVPN / Cloak. Работает там где поднят Amnezia-сервер (в т.ч. можно поднять свой — инструкция в amnezia.org).
+
+Для одного клиента **достаточно одного** из них, кто работает на вашем сервере.
diff --git a/snippets/apple-id-us-on-russia.md b/snippets/apple-id-us-on-russia.md
new file mode 100644
index 0000000..330658e
--- /dev/null
+++ b/snippets/apple-id-us-on-russia.md
@@ -0,0 +1,61 @@
+---
+date: 2026-04-24
+type: snippet
+tags: [apple, appleid, vpn, ios, macos]
+---
+
+# Американский Apple ID на российском iPhone / iPad / Mac
+
+Нужен чтобы скачивать **AmneziaVPN, Happ, Instagram, TikTok** и прочие приложения, убранные из российского App Store. Предполагается, что **US Apple ID уже куплен/создан** и пароль + резервные данные на руках.
+
+## Главный принцип
+
+Менять аккаунт надо **только в App Store**, НЕ трогая iCloud. Тогда вся почта/фото/контакты останутся на российском ID, а US ID используется только для загрузки приложений.
+
+## Порядок на iPhone / iPad
+
+1. «Настройки» → ваш **RU Apple ID** сверху → прокрутить вниз → **«Медиа и покупки»** → **«Выйти»**.
+   ⚠️ НЕ нажимать «Выйти» вверху на самом Apple ID — это выкинет из iCloud и сотрёт локальные iCloud-данные, если дисковый кэш настроен плохо.
+
+2. Открыть **App Store** → тап по иконке профиля в правом верхнем углу → **«Войти»** → ввести **US Apple ID** + пароль.
+
+3. Подтверждение 2FA — код придёт на то устройство/номер, что привязан к US ID. Если номер российский — обычное SMS; если привязан US-номер, нужен либо виртуальный номер (сервисы типа grizzlysms.com, TJ ≈ $0.43), либо заранее настроенная альтернатива.
+   - **В случае Ярослава (2026-04-24):** trusted номер — у Олега, **заканчивается на `...70`**. Ярослав при входе выбирает из списка номер на `...70`, Олег получает SMS и вручную пересылает код Ярославу.
+
+4. В App Store убедиться, что регион внизу — **United States** (прокрутить в самый низ экрана «Поиск» или «Сегодня»).
+
+5. Скачать нужные приложения (AmneziaVPN, Happ и т.д.). Иконки обычных RU-приложений при этом не пропадают — просто обновляться через US ID они не будут.
+
+6. (опционально) После скачивания можно вернуться в RU Apple ID в «Медиа и покупки» — приложения, уже скачанные из US, **продолжат работать**, но обновления для них появятся, только когда снова войдёшь в US ID.
+
+## Порядок на Mac
+
+1. App Store (через Dock / Launchpad) → в левом нижнем углу на имени аккаунта → **«Выйти»**
+2. Войти под US Apple ID в том же App Store
+3. Скачать приложения
+4. (опционально) Выйти и вернуть RU ID
+
+iCloud / Настройки → Apple ID на Mac — не трогать.
+
+## Частые ошибки и нюансы
+
+- **Способ оплаты «None»**. При первом входе US App Store иногда требует принять новые правила и выбрать способ оплаты. Выбрать **None** (или «Нет»). Если такого пункта нет — Apple определил «подозрительный» адрес, см. следующий пункт.
+- **Адрес**. US ID требует реальный US-адрес. Если его нет — ставить любой рабочий (штат без налога на приложения — Oregon, Delaware, Montana — чтобы не получать комиссию на платные покупки). Реальный номер US-телефона не обязателен, если 2FA завязан на trusted device.
+- **Apple Pay / платные подписки**. С RU-картой в US-аккаунте работать **не будут**. Для платного покупать iTunes gift card US через редкомпилейшн-магазины.
+- **iMessage и FaceTime**. Останутся на RU Apple ID и RU номере — US ID для App Store их не трогает.
+- **iCloud Drive**. Ни в коем случае не входить в iCloud под US ID — это может смержить/потерять данные. App Store и iCloud — разные логины в настройках.
+- **Семейный доступ**. US ID нельзя добавить в RU Family Sharing и наоборот. Каждый аккаунт существует отдельно.
+
+## Если всё таки захотел переключиться полностью на US iCloud
+
+Это **не нужно** для скачивания VPN-приложений. Если всё же: сперва сделать полный бэкап RU-аккаунта (iCloud фото выгрузить локально, контакты экспортировать как `.vcf`), потом выйти из RU ID на устройстве, войти в US ID. Обратный путь — с потерями.
+
+## Связь с VPN-учётом
+
+В [[../projects/dttb/vpn-clients]] есть колонка «Заметки». Если клиент столкнулся с тем, что приложения нет в RU App Store — поставить там `нужен US ID` и при выдаче доступа приложить ссылку на этот файл.
+
+## Ссылки
+
+- AmneziaVPN (US App Store) — https://apps.apple.com/us/app/amneziavpn/id1600529900
+- Happ Proxy Utility (US App Store) — https://apps.apple.com/us/app/happ-proxy-utility/id6504287215
+- Оригинальный гайд Apple по смене региона (рус) — https://support.apple.com/ru-ru/HT201389 (не нужен если просто переключать App Store)
diff --git a/snippets/clients/yaroslav-amnezia-setup.md b/snippets/clients/yaroslav-amnezia-setup.md
new file mode 100644
index 0000000..3237527
--- /dev/null
+++ b/snippets/clients/yaroslav-amnezia-setup.md
@@ -0,0 +1,169 @@
+---
+date: 2026-04-24
+type: snippet
+tags: [vpn, amneziavpn, client, yaroslav]
+---
+
+# Ярослав — подключение AmneziaVPN
+
+Клиент технически слаб. **Основной канал доставки** — Telegra.ph-страница (Telegram рендерит через Instant View, тап по код-блоку = копирование):
+
+- **https://telegra.ph/Nastrojka-VPN-04-24-2** — всё внутри: пошагово iPhone/Android/Win/Mac, Apple ID и VPN-ключ в `<pre>` блоках
+- Редактировать страницу: https://edit.telegra.ph/auth/f1tfgzYpPpGlAr7cYHRzSeH59fYuNVB2V3fbCdypDc (access token в [[../../projects/dttb/credentials]] → Telegra.ph)
+
+Запасной вариант — отправить тремя сообщениями (ниже в файле):
+1. Инструкция (markdown ломается в TG — не лучший вариант)
+2. Apple ID (логин + пароль)
+3. Ключ `vpn://…`
+
+Данные:
+- Apple ID: `hbuggle819@icloud.com` / `App5870w` (см. [[../../projects/dttb/credentials]] → «Apple ID (США)»)
+- 2FA: номер Олега `...70`, Олег получает SMS и пересылает код вручную
+- Ключ: `vpn://AAAIYXjanV…VC9O` — полный в сообщении 3 ниже
+
+---
+
+## 📩 Сообщение 1 из 3 — инструкция
+
+Привет! Я пришлю 3 сообщения: **инструкцию** (это), **Apple ID** (скопируешь и введёшь) и **ключ VPN** (тоже скопируешь). Не торопись, делай по шагам.
+
+---
+
+**📱 Если у тебя iPhone или iPad**
+
+**Шаг 1. Выйти из своего Apple ID в App Store.**
+Это нужно только чтобы скачать приложение. Твои фото и контакты никуда не денутся.
+
+- Открой **«Настройки»** (серая шестерёнка).
+- Наверху нажми на **своё имя**.
+- Пролистай вниз до строки **«Медиа и покупки»** → нажми на неё.
+- В появившемся окошке нажми **«Выйти»**.
+
+⚠️ **Важно!** Не нажимай «Выйти» в самом верху на своём имени — это не то. Выходишь **только** в разделе «Медиа и покупки».
+
+**Шаг 2. Войти в американский Apple ID.**
+
+- Открой **App Store** (синяя иконка с буквой А).
+- В правом верхнем углу — кружок с силуэтом → нажми.
+- Нажми **«Войти»** или **«Использовать другой Apple ID»**.
+- Введи логин и пароль из **сообщения 2**.
+
+**Шаг 3. Подтверждение входа.**
+
+Apple спросит, куда отправить код. Появится список номеров.
+→ Выбери номер, **который заканчивается на ...70** (это мой).
+→ Я получу SMS и сразу пришлю тебе цифры.
+→ Введи их.
+
+Готово — App Store стал американским.
+
+**Шаг 4. Скачать AmneziaVPN.**
+
+В App Store в строке поиска набери **AmneziaVPN** → нажми «Загрузить».
+
+**Шаг 5. Вернуть свой обычный Apple ID (необязательно, но рекомендую).**
+
+Повтори Шаг 1, но в конце войди под своим прежним ID. Приложение останется, обновления будут от меня.
+
+---
+
+**Шаг 6. Подключить VPN.**
+
+- Открой мне сообщение 3, зажми пальцем ключ `vpn://...` → **«Копировать»**.
+- Открой **AmneziaVPN**.
+- Нажми **«+»** (или «Добавить сервер»).
+- Нажми **«Вставить из буфера обмена»** (варианты надписи: «Import from clipboard», «Из буфера обмена»).
+- Сервер добавится сам.
+
+**Шаг 7. Включить.**
+
+На главном экране AmneziaVPN — **большая круглая кнопка**. Нажми.
+
+Всплывёт окошко «Разрешить подключения VPN» → **«Разрешить»**. Введи пароль от телефона если попросит.
+
+Кнопка станет **зелёной** (или сменит надпись на «Подключено»). VPN работает.
+
+**Шаг 8. Проверить.**
+
+Открой в Safari https://2ip.ru
+Должна показаться **другая страна** (не Россия). Значит всё.
+
+---
+
+**💻 Если у тебя компьютер (Windows или Mac)**
+
+Apple ID не нужен. Просто:
+1. Скачай AmneziaVPN: https://github.com/amnezia-vpn/amnezia-client/releases/latest (файл `AmneziaVPN_x64_*.exe` для Windows или `AmneziaVPN.dmg` для Mac).
+2. Установи, открой.
+3. Скопируй ключ из сообщения 3.
+4. В программе: «+» → «Вставить из буфера обмена».
+5. Нажми большую кнопку включения.
+
+**🤖 Если у тебя Android**
+
+Apple ID не нужен. Просто:
+1. Открой Google Play, найди **AmneziaVPN**, установи.
+   (Если в Play нет — скачай APK: https://github.com/amnezia-vpn/amnezia-client/releases/latest)
+2. Скопируй ключ из сообщения 3.
+3. В AmneziaVPN: «+» → «Вставить».
+4. Нажми большую кнопку включения.
+
+---
+
+**📲 Хочешь поставить на второе своё устройство?**
+
+Не проси у меня — AmneziaVPN сам делится:
+
+1. В AmneziaVPN **на рабочем устройстве** нажми на сервер → иконка «i» / «Подробнее» → **«Поделиться подключением»**.
+2. Получишь ссылку → отправь себе в Telegram «Избранное» или на почту.
+3. На втором устройстве установи AmneziaVPN → скопируй ссылку → «+» → «Вставить».
+
+---
+
+**❓ Если что-то идёт не так**
+
+- **Не пришёл код от Apple** — напиши, перевышлю.
+- **Кнопка в AmneziaVPN не зелёная, пишет «ошибка»** — закрой приложение (свайпни вверх), открой снова. Не помогло — перезагрузи телефон.
+- **Android**: если VPN отваливается — «Настройки телефона → Приложения → AmneziaVPN → Батарея → Без ограничений».
+- **iPhone**: если пишет «Профиль VPN не найден» — «Настройки → Основные → VPN и управление устройством». Если профиль AmneziaVPN там есть, удали его, вернись в AmneziaVPN и снова нажми «+» → «Вставить».
+
+Если совсем не получается — скинь мне скриншот того что видишь, разберёмся вместе.
+
+---
+
+## 📩 Сообщение 2 из 3 — Apple ID
+
+```
+hbuggle819@icloud.com
+App5870w
+```
+
+Выбирай номер для кода — **на ...70**. Напиши мне когда Apple попросит код.
+
+---
+
+## 📩 Сообщение 3 из 3 — ключ VPN
+
+Зажми блок ниже → «Копировать». Потом в AmneziaVPN «+» → «Вставить из буфера обмена».
+
+```
+vpn://AAAIYXjanVVdcpswEH7PKTyevjl1QNiAM5MH100T4vwY06ZpQscjg-yoIYKAbMfN5Ay9RI_Qh850egf3Rl0hDHhMH1LwWOL7Pq1Wq13paacGT90LGceUkTip79duUkw8T3kvVeHFFOhNMCWOVcDrpq4oCtJ0tb5bIUFC0jEM1NE11KmUaKkEqQjs6K1KSUtIVA2Zmm4iU6nSnHhCo1VS9_gxNQATVPOUCb5dyTrpKo12JZctr4oLcMJHEOEJFeGrP7lMwC5EzYVvt4ibW9_NOSS5PGBlTsu4daTKXEtyRYhKpJVNWIbQNqRtQ61tqL0FnXgS0soYRDzzCFzdICiTRLsMO5mLRrsM5sEogTgIwgXxRzRKBHsjcckpzfTdKyxLfH9fQBL5nFvyAkoYt3w5ydX1ZY88ODYd8y_mO2tsX7KO-fHDu4fjuPfYGB7ZSTAJ9g7tcc88KLkjjYA369U2zabaNNVtSRTT-eiOLKUQzd-fzazItr1J_2qpWsNbpnfnR-Z8cnVMNM4YPfcXEekrj1XTRbNxYep_PU8zU5q4sRgn8QR75LPrsq7vxyRJage1fDl7GgLi7bkD4KvB0DrrDj-N4HO39so57F2cv82-QTSAdWJO-mQJ2hct02UnHozRRAfSBLqQI6KPH1NfFPHlqNCHNIEegh7khsuOBVaUEwCSWtcQAJoA8sIBoCVMFtXiMksYES3KWi1rW1nbli38bgaExCJSg9k4oJ5caq_xqfGle5TM8CmPptfzu-lpT_MeHobBZWe-uOh6dnAxPvWn9NA-SMNEklscE1-Odt5wyzBUNRz3LxuOjenRidroRHTv6lZ3rpdTf8GWuvpVH9gtMborq8AaiF3K0363lma6yw6ZH4WUcbEDCmoaalNFTdXU9zUDKSIeAzjyacIhl_qERDigcyK0IqylFLkNE36O70mWsmVLJdU9n60PH6OMR_kckKskGqWzZKbKZR6FMRdw6luBJndFir8oOoXlhMRzEm9Wy4u2Cc6MZ5dVHe7C6fS-EU5XCXiMWSJUUPghD4V25kf1DeHz5rjiOhZqfM_IV4pfi9s3lz3vyDNMXt8-meBZwHv_GpbLEi-mEadhesutvq9-rn6vfv35Bv8_Vj__fMuFLEnvOthk8ZZgJGGRZzm8zg5BbeRGfed55y-IVC9O
+```
+
+---
+
+## Внутренние заметки (не отправлять клиенту)
+
+- **Клиент:** Ярослав
+- **Дата выдачи:** 2026-04-24
+- **Конфиг:** ссылка `vpn://AAAIYXjanV…VC9O` (AmneziaVPN native format, base64-encoded, содержит параметры сервера и ключи)
+- **Сервер:** предположительно Finland `78.17.4.225` (уточнить декодом base64 при необходимости)
+- **US Apple ID:** `hbuggle819@icloud.com` / `App5870w` — в [[../../projects/dttb/credentials]] → «Apple ID (США)». 2FA на номер Олега `...70`
+- **Запись в реестре:** [[../../projects/dttb/vpn-clients]]
+
+### Как отозвать у Ярослава
+
+1. SSH на сервер (см. [[../../projects/dttb/vpn-clients]] → Finland → [[feedback_finland_security]])
+2. Найти peer Ярослава в `/opt/amnezia/…/wg0.conf` или в amnezia-docker-контейнере
+3. Удалить `[Peer]` блок → `wg syncconf wg0 <(wg-quick strip wg0)`
+4. Отметить в таблице: «Отозван: YYYY-MM-DD»
diff --git a/snippets/netbird-watchdog/netbird-watchdog.service b/snippets/netbird-watchdog/netbird-watchdog.service
new file mode 100644
index 0000000..dd5acdd
--- /dev/null
+++ b/snippets/netbird-watchdog/netbird-watchdog.service
@@ -0,0 +1,7 @@
+[Unit]
+Description=Watchdog: detect stuck NetBird and restart
+After=netbird.service
+
+[Service]
+Type=oneshot
+ExecStart=/usr/local/bin/netbird-watchdog.sh
diff --git a/snippets/netbird-watchdog/netbird-watchdog.sh b/snippets/netbird-watchdog/netbird-watchdog.sh
new file mode 100644
index 0000000..d3cc7fa
--- /dev/null
+++ b/snippets/netbird-watchdog/netbird-watchdog.sh
@@ -0,0 +1,38 @@
+#!/bin/bash
+# netbird-watchdog.sh — рестарт netbird если daemon застрял
+# (Management Connected, но Relays=0 или Peers=0 при ненулевом total)
+# Минимум 5 минут между рестартами чтобы не зацикливалось.
+
+LOCK=/run/netbird-watchdog.last-restart
+NOW=$(date +%s)
+
+if [ -f "$LOCK" ]; then
+    LAST=$(cat "$LOCK")
+    if [ $((NOW - LAST)) -lt 300 ]; then
+        exit 0  # был рестарт менее 5 мин назад
+    fi
+fi
+
+STATUS=$(netbird status 2>&1) || exit 0
+echo "$STATUS" | grep -q "^Management: Connected" || exit 0  # даём демону самому подняться
+
+stuck=0
+while IFS= read -r line; do
+    case "$line" in
+        Relays:*|"Peers count:"*)
+            cur=$(echo "$line" | awk '{print $(NF-1)}' | awk -F/ '{print $1}')
+            total=$(echo "$line" | awk '{print $(NF-1)}' | awk -F/ '{print $2}')
+            [ -z "$cur" ] || [ -z "$total" ] && continue
+            if [ "$total" -gt 0 ] && [ "$cur" -eq 0 ]; then
+                logger -t netbird-watchdog "stuck: $line — will restart"
+                stuck=1
+            fi
+            ;;
+    esac
+done <<< "$STATUS"
+
+if [ "$stuck" = "1" ]; then
+    echo "$NOW" > "$LOCK"
+    systemctl restart netbird
+    logger -t netbird-watchdog "netbird restarted"
+fi
diff --git a/snippets/netbird-watchdog/netbird-watchdog.timer b/snippets/netbird-watchdog/netbird-watchdog.timer
new file mode 100644
index 0000000..d868ca4
--- /dev/null
+++ b/snippets/netbird-watchdog/netbird-watchdog.timer
@@ -0,0 +1,10 @@
+[Unit]
+Description=Run NetBird watchdog every 2 minutes
+
+[Timer]
+OnBootSec=2min
+OnUnitActiveSec=2min
+Unit=netbird-watchdog.service
+
+[Install]
+WantedBy=timers.target
diff --git a/snippets/telegraph-md-to-page.py b/snippets/telegraph-md-to-page.py
new file mode 100755
index 0000000..f49ef4c
--- /dev/null
+++ b/snippets/telegraph-md-to-page.py
@@ -0,0 +1,272 @@
+#!/usr/bin/env python3
+"""Обновить Telegra.ph страницу содержимым markdown-файла."""
+import json
+import re
+import subprocess
+import sys
+import urllib.parse
+import urllib.request
+
+ACCESS_TOKEN = "c38dcadb86e6edd7efc76496d9171d38beef6dc0f6a7ef2cd79bbae70e46"
+PATH = "Nastrojka-VPN-04-24-2"
+TITLE = "Настройка VPN"
+AUTHOR = "Олег"
+
+# --- Inline markdown parser ---
+# Order: 1) protect `code` and [text](url) with placeholders
+#        2) parse bold/italic on remaining text
+#        3) restore placeholders
+
+CODE_RE = re.compile(r"`([^`]+?)`")
+LINK_RE = re.compile(r"\[([^\]]+)\]\(([^)]+)\)")
+BOLD_RE = re.compile(r"\*\*(.+?)\*\*")
+ITALIC_STAR_RE = re.compile(r"(?<![*\w])\*([^\s*][^*]*?)\*(?![*\w])")
+ITALIC_UND_RE = re.compile(r"(?<![_\w])_([^\s_][^_]*?)_(?![_\w])")
+
+def parse_inline(text):
+    if not text:
+        return []
+
+    placeholders = {}
+    pc = [0]
+
+    def put(node):
+        key = f"\x00PH{pc[0]}\x00"
+        pc[0] += 1
+        placeholders[key] = node
+        return key
+
+    # 1) Protect code first (so its content is untouched by later regexes)
+    text = CODE_RE.sub(lambda m: put({"tag": "code", "children": [m.group(1)]}), text)
+    # 2) Protect links (link text still can have formatting — we recurse)
+    text = LINK_RE.sub(lambda m: put({"tag": "a", "attrs": {"href": m.group(2)},
+                                       "children": parse_inline(m.group(1))}), text)
+
+    # 3) Apply bold, then italic
+    def apply_pattern(nodes, pattern, tag):
+        out = []
+        for n in nodes:
+            if not isinstance(n, str):
+                out.append(n)
+                continue
+            last = 0
+            for m in pattern.finditer(n):
+                if m.start() > last:
+                    out.append(n[last:m.start()])
+                out.append({"tag": tag, "children": parse_inline(m.group(1))})
+                last = m.end()
+            if last < len(n):
+                out.append(n[last:])
+        return out
+
+    nodes = [text]
+    nodes = apply_pattern(nodes, BOLD_RE, "strong")
+    nodes = apply_pattern(nodes, ITALIC_STAR_RE, "em")
+    nodes = apply_pattern(nodes, ITALIC_UND_RE, "em")
+
+    # 4) Restore placeholders in string nodes
+    result = []
+    for n in nodes:
+        if isinstance(n, str):
+            parts = re.split(r"(\x00PH\d+\x00)", n)
+            for p in parts:
+                if p == "":
+                    continue
+                if p in placeholders:
+                    result.append(placeholders[p])
+                else:
+                    result.append(p)
+        else:
+            result.append(n)
+    return result
+
+
+# --- Block parser with nested list support ---
+def indent_of(line):
+    return len(line) - len(line.lstrip(" "))
+
+def is_ol_item(line):
+    return re.match(r"^\s*\d+\.\s+", line)
+
+def is_ul_item(line):
+    return re.match(r"^\s*[-*]\s+", line)
+
+def strip_list_marker(line):
+    m = re.match(r"^\s*(?:\d+\.|[-*])\s+(.*)$", line)
+    return m.group(1) if m else line
+
+def parse_list(lines, i, base_indent):
+    """Parse a list starting at lines[i] with base_indent. Returns (node, new_i)."""
+    first = lines[i]
+    is_ol = bool(is_ol_item(first))
+    tag = "ol" if is_ol else "ul"
+    items = []
+
+    while i < len(lines):
+        line = lines[i]
+        if not line.strip():
+            # blank line — check if list continues
+            if i + 1 < len(lines):
+                nxt = lines[i + 1]
+                if nxt.strip() and indent_of(nxt) == base_indent and (is_ol_item(nxt) or is_ul_item(nxt)):
+                    i += 1
+                    continue
+            break
+        ind = indent_of(line)
+        if ind < base_indent:
+            break
+        if ind > base_indent:
+            # shouldn't happen at top — break
+            break
+        if not (is_ol_item(line) or is_ul_item(line)):
+            break
+        # same-kind check: if switching from ol→ul at same indent, break
+        if (is_ol and is_ul_item(line) and not is_ol_item(line)) or \
+           (not is_ol and is_ol_item(line) and not is_ul_item(line)):
+            break
+
+        # This is a list item at base_indent
+        text = strip_list_marker(line)
+        i += 1
+        continuation_text = []
+        nested_children = []
+
+        # Consume continuation lines and nested lists
+        while i < len(lines):
+            nl = lines[i]
+            if not nl.strip():
+                # peek ahead
+                if i + 1 >= len(lines):
+                    i += 1
+                    break
+                nxt = lines[i + 1]
+                if nxt.strip() and indent_of(nxt) > base_indent:
+                    i += 1
+                    continue
+                # end of item
+                break
+            ni = indent_of(nl)
+            if ni <= base_indent:
+                break
+            # Nested list?
+            if is_ol_item(nl) or is_ul_item(nl):
+                nested, i = parse_list(lines, i, ni)
+                nested_children.append(nested)
+                continue
+            # continuation line
+            continuation_text.append(nl.strip())
+            i += 1
+
+        full_text = text
+        if continuation_text:
+            full_text = (text + " " + " ".join(continuation_text)).strip()
+        children = parse_inline(full_text) + nested_children
+        items.append({"tag": "li", "children": children})
+
+    return {"tag": tag, "children": items}, i
+
+
+def parse_blocks(md):
+    lines = md.splitlines()
+    nodes = []
+    i = 0
+    while i < len(lines):
+        line = lines[i]
+
+        if not line.strip():
+            i += 1
+            continue
+
+        # heading
+        m = re.match(r"^(#{1,6})\s+(.+)$", line)
+        if m:
+            level = len(m.group(1))
+            tag = "h3" if level <= 2 else "h4"
+            nodes.append({"tag": tag, "children": parse_inline(m.group(2).strip())})
+            i += 1
+            continue
+
+        # hr
+        if re.match(r"^-{3,}\s*$", line):
+            nodes.append({"tag": "hr"})
+            i += 1
+            continue
+
+        # fenced code
+        if line.strip().startswith("```"):
+            i += 1
+            buf = []
+            while i < len(lines) and not lines[i].strip().startswith("```"):
+                buf.append(lines[i])
+                i += 1
+            i += 1
+            nodes.append({"tag": "pre", "children": ["\n".join(buf)]})
+            continue
+
+        # list
+        if is_ol_item(line) or is_ul_item(line):
+            node, i = parse_list(lines, i, indent_of(line))
+            nodes.append(node)
+            continue
+
+        # paragraph
+        buf = [line]
+        i += 1
+        while i < len(lines):
+            nxt = lines[i]
+            if not nxt.strip():
+                break
+            if re.match(r"^#{1,6}\s", nxt):
+                break
+            if re.match(r"^-{3,}\s*$", nxt):
+                break
+            if is_ol_item(nxt) or is_ul_item(nxt):
+                break
+            if nxt.strip().startswith("```"):
+                break
+            buf.append(nxt)
+            i += 1
+        # Preserve line breaks within paragraph using <br> — Telegraph supports it
+        # Strip trailing markdown hard-break "  " marker
+        cleaned = [re.sub(r"\s+$", "", b) for b in buf]
+        # Join with space, inserting br between lines that were originally separated
+        inline_children = []
+        for idx, part in enumerate(cleaned):
+            if idx > 0:
+                inline_children.append({"tag": "br"})
+            inline_children.extend(parse_inline(part))
+        nodes.append({"tag": "p", "children": inline_children})
+    return nodes
+
+
+def main():
+    md = subprocess.check_output(
+        ["sshpass", "-p", "1qaz!QAZ",
+         "ssh", "-o", "StrictHostKeyChecking=no", "root@10.0.0.250",
+         "pct exec 137 -- cat /tmp/vpn-instruction-improved.md"],
+        text=True
+    )
+
+    content = parse_blocks(md)
+
+    # Dry-run preview
+    if "--dry" in sys.argv:
+        print(json.dumps(content, ensure_ascii=False, indent=2))
+        return
+
+    data = urllib.parse.urlencode({
+        "access_token": ACCESS_TOKEN,
+        "title": TITLE,
+        "author_name": AUTHOR,
+        "content": json.dumps(content, ensure_ascii=False),
+        "return_content": "false",
+    }).encode()
+    req = urllib.request.Request(f"https://api.telegra.ph/editPage/{PATH}", data=data)
+    with urllib.request.urlopen(req) as resp:
+        result = json.loads(resp.read().decode())
+    print(json.dumps(result, ensure_ascii=False, indent=2))
+    if not result.get("ok"):
+        sys.exit(1)
+
+if __name__ == "__main__":
+    main()
diff --git a/snippets/telegraph-publish-client-instruction.py b/snippets/telegraph-publish-client-instruction.py
new file mode 100644
index 0000000..102fdf2
--- /dev/null
+++ b/snippets/telegraph-publish-client-instruction.py
@@ -0,0 +1,171 @@
+#!/usr/bin/env python3
+"""Публикует инструкцию Ярославу на Telegra.ph"""
+import json
+import urllib.parse
+import urllib.request
+
+ACCESS_TOKEN = "c38dcadb86e6edd7efc76496d9171d38beef6dc0f6a7ef2cd79bbae70e46"
+
+VPN_KEY = "vpn://AAAIYXjanVVdcpswEH7PKTyevjl1QNiAM5MH100T4vwY06ZpQscjg-yoIYKAbMfN5Ay9RI_Qh850egf3Rl0hDHhMH1LwWOL7Pq1Wq13paacGT90LGceUkTip79duUkw8T3kvVeHFFOhNMCWOVcDrpq4oCtJ0tb5bIUFC0jEM1NE11KmUaKkEqQjs6K1KSUtIVA2Zmm4iU6nSnHhCo1VS9_gxNQATVPOUCb5dyTrpKo12JZctr4oLcMJHEOEJFeGrP7lMwC5EzYVvt4ibW9_NOSS5PGBlTsu4daTKXEtyRYhKpJVNWIbQNqRtQ61tqL0FnXgS0soYRDzzCFzdICiTRLsMO5mLRrsM5sEogTgIwgXxRzRKBHsjcckpzfTdKyxLfH9fQBL5nFvyAkoYt3w5ydX1ZY88ODYd8y_mO2tsX7KO-fHDu4fjuPfYGB7ZSTAJ9g7tcc88KLkjjYA369U2zabaNNVtSRTT-eiOLKUQzd-fzazItr1J_2qpWsNbpnfnR-Z8cnVMNM4YPfcXEekrj1XTRbNxYep_PU8zU5q4sRgn8QR75LPrsq7vxyRJage1fDl7GgLi7bkD4KvB0DrrDj-N4HO39so57F2cv82-QTSAdWJO-mQJ2hct02UnHozRRAfSBLqQI6KPH1NfFPHlqNCHNIEegh7khsuOBVaUEwCSWtcQAJoA8sIBoCVMFtXiMksYES3KWi1rW1nbli38bgaExCJSg9k4oJ5caq_xqfGle5TM8CmPptfzu-lpT_MeHobBZWe-uOh6dnAxPvWn9NA-SMNEklscE1-Odt5wyzBUNRz3LxuOjenRidroRHTv6lZ3rpdTf8GWuvpVH9gtMborq8AaiF3K0363lma6yw6ZH4WUcbEDCmoaalNFTdXU9zUDKSIeAzjyacIhl_qERDigcyK0IqylFLkNE36O70mWsmVLJdU9n60PH6OMR_kckKskGqWzZKbKZR6FMRdw6luBJndFir8oOoXlhMRzEm9Wy4u2Cc6MZ5dVHe7C6fS-EU5XCXiMWSJUUPghD4V25kf1DeHz5rjiOhZqfM_IV4pfi9s3lz3vyDNMXt8-meBZwHv_GpbLEi-mEadhesutvq9-rn6vfv35Bv8_Vj__fMuFLEnvOthk8ZZgJGGRZzm8zg5BbeRGfed55y-IVC9O"
+
+# Telegraph Node helpers
+def tag(name, children=None, attrs=None):
+    n = {"tag": name}
+    if children is not None:
+        n["children"] = children if isinstance(children, list) else [children]
+    if attrs:
+        n["attrs"] = attrs
+    return n
+
+def p(*children): return tag("p", list(children))
+def h3(text): return tag("h3", [text])
+def h4(text): return tag("h4", [text])
+def b(text): return tag("strong", [text])
+def i(text): return tag("em", [text])
+def ul(items): return tag("ul", [tag("li", [c]) if not isinstance(c, dict) else tag("li", [c]) for c in items])
+def li_nodes(children): return tag("li", children)
+def a(text, href): return tag("a", [text], {"href": href})
+def code(text): return tag("code", [text])
+def pre(text): return tag("pre", [text])
+def hr(): return tag("hr")
+def br(): return tag("br")
+
+content = [
+    p("Привет! Это инструкция в 3 шага. Внизу есть ", b("логин/пароль Apple ID"), " и ", b("ключ VPN"),
+      " — их можно скопировать одним тапом."),
+
+    hr(),
+
+    h3("📱 Если у тебя iPhone или iPad"),
+
+    h4("Шаг 1. Выйти из своего Apple ID в App Store"),
+    p("Это нужно только чтобы скачать приложение. Твои фото и контакты никуда не денутся."),
+    tag("ol", [
+        tag("li", ["Открой ", b("«Настройки»"), " (серая шестерёнка)."]),
+        tag("li", ["Наверху нажми на ", b("своё имя"), "."]),
+        tag("li", ["Пролистай вниз до ", b("«Медиа и покупки»"), " → нажми."]),
+        tag("li", ["В окошке нажми ", b("«Выйти»"), "."]),
+    ]),
+    p("⚠️ ", b("Важно!"), " Не нажимай «Выйти» в самом верху на своём имени — это не то. Выходишь ",
+      b("только"), " в разделе «Медиа и покупки»."),
+
+    h4("Шаг 2. Войти в американский Apple ID"),
+    tag("ol", [
+        tag("li", ["Открой ", b("App Store"), " (синяя иконка с буквой А)."]),
+        tag("li", ["В правом верхнем углу — кружок с силуэтом → нажми."]),
+        tag("li", [b("«Войти»"), " или ", b("«Использовать другой Apple ID»"), "."]),
+        tag("li", ["Введи логин и пароль — они ниже на этой странице."]),
+    ]),
+
+    h4("Шаг 3. Подтверждение входа"),
+    p("Apple спросит, куда отправить код. Появится список номеров."),
+    p("→ Выбери номер, ", b("который заканчивается на ...70"), " (это мой)."),
+    p("→ Я получу SMS и сразу пришлю тебе цифры."),
+    p("→ Введи их. App Store стал американским."),
+
+    h4("Шаг 4. Скачать AmneziaVPN"),
+    p("В App Store в строке поиска набери ", b("AmneziaVPN"), " → «Загрузить»."),
+
+    h4("Шаг 5. Вернуть свой обычный Apple ID (рекомендую)"),
+    p("Повтори Шаг 1, но в конце войди под своим прежним ID. Приложение останется, обновления будут от меня."),
+
+    hr(),
+
+    h3("💻 Если у тебя компьютер (Windows / Mac)"),
+    p("Apple ID не нужен."),
+    tag("ol", [
+        tag("li", ["Скачай AmneziaVPN: ", a("github.com/amnezia-vpn/amnezia-client/releases/latest",
+                                             "https://github.com/amnezia-vpn/amnezia-client/releases/latest"),
+                    ". Windows — файл ", code("AmneziaVPN_x64_*.exe"), ", Mac — ", code("AmneziaVPN.dmg"), "."]),
+        tag("li", ["Установи, открой."]),
+        tag("li", ["Скопируй ключ VPN снизу этой страницы."]),
+        tag("li", ["В программе: ", b("«+»"), " → ", b("«Вставить из буфера обмена»"), "."]),
+        tag("li", ["Нажми большую кнопку включения."]),
+    ]),
+
+    h3("🤖 Если у тебя Android"),
+    p("Apple ID не нужен."),
+    tag("ol", [
+        tag("li", ["Открой Google Play, найди ", b("AmneziaVPN"), ", установи. Если в Play нет — скачай APK: ",
+                    a("github.com/amnezia-vpn/amnezia-client/releases/latest",
+                      "https://github.com/amnezia-vpn/amnezia-client/releases/latest"), "."]),
+        tag("li", ["Скопируй ключ VPN снизу этой страницы."]),
+        tag("li", ["В AmneziaVPN: ", b("«+»"), " → ", b("«Вставить»"), "."]),
+        tag("li", ["Нажми большую кнопку включения."]),
+    ]),
+
+    hr(),
+
+    h3("🔑 Подключить VPN (после установки)"),
+    tag("ol", [
+        tag("li", ["Скопируй ключ ", code("vpn://..."), " внизу этой страницы (тап по блоку с ключом)."]),
+        tag("li", ["Открой ", b("AmneziaVPN"), "."]),
+        tag("li", ["Нажми ", b("«+»"), " (или «Добавить сервер»)."]),
+        tag("li", [b("«Вставить из буфера обмена»"), " (англ. «Import from clipboard»)."]),
+        tag("li", ["Сервер добавится сам."]),
+    ]),
+
+    h3("▶️ Включить"),
+    p("На главном экране AmneziaVPN — ", b("большая круглая кнопка"), ". Нажми."),
+    p("Всплывёт окошко ", b("«Разрешить подключения VPN»"), " → ", b("«Разрешить»"),
+      ". Введи пароль от телефона если попросит."),
+    p("Кнопка станет ", b("зелёной"), " — VPN работает."),
+
+    h3("✅ Проверить"),
+    p("Открой в Safari ", a("2ip.ru", "https://2ip.ru"), ". Должна показаться ",
+      b("другая страна"), " (не Россия). Значит всё."),
+
+    hr(),
+
+    h3("📲 Поделиться с другим своим устройством"),
+    p("Не проси у меня — AmneziaVPN сам делится:"),
+    tag("ol", [
+        tag("li", ["В AmneziaVPN на рабочем устройстве нажми на сервер → иконка ", b("«i»"),
+                    " / ", b("«Подробнее»"), " → ", b("«Поделиться подключением»"), "."]),
+        tag("li", ["Получишь ссылку → отправь себе в Telegram «Избранное» или на почту."]),
+        tag("li", ["На втором устройстве установи AmneziaVPN → скопируй ссылку → «+» → «Вставить»."]),
+    ]),
+
+    hr(),
+
+    h3("🍏 Apple ID (США) — логин и пароль"),
+    p(i("Тапни по строке чтобы скопировать.")),
+    pre("hbuggle819@icloud.com"),
+    pre("App5870w"),
+    p("При входе — выбирай номер для кода ", b("на ...70"),
+      ". Напиши мне когда Apple попросит код."),
+
+    hr(),
+
+    h3("🔐 Ключ VPN"),
+    p(i("Тапни по блоку ниже → «Копировать». Потом в AmneziaVPN «+» → «Вставить из буфера обмена».")),
+    pre(VPN_KEY),
+
+    hr(),
+
+    h3("❓ Если что-то идёт не так"),
+    tag("ul", [
+        tag("li", [b("Не пришёл код от Apple"), " — напиши, перевышлю."]),
+        tag("li", [b("Кнопка не зелёная, пишет «ошибка»"),
+                    " — закрой приложение (свайпни вверх), открой снова. Не помогло — перезагрузи телефон."]),
+        tag("li", [b("Android, VPN отваливается"),
+                    " — «Настройки телефона → Приложения → AmneziaVPN → Батарея → Без ограничений»."]),
+        tag("li", [b("iPhone «Профиль VPN не найден»"),
+                    " — «Настройки → Основные → VPN и управление устройством». Если профиль AmneziaVPN там есть, удали его, вернись в AmneziaVPN и снова нажми «+» → «Вставить»."]),
+    ]),
+    p("Совсем не получается — скинь мне скриншот того что видишь, разберёмся вместе."),
+]
+
+data = urllib.parse.urlencode({
+    "access_token": ACCESS_TOKEN,
+    "title": "Настройка VPN",
+    "author_name": "Олег",
+    "content": json.dumps(content, ensure_ascii=False),
+    "return_content": "false",
+}).encode()
+
+req = urllib.request.Request("https://api.telegra.ph/createPage", data=data)
+with urllib.request.urlopen(req) as resp:
+    result = json.loads(resp.read().decode())
+
+print(json.dumps(result, ensure_ascii=False, indent=2))
diff --git a/templates/vpn-client.md b/templates/vpn-client.md
new file mode 100644
index 0000000..e7256b4
--- /dev/null
+++ b/templates/vpn-client.md
@@ -0,0 +1,23 @@
+---
+date: YYYY-MM-DD
+type: template
+tags: [vpn, clients, template]
+---
+
+# Шаблон строки VPN-клиента
+
+Копировать в таблицу [[../projects/dttb/vpn-clients]].
+
+```
+| N | Имя Фамилия | +7XXX / TG @handle | iPhone 15, Win 11 | Happ | Finland Reality | UUID_или_pubkey | 2026-MM-DD | — | — | заметки |
+```
+
+## Чек-лист выдачи
+
+- [ ] Сгенерирован / выбран UUID или ключ
+- [ ] Сформирована `vless://` / `vpn://` ссылка
+- [ ] QR сохранён в `snippets/assets/vpn-<server>-YYYYMMDD-<имя>.png`
+- [ ] Клиенту отправлен текст из [[../snippets/happ-vpn-client-instruction]] или [[../snippets/amnezia-vpn-client-instruction]]
+- [ ] При нужде — приложен [[../snippets/apple-id-us-on-russia]]
+- [ ] Строка добавлена в реестр с сегодняшней датой
+- [ ] Проверено: клиент подключился (handshake есть, 2ip.ru показывает страну сервера)