mmfb/lionart-1c: SSH + фикс efsaveragent + накопленный backlog vault-а

Сегодня (mmfb / LionART 1C):
- projects/mmfb/lionart-1c.md — новый файл: VM 100 на pve LionART
  (WIN-70M2VEJIKEF, 10.253.1.240, Win Server 2022, 1С+SQL+Effector Saver),
  SSH-доступ claude/Kl@udeD1ag!2026 заведён, RDP под Администратор + 2FA.
- projects/mmfb/proxmox-inventory.md — hostname WIN-70M2VEJIKEF в VM 100.
- decisions/2026-05-28-mmfb-effector-saver-locked-admin.md — диагноз
  цикла 7038 (SCM-пароль разъехался с .\Администратор) + lockout учётки,
  и пошаговое решение (disable службы → ADSI unlock → LogonUser-проверка
  → sc.exe config password= → start auto).

Накопившийся backlog (без отдельной правки в эту сессию):
- decisions/: buzharovo (recon, migration-plan, 1c-licensing), sergey
  (instagram iPhone fakeip), amneziavpn macOS v1/v2 incompat, benelux
  compromise 2026-05-20, glavtorg autologon off, omni domain+update.
- projects/: benilux README, buzharovo README+server1c, dttb
  (nextcloud-talk-bot, npm-proxy-hosts, proxmox-inventory, vpn-clients),
  glavtorg, sergey README, projects/_index.
- claude-memory/: benelux, omniroute.
- snippets/mac-dictation/groq-dictate.sh.
- notes/claude/: ~80 авто-сохранённых транскриптов сессий за май.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

claude-memory/benelux.md

@@ -1,9 +1,12 @@
 # Проект Бенелюкс — OpenWrt роутер
 
+> **2026-05-20 СЕКЬЮРИТИ-ИНЦИДЕНТ.** Роутер был скомпрометирован через WAN-SSH brute-force. Подробности и список изменений: [[decisions/2026-05-20-benelux-compromise]]. Пароль root сменён (новый — в auto-memory), вход теперь только по mac-ed25519 ключу.
+
 ## Устройство
 - Cudy TR3000 v1, OpenWrt 24.10.3 (MediaTek Filogic, aarch64)
 - Hostname: Benelux
-- SSH: root / 1qaz!QAZ (через expect, sshpass не работает с Dropbear)
+- SSH: только по ключу `~/.ssh/id_ed25519` (старый пароль `1qaz!QAZ` скомпрометирован, новый в auto-memory)
+- SSH на WAN заблокирован nft-правилом из `/etc/nftables.d/99-incident-20260520.nft`
 - Netbird VPN: 100.70.207.97 (wt0)
 - WAN: eth0, DHCP от 10.0.0.1 (получает 10.0.0.190)
 - LAN: br-lan, 192.168.1.1/24
@@ -33,13 +36,9 @@
 - Masquerade на wan (eth0)
 - PodkopTable в nftables — маркировка 0x00100000
 
-## DNAT / Netbird правила (добавлены 2026-03-15, НЕПОСТОЯННЫ — сброс при ребуте)
-```
-iifname "wt0" tcp dport 8148 dnat ip to 192.168.1.148:443   # Принтер HP M775
-iifname "wt0" oifname "br-lan" masquerade                   # Форвардинг Netbird→LAN
-```
-- Принтер доступен с Mac через Netbird: https://100.70.207.97:8148
-- Чтобы сохранить постоянно: добавить правила в `/etc/nftables.d/` или через UCI firewall
+## DNAT / Netbird правила
+- Принтер HP M775 (192.168.1.148): `https://100.70.207.97:8148` → `:443`
+- **2026-05-27:** правило сделано постоянным в `/etc/nftables.d/50-printer-dnat.nft` (chain `printer_dnat_pre` + `printer_masq_post`). Переживёт ребут Cudy.
 
 ## Mac (клиент, Бенелюкс)
 - Hostname: macbook-pro.netbird.cloud