#!/bin/bash
# stop.sh — отключает защиту (на всякий случай). Снимает firewall-правила и tmux.
# conntrack-тюнинг оставляем (безвреден), ipset НЕ чистим (быстрое повторное включение).
SELF="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"; source "$SELF/../defender.conf"

# убить сессии
tmux kill-session -t "$TMUX_MON" 2>/dev/null && echo "[stop] $TMUX_MON убит" || echo "[stop] $TMUX_MON не запущен"
tmux kill-session -t "$TMUX_WATCH" 2>/dev/null && echo "[stop] $TMUX_WATCH убит" || echo "[stop] $TMUX_WATCH не запущен"

# снять правила INPUT (TCP)
iptables -D INPUT -p tcp --dport $PORT -m set --match-set $SETNAME src -j DROP 2>/dev/null && echo "[stop] ipset-drop (TCP) снят" || true
iptables -D INPUT -p tcp --dport $PORT -j $GUARD 2>/dev/null && echo "[stop] guard (TCP) отвязан" || true
iptables -F $GUARD 2>/dev/null || true
iptables -X $GUARD 2>/dev/null && echo "[stop] цепочка $GUARD удалена" || true

# снять правила INPUT (UDP)
UDP_GUARD="${GUARD}_UDP"
iptables -D INPUT -p udp --dport $UDP_PORT -m set --match-set $SETNAME src -j DROP 2>/dev/null && echo "[stop] ipset-drop (UDP) снят" || true
iptables -D INPUT -p udp --dport $UDP_PORT -j $UDP_GUARD 2>/dev/null && echo "[stop] guard (UDP) отвязан" || true
iptables -F $UDP_GUARD 2>/dev/null || true
iptables -X $UDP_GUARD 2>/dev/null && echo "[stop] цепочка $UDP_GUARD удалена" || true

echo "[stop] защита отключена. ipset '$SETNAME' сохранён ($(ipset list $SETNAME 2>/dev/null | grep -c '^[0-9]') IP), логи целы."