feat: update syshelper version to 0.2.0 and enhance firewall rules in installer

Cargo.lock

@@ -1224,7 +1224,7 @@ dependencies = [
 
 [[package]]
 name = "syshelper"
-version = "0.1.0"
+version = "0.2.0"
 dependencies = [
  "argon2",
  "axum",

Cargo.toml

@@ -1,6 +1,6 @@
 [package]
 name = "syshelper"
-version = "0.1.0"
+version = "0.2.0"
 edition = "2021"
 
 [dependencies]

installer/setup.iss

@@ -185,7 +185,18 @@ begin
        SW_HIDE, ewWaitUntilTerminated, Code);
 end;
 
-procedure InstallService();
+// Запускаем через net start, а не sc start, по той же причине, что и остановку:
+// net дожидается фактического запуска и возвращает ошибку, если он не удался.
+// sc отдаёт управление сразу, и сломанная установка выглядела бы успешной.
+function StartService(): Boolean;
+var
+  Code: Integer;
+begin
+  Result := Exec(ExpandConstant('{sys}\net.exe'), 'start {#ServiceName}', '',
+                 SW_HIDE, ewWaitUntilTerminated, Code) and (Code = 0);
+end;
+
+function InstallService(): Boolean;
 var
   Bin: String;
 begin
@@ -204,7 +215,8 @@ begin
   RunSc('description {#ServiceName} "Родительский контроль: следит за запуском программ."');
   // Родительский контроль не должен исчезать из-за одной аварии.
   RunSc('failure {#ServiceName} reset= 86400 actions= restart/5000/restart/5000/restart/60000');
-  RunSc('start {#ServiceName}');
+
+  Result := StartService();
 end;
 
 // Каталог данных закрываем от обычных пользователей: унаследованные от
@@ -222,7 +234,34 @@ begin
        '', SW_HIDE, ewWaitUntilTerminated, Code);
 end;
 
+// Без правила брандмауэра панель доступна только с самого компьютера: Windows
+// режет входящие подключения по умолчанию. Ограничиваемся частными и доменными
+// сетями — в публичной (кафе, вокзал) панель наружу смотреть не должна.
+procedure RemoveFirewallRule();
+var
+  Code: Integer;
+begin
+  Exec(ExpandConstant('{sys}\netsh.exe'),
+       'advfirewall firewall delete rule name="{#AppName}"',
+       '', SW_HIDE, ewWaitUntilTerminated, Code);
+end;
+
+procedure OpenFirewallPort();
+var
+  Code: Integer;
+begin
+  // сначала снимаем старое правило, иначе при переустановке они накопятся
+  RemoveFirewallRule();
+  Exec(ExpandConstant('{sys}\netsh.exe'),
+       'advfirewall firewall add rule name="{#AppName}" dir=in action=allow' +
+       ' protocol=TCP localport=8787 profile=private,domain' +
+       ' program="' + ExpandConstant('{app}\{#AppExeName}') + '"',
+       '', SW_HIDE, ewWaitUntilTerminated, Code);
+end;
+
 procedure CurStepChanged(CurStep: TSetupStep);
+var
+  Started: Boolean;
 begin
   if CurStep <> ssPostInstall then
     Exit;
@@ -231,7 +270,23 @@ begin
   // только затем поднимаем службу.
   LockDownDataDir();
   SetPassword();
-  InstallService();
+  OpenFirewallPort();
+  Started := InstallService();
+
+  // Обе проверки — про молчаливый отказ: без них установка отрапортует об
+  // успехе, а защиты не будет. При тихой установке (автообновление) человека
+  // за экраном нет, и разбираться придётся по журналу Inno, /LOG= его пишет.
+  if WizardSilent() then
+    Exit;
+
+  if not AuthConfigured() then
+    MsgBox('Не удалось сохранить пароль панели.'#13#10 +
+           'Панель откроется без пароля, и задать его сможет любой, ' +
+           'кто зайдёт первым.', mbError, MB_OK);
+
+  if not Started then
+    MsgBox('Служба не запустилась — контроль сейчас не работает.'#13#10 +
+           'Откройте «Службы» и посмотрите System Helper.', mbError, MB_OK);
 end;
 
 procedure CurUninstallStepChanged(CurUninstallStep: TUninstallStep);
@@ -241,4 +296,5 @@ begin
 
   StopService();
   RunSc('delete {#ServiceName}');
+  RemoveFirewallRule();
 end;

src/main.rs

@@ -33,7 +33,12 @@ mod auth;
 mod service;
 mod update;
 
-const ADDR: &str = "127.0.0.1:8787";
+/// Слушаем все интерфейсы, чтобы панель открывалась и с телефона или другого
+/// компьютера в домашней сети. Правило брандмауэра ставит установщик, и только
+/// для частных сетей — в публичной панель наружу смотреть не должна.
+const BIND_ADDR: &str = "0.0.0.0:8787";
+/// Адрес для ярлыков и сообщений: 0.0.0.0 в браузер не введёшь.
+const PANEL_URL: &str = "http://127.0.0.1:8787";
 /// Служебные команды не должны мигать консольным окном.
 #[cfg(windows)]
 pub(crate) const CREATE_NO_WINDOW: u32 = 0x0800_0000;
@@ -125,19 +130,17 @@ fn stamp() -> String {
 /// Открывает панель в браузере. Своего окна у программы нет, поэтому запуск
 /// ярлыком без этого выглядел бы как «ничего не произошло».
 fn open_panel() {
-    let url = format!("http://{ADDR}");
-
     #[cfg(windows)]
     {
         use std::os::windows::process::CommandExt;
         // пустой заголовок обязателен: иначе start примет URL за имя окна
         let _ = std::process::Command::new("cmd")
-            .args(["/C", "start", "", &url])
+            .args(["/C", "start", "", PANEL_URL])
             .creation_flags(CREATE_NO_WINDOW)
             .spawn();
     }
     #[cfg(not(windows))]
-    let _ = std::process::Command::new("open").arg(&url).spawn();
+    let _ = std::process::Command::new("open").arg(PANEL_URL).spawn();
 }
 
 /// Окна нет, поэтому паника иначе прошла бы совершенно незаметно: процесс
@@ -612,12 +615,12 @@ async fn bind_panel(
 ) -> Option<tokio::net::TcpListener> {
     let mut complained = false;
     loop {
-        match tokio::net::TcpListener::bind(ADDR).await {
+        match tokio::net::TcpListener::bind(BIND_ADDR).await {
             Ok(listener) => return Some(listener),
             Err(e) if !complained => {
                 complained = true; // в журнал раз, а не каждые полминуты
                 state
-                    .log(format!("{ADDR} занят ({e}) — жду, правила при этом работают"))
+                    .log(format!("{BIND_ADDR} занят ({e}) — жду, правила при этом работают"))
                     .await;
             }
             Err(_) => {}
@@ -681,7 +684,9 @@ async fn serve(shutdown: tokio::sync::watch::Receiver<bool>) {
     let Some(listener) = bind_panel(&state, shutdown.clone()).await else {
         return; // службу остановили, пока ждали порт
     };
-    state.log(format!("панель на http://{ADDR}")).await;
+    state
+        .log(format!("панель на {PANEL_URL} и на порту 8787 в локальной сети"))
+        .await;
 
     let mut stop = shutdown.clone();
     let result = axum::serve(listener, app)