useradd -m -s /bin/bash mon && passwd -l mon
mkdir -p /home/mon/.ssh
cat > /home/mon/.ssh/authorized_keys << 'EOF'
from="2.29.2.168",no-agent-forwarding,no-X11-forwarding,no-port-forwarding ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIbiTNcnkb6nuONo0Nt5C+9diV/3AGJb+4jwxphAncYc dashboard-mon
EOF
chmod 700 /home/mon/.ssh; chmod 600 /home/mon/.ssh/authorized_keys
chown -R mon:mon /home/mon/.ssh
cat > /etc/sudoers.d/mon-dashboard << 'EOF'
mon ALL=(root) NOPASSWD: /usr/local/bin/proxysmart.sh show_status, /usr/local/bin/proxysmart.sh show_status_json, /usr/local/bin/proxysmart.sh show_single_status_json *, /usr/local/bin/proxysmart.sh help
EOF
chmod 440 /etc/sudoers.d/mon-dashboard

Дашборд ходит только с IP 2.29.2.168. Если роутер перед сервером маскарадит src (на сервер приходит LAN-IP роутера) — добавьте его в from="2.29.2.168,192.168.1.1". Диагностика: grep "mon" /var/log/auth.log.

• dst-nat SSH: <внешний порт> → <LAN-IP сервера>:22 без masquerade src (пример ro1: :6005 → 192.168.88.252:22).
• dst-nat панели: <внешний порт> → <LAN-IP>:8080 (пример ro1: :7005 → :8080).
• LAN-IP сервера закрепить статикой (networkd/netplan), чтобы проброс не протух.
• Клиентские прокси-порты: прямой проброс диапазонов 5001-5099 и 8001-8099 без To Ports (на MikroTik поле «To Ports» должно быть пустым).

• Имя — внутренний ID (S5, RO2…), используется в кэшах.
• URL — http://<внешний IP>:<порт панели> из п.2.
• Логин/Пароль — от панели ProxySmart.
• SSH логин — обязательно mon (не root! ключ лежит только у mon).
• SSH пароль — оставить пустым (вход по ключу).
• SSH порт — внешний порт из п.2 (пусто = пробуем 2222, потом 22).
• Ручной SSH — записная книжка для вашего личного входа (root), дашбордом не используется.

• С VPS дашборда: ssh -i ~/.ssh/id_ed25519 mon@<IP> -p <sshPort> 'sudo /usr/local/bin/proxysmart.sh show_status' — должна вернуться таблица модемов.
• На сервере: grep "Accepted publickey for mon" /var/log/auth.log и lsusb (модемы ZTE = вендор 19d2).
• Метрики и модемы появятся в дашборде в течение 1–2 минут; первая попытка сбора может уйти в HTTP-фолбэк — следующая пойдёт по SSH.