ros_control: централизованное управление парком MikroTik RouterOS

Control Server (FastAPI) с WEB UI (Jinja2 + HTMX) и JSON API для группового
администрирования устройств RouterOS 7 через REST.

- Устройства: список, статус (модель, канал, версии ROS/FW, uptime, доступные
  обновления), примечания, пароли шифруются (Fernet); фоновый опрос каждые 30 с
  и быстрое обнаружение недоступности (таймаут соединения 4 с).
- Группы устройств и фильтры (устройства, резервные копии).
- Резервные копии: .backup и .rsc (show-sensitive) создаются через REST,
  скачиваются сервером и загружаются в S3 (Yandex Object Storage).
- Обновление ROS/FW и выбор канала, групповые операции задачами.
- Интерфейс по утверждённому макету: светлая/тёмная темы, окна, шрифты IBM Plex
  локально. Docker Compose, SQLite в томе, минимальный набор тестов.
- Планы и итоги каждого изменения — в docs/changes/.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/changes/003-download-via-rest-upload-from-server/summary.md

@@ -0,0 +1,25 @@
+# Итоги: 003 — скачивание через REST, загрузка в S3 сервером
+
+## Сделано
+- Бэкап: Control Server создаёт `.backup` и `.rsc` через REST → скачивает их блоками по 32 КБ во временный каталог
+  (`POST /rest/execute` + `:convert to=base64`) → загружает в S3 (`PutObject`) → удаляет файлы с устройства
+  (в том числе при сбое). Временный каталог удаляется всегда. Устройство S3 не касается.
+- Удалены `/tool/fetch`-загрузка и presigned PUT. Проверка целостности: сравнение размера на устройстве и скачанного.
+- Экспорт: пример из документации (`compact`) на ROS 7 даёт побайтно тот же результат, поэтому запрос остался без `compact`.
+
+## Проверено на RB4011 (ROS 7.24.4) и бакете Yandex
+- Бэкап `MSK_Home`: `.backup` 231 237 Б и `.rsc` 74 924 Б в бакете, размеры совпадают с устройством,
+  сигнатура `.backup` = `88 AC A1 B1`, `.rsc` начинается с заголовка экспорта; на устройстве `ros_control-*` не осталось.
+- Скачивание из бакета через API (`/backups/download`) работает. `pytest`: 4 из 4.
+
+## Причина прежних ошибок доступа (002)
+Права применились только после пересоздания подключения к устройству (пользователь `full`);
+сама смена политик группы без этого не помогала.
+
+## Ограничения
+- `.rsc` создаётся без `show-sensitive`: пароли и ключи в нём скрыты (для полного восстановления служит `.backup`).
+- Скорость скачивания ограничена размером блока и задержкой REST (около 8 запросов на 230 КБ); для очень больших файлов
+  можно увеличить `chunk_size`.
+
+## Не проверено
+Обновление ROS и FW (перезагрузка устройства), групповые операции над несколькими устройствами.