Automatically install missing conntrack for enabled network collector

README.md

@@ -516,12 +516,19 @@ DASHBOARD_TRAFFIC_PREVIEW=1 go test -run '^TestTrafficPreview$' -timeout 30m
 отключает оба сборщика. Сетевой режим по умолчанию выключен и не создаёт
 общих алертов/писем.
 
-Для Debian/Ubuntu на хосте агента (не внутри контейнера NPM):
+На Debian/Ubuntu агент **сам проверяет и устанавливает conntrack**, когда
+включён сетевой режим. Выполняются `apt-get update` и установка только
+`conntrack` с зависимостями (`--no-install-recommends --no-remove`), без
+обновления всей системы. Установка выполняется от root через отдельную
+systemd-службу, как существующие операции обновления агента, и не требует
+отключать его read-only sandbox. Начатая пакетная операция завершается даже
+при выключении сбора. Ход/ошибка видны в диагностике; повтор после ошибки —
+не чаще раза в 30 минут работы процесса. После перезапуска агента проверка
+выполняется заново. Если conntrack уже установлен, apt-get не запускается.
 
-```sh
-sudo apt-get update
-sudo apt-get install -y conntrack nftables
-```
+На других системах, без root или systemd/apt-get, выводится инструкция для
+ручной установки. Для счётчиков CrowdSec требуется доступный `nft`; он
+обычно уже установлен вместе с nftables-bouncer и автоматически не ставится.
 
 Агенту нужны root/CAP_NET_ADMIN в сетевом namespace хоста. Установщик агента
 запускает службу от root. Чтение: `/proc/net/nf_conntrack`, если доступен,