Реализован production-модуль sysctl_tuning и полная интеграция fix33

Добавлен отдельный host-level модуль sysctl_tuning без легаси-подходов: managed sysctl файл, точечный reconcile через sysctl -w только для drifted ключей, режимы tcp_bbr off/auto/require, безопасное удаление только managed-файла и атомарная запись конфигурации.

Интегрированы новые CLI-команды apply-network-tuning/inspect-network-tuning, startup reconcile в daemon и секция Network tuning в status. Расширены config/defaults/валидация, обновлен пример конфига и документация. Добавлены unit-тесты для config и sysctl_tuning.

config.example.toml

@@ -18,6 +18,36 @@ container_ready_timeout_secs = 120
 class_start_id = 10
 ifb_name = "ifb0"
 
+[sysctl_tuning]
+enabled = true
+apply_on_daemon_start = true
+
+# Включает IPv4 forwarding для VPN/Docker gateway host.
+ip_forward = true
+
+# off | auto | require
+# auto: использовать BBR, если доступен; иначе пропустить без ошибки.
+# require: завершить с ошибкой, если BBR недоступен.
+tcp_bbr = "auto"
+
+# none | fq | fq_codel
+# fq применяется только когда BBR активен.
+default_qdisc = "fq"
+
+# Лимиты socket buffers в байтах.
+# Баланс для хоста порядка ~500 Mbit/s.
+rmem_max = 67108864
+wmem_max = 67108864
+
+netdev_backlog_enabled = true
+netdev_max_backlog = 50000
+
+udp_rmem_min_enabled = true
+udp_rmem_min = 8192
+
+# net.ipv4.udp_wmem_min intentionally not managed:
+# Linux kernel documentation states it has no effect.
+
 [host_firewall]
 enabled = true
 # Должен совпадать с реально слушающим портом sshd до apply-firewall.