Реализован production-модуль sysctl_tuning и полная интеграция fix33

Добавлен отдельный host-level модуль sysctl_tuning без легаси-подходов: managed sysctl файл, точечный reconcile через sysctl -w только для drifted ключей, режимы tcp_bbr off/auto/require, безопасное удаление только managed-файла и атомарная запись конфигурации.

Интегрированы новые CLI-команды apply-network-tuning/inspect-network-tuning, startup reconcile в daemon и секция Network tuning в status. Расширены config/defaults/валидация, обновлен пример конфига и документация. Добавлены unit-тесты для config и sysctl_tuning.

docs/CONFIGURATION.md

@@ -49,6 +49,19 @@ container_ready_timeout_secs = 120
 class_start_id = 10
 ifb_name = "ifb0"
 
+[sysctl_tuning]
+enabled = true
+apply_on_daemon_start = true
+ip_forward = true
+tcp_bbr = "auto"          # off | auto | require
+default_qdisc = "fq"      # none | fq | fq_codel
+rmem_max = 67108864
+wmem_max = 67108864
+netdev_backlog_enabled = true
+netdev_max_backlog = 50000
+udp_rmem_min_enabled = true
+udp_rmem_min = 8192
+
 [host_firewall]
 enabled = true
 ssh_port = 2323
@@ -98,6 +111,21 @@ swappiness = 1
 
 `traffic.ifb_name` — имя IFB-интерфейса для ingress shaping. Production default — `ifb0`. Этот параметр можно оставить в конфиге, потому что бинарь реально создаёт/удаляет этот интерфейс.
 
+`sysctl_tuning` — отдельный host-level модуль управляемого сетевого baseline через `sysctl`:
+
+- persistent-файл: `/etc/sysctl.d/90-awg2-harness-vpn.conf`;
+- runtime apply: только `sysctl -w` и только для drifted keys;
+- на установке `.deb` модуль не применяется;
+- на старте daemon модуль применяется, если `enabled=true` и `apply_on_daemon_start=true`;
+- `tcp_bbr = auto` не валит запуск при недоступном BBR (warning), `require` — валит.
+
+Ограничения модуля:
+
+- не использует `/etc/sysctl.conf`;
+- не запускает `sysctl --system`;
+- не меняет `nftables`, Docker bridge и container-local sysctl;
+- не управляет `net.ipv4.udp_wmem_min` (в Linux документации параметр указан как не имеющий эффекта).
+
 При drift orchestrator всегда делает controlled rebuild owned topology.
 
 `anti_torrent.enabled` — включает nftables connection-count guard против high-peer-count P2P-нагрузки. Это отдельный AWG2 Harness module и часть текущего production-контракта.