Реализован production-модуль sysctl_tuning и полная интеграция fix33

Добавлен отдельный host-level модуль sysctl_tuning без легаси-подходов: managed sysctl файл, точечный reconcile через sysctl -w только для drifted ключей, режимы tcp_bbr off/auto/require, безопасное удаление только managed-файла и атомарная запись конфигурации.

Интегрированы новые CLI-команды apply-network-tuning/inspect-network-tuning, startup reconcile в daemon и секция Network tuning в status. Расширены config/defaults/валидация, обновлен пример конфига и документация. Добавлены unit-тесты для config и sysctl_tuning.

docs/IMPLEMENTATION_SPEC.md

@@ -44,6 +44,8 @@ Subcommands:
 ```bash
 awg2-harness daemon
 awg2-harness apply-limits
+awg2-harness apply-network-tuning
+awg2-harness inspect-network-tuning
 awg2-harness apply-firewall
 awg2-harness status
 awg2-harness ensure-swap
@@ -51,6 +53,15 @@ awg2-harness validate-config
 awg2-harness validate-runtime
 ```
 
+`apply-network-tuning`/`inspect-network-tuning` относятся к отдельному host-level модулю `sysctl_tuning`.
+Этот модуль:
+
+- управляет только sysctl параметрами хоста;
+- пишет только `/etc/sysctl.d/90-awg2-harness-vpn.conf`;
+- применяет runtime-изменения точечно (`sysctl -w`) только для drifted keys;
+- не использует `/etc/sysctl.conf` и `sysctl --system`;
+- не управляет `udp_wmem_min`.
+
 ## 3. Module layout
 
 Recommended Rust module split: