fix8: продакшн host firewall + dual reconcile firewall

- добавлена секция host_firewall в конфиг и defaults\n- реализован host firewall reconcile в отдельной таблице\n- apply-firewall теперь делает host firewall + anti-torrent\n- убрана JSON-инспекция из full-table drift для anti-torrent\n- расширен status вывод drift по host firewall/anti-torrent

docs/MIGRATION.md

@@ -189,6 +189,14 @@ container_ready_timeout_secs = 120
 class_start_id = 10
 ifb_name = "ifb0"
 
+[host_firewall]
+enabled = true
+ssh_port = 2323
+amnezia_port = 443
+amnezia_protocols = ["udp"]
+allow_icmp = true
+default_input_policy = "drop"
+
 [anti_torrent]
 enabled = true
 max_connections_per_peer = 100
@@ -204,7 +212,7 @@ window_end_utc = "02:00"
 enabled = true
 path = "/swapfile"
 size_mb = 2048
-priority = -2
+priority = 1
 swappiness = 1
 ```
 
@@ -249,7 +257,7 @@ WantedBy=multi-user.target
 
 ## 12. Reboot и swap
 
-Логика reboot работает только через встроенный scheduler `traffic_core`. Окно перезагрузки задаётся в конфиге, включая корректные окна через полночь. Механика `systemctl --no-block reboot` сохраняется.
+Логика reboot вынесена в отдельный production-бинарь `reboot_module` (`awg2-reboot-scheduler`). Окно перезагрузки задаётся в конфиге, включая корректные окна через полночь. Механика `systemctl --no-block reboot` сохраняется.
 
 `ensure-swap` работает как exclusive reconciler: при `swap.enabled=true` пакет полностью владеет swap-state хоста. После reconcile активен ровно один swap (`swap.path`), все прочие активные swap entries выключены (`swapoff`), а все старые swap-строки в `/etc/fstab` заменены на одну managed-запись AWG2. Для block-device swap выполняются только `swapoff` и удаление записи из `fstab`; device не удаляется.