fix: make the reboot plan trustworthy and report unreadable sysctl files [P2]

Three diagnostic defects from the follow-up audit.

1. The reboot plan was entirely best-effort.

   persist_plan discarded the directory creation, the write and every error. The plan file
   is the only thing on the host that says when it is going to reboot, so a failed write
   produced a scheduler sitting on a timer that nothing could report. It now creates the
   directory, writes through a temp file with sync_all and rename, and returns Result.

   The plan also outlived its meaning in two places. With reboot.enabled = false the
   scheduler exited without touching a plan written when it was still enabled, so status
   kept advertising a reboot that would never happen. And after systemd accepted the reboot
   request the plan stayed behind, leaving a past timestamp looking pending. Both paths now
   clear it; an absent plan is the desired end state, not an error.

2. sysctl status turned a read failure into "file absent".

   inspect_sysctl_tuning used fs::read_to_string(..).ok() for both managed files, so an
   unreadable file was reported as missing - a diagnostic stating the opposite of the
   truth, in the module whose whole job is to report drift accurately. Reads now go through
   ManagedFile::read, which distinguishes absent from unreadable, and an unreadable file
   produces its own drift reason naming the path and the error.

3. README described the removed ExecStartPre.

   It still said the service runs ensure-swap before starting the daemon. The daemon
   performs it as the first step of its own startup sequence.

Docs also state explicitly what survives swap.enabled = false, which was implied but never
written: the swapfile, its activation and the /etc/fstab entry all remain, so swap comes
back after a reboot. Only the vm.swappiness persistence is removed.

Acceptance checklist gained seven checks covering the priority-only path not recreating the
file, swap remaining active throughout a resize, foreign-swap rollback, the unreadable
status, and both reboot-plan lifecycle cases.

cargo test --workspace: 179 + 4 passed. clippy -D warnings clean.

docs/ACCEPTANCE_CHECKLIST.md

@@ -139,7 +139,13 @@
 - [ ] `swap` пишет `vm.swappiness` в `/etc/sysctl.d/90-awg2-harness-swap.conf`, а не в `99-awg2-harness.conf`.
 - [ ] При обновлении с прежней версии `/etc/sysctl.d/99-awg2-harness.conf` удаляется, если несёт маркер `# Managed by awg2-harness`.
 - [ ] Файл по пути `99-awg2-harness.conf` без этого маркера остаётся нетронутым и не ломает `ensure-swap`.
-- [ ] При `swap.enabled = false` файл `90-awg2-harness-swap.conf` удаляется, активный swap **не** выключается, runtime `vm.swappiness` не переопределяется.
+- [ ] При `swap.enabled = false` файл `90-awg2-harness-swap.conf` удаляется, а swapfile, его активность и запись в `/etc/fstab` **остаются** — после перезагрузки swap снова включится; удаляется только persistence `vm.swappiness`.
+- [ ] Изменение только `swap.priority` не пересоздаёт swapfile (проверяется по неизменившемуся mtime файла).
+- [ ] При изменении `swap.size_mb` на активном swap хост не остаётся без swap во время `fallocate`/`mkswap`: в `/proc/swaps` всё время присутствует хотя бы одна запись.
+- [ ] Если `swapoff` второго чужого swap падает, ранее отключённые чужие swap возвращаются в активное состояние.
+- [ ] Нечитаемый managed sysctl-файл даёт в `status` причину `managed sysctl file is unreadable`, а не «файл отсутствует».
+- [ ] При `reboot.enabled = false` файл `/run/awg2-harness/reboot.plan` удалён, `status` не показывает устаревший план.
+- [ ] После принятия запроса на перезагрузку `reboot.plan` удалён.
 - [ ] Любой managed-файл под `/etc`, у которого первая строка не содержит маркер владельца, не перезаписывается и не удаляется.
 - [ ] Runtime apply меняет только drifted keys (`sysctl -w`), без `sysctl --system`.
 - [ ] При `tcp_bbr = auto` и недоступном BBR сервис не падает, в статусе есть warning.