Документация и postinst UX: безопасная проверка checksum и preflight-first

docs/INSTALLATION.md

@@ -40,7 +40,7 @@ cargo test --locked --workspace --release --manifest-path Cargo.toml
 
 ```bash
 ./tools/build.sh --package --version 0.1.6
-sha256sum -c dist/SHA256SUMS
+(cd dist && sha256sum -c SHA256SUMS)
 dpkg-deb -I dist/awg2-harness_0.1.6_amd64.deb
 dpkg-deb -c dist/awg2-harness_0.1.6_amd64.deb | sort
 ```
@@ -176,6 +176,27 @@ ports={"53/tcp":null,"53/udp":null}
 
 Это означает, что DNS не опубликован на публичном host-интерфейсе и остаётся доступным только через VPN/Docker path.
 
+Negative-check публичного DNS:
+
+```bash
+nslookup example.com <server-public-ip>
+```
+
+Ожидаемое поведение: публичный DNS-запрос **не должен успешно резолвиться**. Типичные безопасные варианты ответа: `connection refused`, `timeout` или `no servers could be reached`.
+
+Optional deep-check DNS path (если нужна углублённая проверка):
+
+```bash
+apt install -y dnsutils
+
+DNS_PID="$(docker inspect -f '{{.State.Pid}}' amnezia-dns)"
+AWG_PID="$(docker inspect -f '{{.State.Pid}}' amnezia-awg2)"
+
+nsenter -t "$DNS_PID" -n ss -lntup
+nsenter -t "$AWG_PID" -n ip route
+nsenter -t "$AWG_PID" -n dig @172.29.172.254 example.com A +short
+```
+
 ## C. Transfer artifacts
 
 Ниже два production-сценария установки.