fix: harden firewall and traffic reconciliation

config.example.toml

@@ -18,13 +18,21 @@ wg_binaries = ["awg", "wg"]
 #   docker exec "$C" awg show
 peer_ipv4_cidr = "10.8.1.0/24"
 
+# Ожидаемый внешний UDP-порт, опубликованный Docker для AWG.
+# Это diagnostic contract, а не правило host INPUT firewall.
+expected_host_udp_port = 443
+
 [traffic]
 enabled = true
 peer_limit = "50mbit"
 root_rate = "500mbit"
 reconcile_interval_secs = 15
 container_ready_timeout_secs = 120
+# Textual minor id для tc: допустимо только 10..=9999. Число peers также
+# не должно выводить последний class id за 9999.
 class_start_id = 10
+# Созданный Harness IFB получает alias awg2-harness:traffic. Существующий
+# интерфейс с тем же именем без этого alias считается чужим и не удаляется.
 ifb_name = "ifb0"
 
 [sysctl_tuning]
@@ -63,13 +71,9 @@ udp_rmem_min = 8192
 enabled = true
 # Должен совпадать с реально слушающим портом sshd до apply-firewall.
 ssh_port = 2323
-# Должен совпадать с опубликованным Docker/Amnezia UDP-портом.
-# Проверка: docker port amnezia-awg2 2>/dev/null || docker port amnezia-awg
-# Транспортный порт AmneziaWG/AWG, опубликованный Docker, обычно 443/udp.
-# Это не AmneziaDNS. Не указывайте здесь 53.
-amnezia_port = 443
-amnezia_protocols = ["udp"]
 allow_icmp = true
+# Конечный verdict собственной AWG2H_A/AWG2H_B chain; policy встроенного
+# INPUT Harness не меняет.
 default_input_policy = "drop"
 
 [anti_torrent]