Traffic: исправить детект ingress redirect для реального вывода tc

has_ingress_redirect_to_ifb переведён на case-insensitive разбор и поддержку обоих вариантов: dev <ifb> и device <ifb>. Добавлены тесты на lowercase dev-формат и отрицательный кейс с другим ifb.

Также синхронизирован docs/ANTI_TORRENT.md: единая шкала threshold (100 default, 150 мягче, 200/250 permissive, 70 агрессивный), и антипример over 200 явно помечен как non-default/non-production.

docs/ANTI_TORRENT.md

@@ -10,7 +10,7 @@
 
 ## 2. Важное исправление к простой команде
 
-Не использовать такую форму как production rule:
+Не использовать такую форму как production rule (это антипример; `200` здесь не default и не production-рекомендация):
 
 ```nft
 nft add rule inet filter forward ip saddr 10.8.1.0/24 ct count over 200 drop
@@ -75,10 +75,10 @@ max_connections_per_peer = 100
 
 Практические варианты:
 
-- `150` — агрессивнее, больше риск задеть редкие легитимные сценарии.
-- `100` — production default.
-- `150` — мягче и более permissive при редких жалобах.
-- `200/250` — ещё более permissive варианты, если нужно дополнительно снизить риск false positives.
+- `100` — production default, более строгий режим.
+- `150` — мягче, если есть жалобы на false positives.
+- `200/250` — ещё более permissive варианты.
+- `70` — агрессивный режим только после наблюдения реального трафика.
 
 ## 5. Почему это должно быть в orchestrator