fix9: безопасный host firewall apply и строгий конфиг

- host_firewall секция стала обязательной (убран silent enable)\n- host firewall применяется атомарным nft batch\n- добавлен verify-after-apply с hard-fail при drift\n- усилен tolerant parser drift (кавычки, ipv6-icmp alias)\n- расширены unit-тесты config/firewall\n- дополнен acceptance checklist блоком host firewall

docs/ACCEPTANCE_CHECKLIST.md

@@ -117,6 +117,18 @@
 - [ ] Известно, как вернуть `amnezia-tc.service` и `amnezia-tc-watcher.service`.
 - [ ] Rollback проверен на тестовом сервере.
 
+## L. Host firewall (ports/SSH safety)
+
+- [ ] `awg2-harness validate-config` падает, если отсутствует секция `[host_firewall]`.
+- [ ] `apply-firewall` не блокирует SSH на `host_firewall.ssh_port` (default `2323`).
+- [ ] После `apply-firewall` порт `host_firewall.amnezia_port` (default `443`) доступен по всем протоколам из `host_firewall.amnezia_protocols`.
+- [ ] Если эксплуатационно требуется закрыть legacy SSH `22`, это явно подтверждено проверкой доступа на `ssh_port` перед закрытием `22`.
+- [ ] При `host_firewall.enabled = false` удаляется только таблица `inet awg2_host_firewall`.
+- [ ] Повторный `apply-firewall` идемпотентен и не вносит лишних изменений в healthy state.
+- [ ] При невалидном `host_firewall.amnezia_protocols` (`icmp`, `foo`, дубли) `validate-config` завершается ошибкой.
+- [ ] После `docker restart` anti-torrent правила продолжают восстанавливаться корректно и не ломаются host firewall логикой.
+- [ ] Проверено, где реально проходит VPN-трафик в вашей Docker-схеме (`INPUT` vs `FORWARD`) и это отражено в эксплуатационной заметке.
+
 ## K. Packaging / release
 
 - [ ] Package собирается на отдельной Debian 13 amd64 build-machine.