fix34: устранён import-time баг i18n, усилен SSH tunnel policy и doctor warning

docs/12-operations-and-troubleshooting.md

@@ -107,6 +107,50 @@ curl -sS \
 - совпадает ли `HUI_INSTALL_DIR` с реальностью
 - не сломан ли bind host / port
 
+### Admin UI access via SSH tunnel
+
+Production-модель для UI: `HY2XS_UI_BIND_HOST=127.0.0.1`, внешний доступ к `8080/tcp` не открывается.
+Доступ оператора выполняется через SSH local forwarding.
+
+Windows-команда туннеля:
+
+```bash
+ssh -p 2323 \
+  -i C:\Users\kirap\.ssh\id_ed25519_uk1 \
+  -N \
+  -L 127.0.0.1:8080:127.0.0.1:8080 \
+  root@185.156.108.141
+```
+
+После запуска открыть `http://127.0.0.1:8080/#/login`.
+
+Если SSH-туннель не поднимается (`administratively prohibited`), проверить effective SSH policy:
+
+```bash
+sshd -T | grep -E '^(port|allowtcpforwarding|permitopen|gatewayports|passwordauthentication|permitrootlogin) '
+```
+
+Рекомендуемый фрагмент hardening `sshd_config`:
+
+```sshconfig
+Port 2323
+PubkeyAuthentication yes
+PasswordAuthentication no
+KbdInteractiveAuthentication no
+PermitRootLogin prohibit-password
+
+AllowTcpForwarding local
+PermitOpen 127.0.0.1:8080 localhost:8080
+GatewayPorts no
+
+X11Forwarding no
+AllowAgentForwarding no
+MaxAuthTries 3
+LoginGraceTime 20
+ClientAliveInterval 300
+ClientAliveCountMax 2
+```
+
 ### Hysteria скачалась, но не стартует
 Проверить:
 - валиден ли config

docs/13-production-runbook.md

@@ -99,7 +99,51 @@ hy2xs-orchestrator doctor --package-dir /usr/local/lib/hy2xs/package --config /e
 
 Команда выполняет preflight + smoke как post-install/post-reboot validation.
 
-## 13. Secret-safe config sharing
+## 13. Admin UI access via SSH tunnel
+
+Production policy: UI остаётся loopback-only (`HY2XS_UI_BIND_HOST=127.0.0.1`), внешний доступ к `8080/tcp` не открывается.
+Операторский доступ выполняется через SSH local forwarding.
+
+Windows tunnel command:
+
+```bash
+ssh -p 2323 \
+  -i C:\Users\kirap\.ssh\id_ed25519_uk1 \
+  -N \
+  -L 127.0.0.1:8080:127.0.0.1:8080 \
+  root@185.156.108.141
+```
+
+Open in browser: `http://127.0.0.1:8080/#/login`.
+
+Если туннель падает с `administratively prohibited`, проверить effective sshd-конфиг:
+
+```bash
+sshd -T | grep -E '^(port|allowtcpforwarding|permitopen|gatewayports|passwordauthentication|permitrootlogin) '
+```
+
+Recommended sshd hardening fragment:
+
+```sshconfig
+Port 2323
+PubkeyAuthentication yes
+PasswordAuthentication no
+KbdInteractiveAuthentication no
+PermitRootLogin prohibit-password
+
+AllowTcpForwarding local
+PermitOpen 127.0.0.1:8080 localhost:8080
+GatewayPorts no
+
+X11Forwarding no
+AllowAgentForwarding no
+MaxAuthTries 3
+LoginGraceTime 20
+ClientAliveInterval 300
+ClientAliveCountMax 2
+```
+
+## 14. Secret-safe config sharing
 
 Для передачи конфигов в тикеты/чаты используйте встроенную redaction-команду: