Реализован production-hardening по fix1: env/reconfigure, IPv4-only, TLS, secrets, firewall, docs

docs/03-server-hysteria2.md

@@ -59,11 +59,18 @@ Hysteria2 — основной транспортный компонент се
 ## TLS
 
 Требования:
-- нормальный домен
+- production default: `acme`
+- поддерживаемые режимы: `acme | file | self_signed_dev`
+- `self_signed_dev` только для dev/lab
 - корректный `server_name` / SNI на клиентах
 - одна понятная TLS policy
 - без смешивания нескольких несовместимых схем по умолчанию
 
+Инварианты:
+- `acme` -> только `acme` block в конфиге;
+- `file` -> только `tls.cert`/`tls.key` block;
+- `self_signed_dev` -> только dev сценарии.
+
 ## Auth policy
 
 Для baseline выбирается одна предсказуемая auth-модель.
@@ -88,6 +95,7 @@ Hysteria2 — основной транспортный компонент се
 
 - `/etc/hysteria/config.yaml`
 - `/var/lib/hysteria/`
+- `/etc/hy2xs/hy2xs.env`
 - `/etc/hysteria/post-install.env`
 
 ## Серверные инварианты