fix(orchestrator): сделать staged firewall guard транзакционным

Снятие автоматического отката firewall было утверждением, а не фактом:

    systemctl stop <unit>.timer <unit>.service || true
    -> "firewall rollback timer disarmed"
    -> phase=installed

Отказ остановки стирался через `|| true`, и взведённый таймер мог вернуть
прежний firewall уже ПОСЛЕ долговечной записи успеха. Просто убрать `|| true`
нельзя: для транзиентного юнита, уже убранного systemd, `systemctl stop`
возвращает 5 — законный исход, неотличимый от успеха.

Соседний дефект того же корня: guard мог сработать ВО ВРЕМЯ успешного smoke.
Окно 45 секунд короче худшего случая smoke, а единственной проверкой firewall
был `nft -c` — разбор текущего файла, каким бы он ни был. Откатившийся прежний
ruleset проходил её зелёным, и сервер объявлялся настроенным с firewall,
который операция же и заменила.

Оба закрываются маркером /run/hy2xs/rollback/<op>/auto-rollback-fired, который
rollback-скрипт создаёт первым действием. Инвариант стал детерминированным:

    маркер отсутствует И timer/service inactive => можно фиксировать успех

Остальное в том же проходе:

- auto-rollback переехал из однострочного `sh -c` в сгенерированный скрипт.
  Прежний держался на склейке соседних кавычек и на том, что op-id не содержит
  пробелов; теперь ключ проверяется, а скрипт покрыт тестом и shell-парсером;
- скрипт накапливает rc и уходит в failed вместо молчаливого 0 при частичном
  восстановлении. Состояние nftables.service он сознательно не трогает:
  ExecStop у него делает `nft flush ruleset`;
- smoke сверяет ЭФФЕКТИВНЫЙ firewall: фрагмент на диске против отрендеренного,
  принадлежность entrypoint и загруженность таблицы inet hy2xs;
- откат восстанавливает enabled/active nftables.service — стадиями, идущими до
  применения ruleset;
- остановка guard'а в rollbackFirewallNow стала стадией с отчётом, а не вызовом
  с `|| true` внутри;
- `*.candidate` больше не остаются на диске навсегда;
- стадии восстановления reconfigure независимы по ОТДЕЛЬНОМУ ФАЙЛУ, а не по
  группе;
- ключ операции считается одной функцией: install писал в маркер сырой
  ISO-timestamp, и путь /run/hy2xs/rollback/<op_id> из runbook не существовал.

orchestrator/src/steps/smoke.ts

@@ -4,6 +4,7 @@ import { readText } from "../lib/fs";
 import { runReadOnly, runReadOnlySecret, runMutatingVisible } from "../lib/process";
 import { HYSTERIA_MACHINE_AUTH_PATH, hysteriaMachineAuthUrl } from "../config/profile";
 import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
+import { assertEffectiveFirewallIsOurs } from "./firewall";
 
 function parseLocalAddress(line: string): string {
   const cols = line.trim().split(/\s+/);
@@ -225,6 +226,16 @@ export async function smoke(context: RuntimeContext): Promise<void> {
   // синтаксиса, а не изменение ruleset.
   await runReadOnly`nft -c -f /etc/nftables.conf`;
 
+  // Разбор файла ничего не говорит о том, ЧЕЙ это файл.
+  //
+  // Пока единственной проверкой firewall был `nft -c`, сработавший за время
+  // smoke автоматический откат оставался незамеченным: он возвращал прежний —
+  // синтаксически валидный — ruleset, проверка проходила зелёной, и операция
+  // объявляла успешной установку, работающую на firewall, который она же
+  // только что заменила.
+  info("verifying that the effective firewall is the one generated for this configuration");
+  await assertEffectiveFirewallIsOurs(context);
+
   // Семантическая проверка установленного конфига: разбираем YAML и сверяем
   // с production-профилем, а не ищем подстроки.
   info("verifying effective Hysteria config against HY2XS production profile");