fix(orchestrator): закрыть два остатка на стыке guard и замка операций

Оба дефекта — в механизмах, введённых предыдущими коммитами, и оба относятся к
гарантиям, ради которых эти механизмы вводились.

1. Отказ записи `auto-rollback-fired` оставался незамеченным.

Инвариант фиксации "маркера нет и юниты inactive => guard не сработал" верен
только при дополнительном условии "guard способен записать маркер". Пока `rc=0`
стояло ПОСЛЕ создания маркера, отказ записи (заполненный tmpfs /run, read-only
ФС) не влиял ни на что: скрипт успешно восстанавливал прежний firewall,
завершался кодом 0, юнит уходил в inactive, маркера не было — и операция
фиксировала успех после реально сработавшего отката.

`rc` объявляется до первой операции, включая создание маркера, а ранний выход
возвращает его вместо жёсткого `exit 0`. У факта срабатывания появилось два
независимых канала: маркер и отказ юнита, потому что на пути фиксации успеха
допустим ровно один ActiveState — inactive.

Заодно маркер создаётся `touch`, а не `: >file`: двоеточие — special builtin
POSIX, ошибка перенаправления на нём обязана завершить неинтерактивный shell
целиком, и в dash скрипт умер бы ДО восстановления firewall.

2. Новая операция могла начаться, пока guard предыдущей ещё вооружён.

Замок действует, пока жив процесс-держатель. Guard — отдельный объект systemd,
переживающий свой процесс:

    A берёт замок -> применяет firewall -> вооружает guard на 45s
    A аварийно умирает
    B берёт замок и начинает менять production paths
    guard A срабатывает и возвращает firewall, который был ДО A

Случай SIGTERM/SIGHUP хуже, чем kill -9: обработчик снимает замок сам, поэтому
проверка живости держателя не видит вообще ничего, а таймер остаётся.

Введён барьер покоя `assertNoPendingRollbackGuard`, через который проходит
каждый захват замка — дважды, до и после, потому что между ними умирающая
операция успевает вооружить guard, — и PHASE 0 установщика. Непокоем считаются
active/activating/deactivating/reloading; `failed` и `inactive` — покой, иначе
барьер блокировал бы `repair`, которым чинят последствия.

Плюс P1: восстановление UnitFileState у nftables.service больше не обещает
точности, которой не даёт. `enable --runtime` не удаляет постоянную ссылку,
поэтому "восстановление" enabled-runtime оставляло юнит включённым в обоих
scope. Восстанавливаются enabled/disabled — то, что операция реально меняет, —
остальные состояния называются оператору и не трогаются.

Тесты: поведенческая проверка раннего пути rollback-скрипта настоящим shell
(ветка заканчивается до первой команды восстановления и безопасна для запуска),
проверка двойного вызова барьера и снятия замка при его отказе, структурные
инварианты. Приёмка и docs (D1h, уточнение D1f) — там же.

docs/12-operations-and-troubleshooting.md

@@ -197,6 +197,33 @@ operation lock … exists but is not a valid HY2XS lock record
 В отчёте `status` при этом появляется поле `operation_in_progress` — читайте
 состояние как снимок незавершённой транзакции, а не как итог.
 
+### Операция отказывает: guard предыдущей операции ещё вооружён
+
+```text
+previous HY2XS operation is no longer running, but its firewall rollback guard
+is still armed: hy2xs-fw-rollback-<op-id>.timer (active)
+```
+
+Предыдущая операция умерла аварийно **после** применения firewall. Её процесса
+уже нет — замка может не быть тоже, — но rollback guard это отдельный объект
+systemd, и он переживает свой процесс. Если начать новую операцию сейчас, guard
+сработает посреди неё и вернёт firewall, существовавший до **предыдущей**
+операции.
+
+Ничего делать не нужно, кроме как подождать: окно guard — 45 секунд с момента
+применения firewall.
+
+```bash
+# сколько ещё ждать и что именно висит
+systemctl list-units --all 'hy2xs-fw-rollback-*'
+hy2xs-orchestrator status --package-dir /usr/local/lib/hy2xs/package
+```
+
+Когда guard сработает, юнит перестанет быть `active`, и операция пройдёт.
+Состояние `failed` у него покою не мешает: оно означает, что откат отработал
+не полностью, и это как раз повод запустить `repair`, а не ждать дальше —
+подробности в `journalctl -u 'hy2xs-fw-rollback-*'`.
+
 ### Установка отказала с `firewall_guard_fired`
 
 ```text