Исправлен rollback/firewall lifecycle и shell execution, синхронизирована документация

README.md

@@ -10,7 +10,9 @@ HY2XS — production installer/runtime-manager для развёртывания
 - vanilla Hysteria2 устанавливается как pinned binary (version/url/sha256 из metadata install package);
 - runtime-конфиг управляется через `/etc/hy2xs/hy2xs.env` и команду `reconfigure`.
 
-В baseline намеренно не входят target-side build, rollback/uninstall orchestration, Telegram bot delivery, port hopping и generic server-manager функции.
+В baseline намеренно не входят target-side build, standalone rollback/update/uninstall subcommands, Telegram bot delivery, port hopping и generic server-manager функции.
+
+При этом install/reconfigure содержат bounded rollback для failure-сценариев firewall/systemd/config/smoke.
 
 ## Структура репозитория
 
@@ -64,6 +66,8 @@ apt-get install -y sudo ca-certificates curl iproute2 tar openssl nftables syste
 
 `sudo` является обязательной зависимостью target-хоста. Он используется не для интерактивной установки, а для smoke-проверок прав доступа от имени runtime-пользователей.
 
+`sudo` должен быть установлен до запуска `./install.sh`: preflight проверяет его до шага `installDeps`, поэтому deps-стадия не является bootstrap-слоем для `sudo`.
+
 ```sh
 ./install.sh --non-interactive
 ```