Продакшн-фиксы install/reconfigure: rollback, firewall lifecycle, preflight и runbook

README.md

@@ -55,6 +55,15 @@ https://git.ext.flamy.studio/flamy_dev/HY2XS_flamy.git
 
 На чистом Debian 12 target нужно распаковать архив и запустить от root:
 
+Обязательные системные зависимости target-хоста:
+
+```sh
+apt-get update
+apt-get install -y sudo ca-certificates curl iproute2 tar openssl nftables systemd
+```
+
+`sudo` является обязательной зависимостью target-хоста. Он используется не для интерактивной установки, а для smoke-проверок прав доступа от имени runtime-пользователей.
+
 ```sh
 ./install.sh --non-interactive
 ```
@@ -72,8 +81,11 @@ https://git.ext.flamy.studio/flamy_dev/HY2XS_flamy.git
 ```sh
 hy2xs-orchestrator reconfigure --package-dir /usr/local/lib/hy2xs/package --config /etc/hy2xs/hy2xs.env --dry-run
 hy2xs-orchestrator reconfigure --package-dir /usr/local/lib/hy2xs/package --config /etc/hy2xs/hy2xs.env --apply
+hy2xs-orchestrator doctor --package-dir /usr/local/lib/hy2xs/package --config /etc/hy2xs/hy2xs.env
 ```
 
+`HY2XS_ADMIN_INITIAL_PASSWORD` и `HY2XS_ADMIN_CON_PASS` — install-only bootstrap-поля. Их изменение в `/etc/hy2xs/hy2xs.env` после установки не ротирует существующие credentials в SQLite автоматически.
+
 Ключевые инварианты:
 
 - только IPv4 (`0.0.0.0:<port>` для Hysteria, `127.0.0.1:<ui_port>` для UI по умолчанию);