agents/codex/done/2026-10-23-ru-family-subscriptions.md

@@ -42,3 +42,15 @@ DE сверён с runbook без изменений: exit24443 включён,
 - renewal-proof.json: 51b59def3d7cb5a9fc1ac1df2c01487e7cc6400345f8d8e22fa499261c656aa7
 
 CI и разрешённое независимое ревью проверяются отдельно на точном SHA PR. Самостоятельного слияния отчёта без review gate нет; automation30 не возобновлялась, новые KAgent/Telegram прогоны не запускались.
+
+## Исправление после пользовательского сбоя: транспорт RU→DE
+
+Позднее владелец сообщил, что Германия не работает; на скриншоте Happ Авто также давал таймауты. Сбой воспроизведён: все три зарубежные контрольные точки через Германию/Авто не проходили, Россия и RU-исключения работали. x-ui обоих серверов active, TCP RU→DE24443 доступен, target/SNI согласованы, прямой интернет DE исправен, временной fault-таблицы нет.
+
+На RU отдельным временным клиентом выполнен чередующийся A/B chrome/firefox/chrome/firefox с неизменными реквизитами vpn-de. В обеих chrome-пробах ipify/gstatic дали таймауты; в обеих firefox-пробах HTTP200/204. Подтверждена зависимость работоспособности от TLS fingerprint; конкретный механизм сетевой фильтрации не установлен.
+
+Перед изменением сохранён согласованный SQLite snapshot /root/codex-de-fingerprint-20261023 (0700/0600) и шаблон. Кандидат проверен native Xray run -test; штатным API изменён только vpn-de.streamSettings.realitySettings.fingerprint chrome→firefox. Автоматический ограниченный rollback подготовлен до применения, затем отменён после проверок. Правила, ключи, клиенты, UUID/subId, подписки, firewall и DE не менялись. Панель остаётся через SSH-туннель по прямому ответу владельца; публичный web-доступ не открывался.
+
+После исправления матрица всех15профилей дала14 PASS и одну неуспешную параллельную пробу Авто/Яна (оба запроса). Отдельная повторная проверка этой строки, Германии/Виктор и Авто/Виктор дала3 PASS с правильными DE/RU ролями; первоначальный неуспех сохранён в доказательствах, не замаскирован. Итоговый аудит подтвердил единственный ожидаемый diff шаблона, x-ui active, rollback отменён. Это исправление текущего транспорта, а не повторный outage-тест или изменение FI/DK.
+
+Дополнительно подготовлены локальные личные QR подписок (0600), независимое декодирование zbar5/5 и свежая загрузка HTTPS5/5. Публичный subURI RU уже был правильным; происхождение показанного владельцем QR с127… не воспроизведено, поэтому не объявляется доказанной причиной серверного сбоя.