feat(httpapi): remove firewall HTTP/UI after EvoFirewall cutover

Все /v1/firewall/* отвечают 410 Gone; UI и docs указывают на EvoFirewall.

Co-authored-by: Cursor <[email protected]>

docs/firewall.md

@@ -1,52 +1,15 @@
-# Firewall blocklist
+# Firewall (deprecated in EvoBGP)
 
-Подсистема синхронизации blocklist на произвольные Linux-серверы через bash-скрипт и HTTP API.
+**Hard cutover:** подсистема firewall перенесена в отдельный продукт **[EvoFirewall](https://git.shts.su/denozord/EvoFirewall)**.
 
-## Авторизация
+Все HTTP-эндпоинты `/v1/firewall/*` в EvoBGP отвечают **410 Gone**.
 
-1. **Enroll** — `POST /v1/firewall/enroll` с заголовком `X-EvoBGP-Seed` (значение `EVOBGP_BUNDLE_SEED_HEX` на CP). Клиент генерирует токен `evobgp_fw_*` локально.
-2. **Approve** — operator в Web UI (`/firewall` → Запросы).
-3. **Sync** — `GET /v1/firewall/blocklist` с `Authorization: Bearer <client_token>`.
+Таблицы `firewall_client` / `firewall_rule` в БД оставлены (не удаляются миграциями) для истории; API/UI/scripts больше не обслуживают их.
 
-## Политика block/accept
+## Миграция клиентов
 
-- **`block`** — добавить префиксы выбранного BGP community в kernel blocklist.
-- **`accept`** — не блокировать префиксы этого community.
-- **Community** — правило применяется к префиксам с этим `community_id` в опубликованной revision; пустое значение («Все») — ко всем communities.
-- **Default** — accept (пустой blocklist без явных `block`).
+1. Разверните EvoFirewall (auth-portal app id `fw`).
+2. Переустановите агенты one-liner'ом EvoFirewall (`/v1/agent/install.sh`).
+3. Для списков по community создайте IP list type `evobgp_community` и укажите `EVOBGP_API_URL` + token в настройках EvoFirewall.
 
-Порядок: сначала per-server overrides клиента, затем tenant-default. Для каждого community берётся первое подходящее правило по приоритету.
-
-Справочник communities: Web UI → Справочники, или модули с привязкой community к префиксам.
-
-## Установка на сервер
-
-Публичные URL (без API-ключа, вне `WEBUI_IP_WHITELIST` Traefik): `GET /v1/firewall/install.sh`, `GET /v1/firewall/sync-script`, `POST /v1/firewall/enroll`. Всегда **HTTPS**.
-
-Требуется миграция **`000027_firewall`** в PostgreSQL (применяется при старте API с актуальным бинарём). Если enroll отвечает `503` / `database schema outdated` — перезапустите `evobgp-api` / `evobgp-all` после деплоя новой версии.
-
-```bash
-curl -fsSL https://<api>/v1/firewall/install.sh | \
-  EVOBGP_CP_URL=https://<api> \
-  EVOBGP_SEED=<bundle_seed_hex> \
-  EVOBGP_CLIENT_NAME="web-01" \
-  bash
-```
-
-Файлы: `/etc/evobgp/firewall.conf`, `/usr/local/sbin/evobgp-firewall.sh`, systemd timer `evobgp-firewall.timer`.
-
-После **approve** в UI выполните на сервере (или дождитесь timer):
-
-```bash
-sudo rm -f /var/lib/evobgp-firewall/last_hash
-sudo /usr/local/sbin/evobgp-firewall.sh
-sudo nft list table inet evobgp_blocklist
-```
-
-Для парсинга JSON нужен `jq` или `python3` (install.sh ставит `jq` на Debian/Ubuntu при отсутствии).
-
-## Failover через speaker
-
-При `EVOBGP_FIREWALL_FAILOVER_ENABLED=1` на speaker-agent CP реплицирует состояние через `POST /v1/agent/firewall-replicate`. Клиенты используют тот же DNS-домен.
-
-См. также [access.md](access.md), [remote-speakers.md](remote-speakers.md).
+Старые токены `evobgp_fw_*` **не** переносятся — только re-enroll.