Оценка перехода публичной балансировки на схему без conntrack

Зафиксирован разбор шага 4: осуществимость замены ct(commit,nat) /
ct(nat) на публичном пути статическими правилами DNAT/un-DNAT без
состояния, при сохранении требования "бэкенд видит реальный IP
клиента, клиент получает корректный ответ от VIP".

Ключевые находки:
- условие периметра — бэкенды не должны быть достижимы клиентами
  напрямую, иначе ответ на прямой запрос неотличим от ответа на
  сессию через VIP по заголовкам;
- связность be<->be между разными сегментами сохраняется правилом
  nw_dst=$PUB_NET в un-DNAT; связность внутри одного сегмента (т.24,
  шаг 3) требует отдельного решения и не входит в объём public-only
  оценки;
- установленные сессии перестают быть защищены ct при смене состава
  пула — принимаемый компромисс, ранее предсказанный в STEP2_SUMMARY;
- доставка до физического сервера по MAC в EVPN-фабрике — отдельный,
  не связанный с conntrack вопрос модели adjacency (табл. 21).

Это оценка осуществимости, не план внедрения и не реализация.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -21,6 +21,7 @@
 | — | Расширение пула до четырёх бэкендов | [план](docs/CHANGE_POOL_4_MEMBERS_PLAN.md) | [итоги](docs/CHANGE_POOL_4_MEMBERS_SUMMARY.md) |
 | 3 | Листенер в приватном сегменте, коммутация сегментов | [план](docs/STEP3_IMPLEMENTATION_PLAN.md) | [итоги](docs/STEP3_SUMMARY.md) |
 | — | Разделение документации по потокам данных | [план](docs/CHANGE_SPLIT_DATAFLOW_DOCS_PLAN.md) | [итоги](docs/CHANGE_SPLIT_DATAFLOW_DOCS_SUMMARY.md) |
+| 4 | Публичная балансировка без conntrack | — | [оценка осуществимости](docs/STEP4_PUBLIC_STATELESS_ASSESSMENT.md) |
 
 Как устроена раскладка слотов — [docs/MAGLEV_SLOT_TABLE.md](docs/MAGLEV_SLOT_TABLE.md)
 (справка по `hc/maglev.go` для разработки). Что нужно изменить для перевода ноды