fix(openvpn-phone): switch from static key to TLS peer-fingerprint

The Android client ships OpenVPN 2.7, which refuses a --secret config
("Options error: No tls-client or tls-server option"; 2.8 drops it
entirely). Rework the phone instance to a CA-less TLS point-to-point:
two self-signed EC keypairs generated on ru-vps (server.* / client.*),
each side pins the other by SHA256 with peer-fingerprint, data-ciphers
AES-256-GCM. Everything else unchanged (tcp/9444, tun2, 10.80.0.0/30,
NAT via tun0, systemd unit, shared homelab_vpn_client_routes).

Verified on ru-vps 2026-09-03: openvpn 2.6.19 starts clean ("Using
certificate fingerprint to verify peer"), listens on 9444, tun2 up,
make openvpn-phone idempotent (changed=0 on rerun), make lint green.
The regenerated ansible/generated/ada-phone.ovpn (self-contained
cert+key, gitignored) was handed to the operator.

openvpn-laptop.yml is left on static key — not deployed; needs the same
TLS treatment when someone actually uses it.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01KbuZrUoevfBgCpf5DCF4DG

docs/ai/plan.md

@@ -5,23 +5,33 @@
 ### Road-warrior OpenVPN для телефона
 
 Выполнено 2026-09-03. `playbooks/openvpn-phone.yml` (`make openvpn-phone`)
-поднимает на ru-vps отдельный point-to-point static-key инстанс:
-порт 9444/tcp, `tun2`, сеть 10.80.0.0/30, юнит `homelab-openvpn-phone`,
-NAT `10.80.0.0/30 -> LAN` через `tun0`. Профиль (с секретом) —
-`ansible/generated/ada-phone.ovpn` (gitignored). Клиент — «OpenVPN for
-Android» (Arne Schwabe); официальный OpenVPN Connect static key не умеет.
+поднимает на ru-vps отдельный TLS point-to-point инстанс: порт 9444/tcp,
+`tun2`, сеть 10.80.0.0/30, юнит `homelab-openvpn-phone`, NAT
+`10.80.0.0/30 -> LAN` через `tun0`. Профиль (с приватным ключом) —
+`ansible/generated/ada-phone.ovpn` (gitignored).
 
-Прогон идемпотентен (третий заход `changed=0`). Проверено: сервис active,
-`tun2` up, UFW 9444/tcp, NAT-правило на месте, с ru-vps `192.168.1.30:8082`
-достижим. Маршруты клиента вынесены в `homelab_vpn_client_routes`
-(`group_vars/all/main.yml`) — общий список с `openvpn-laptop.yml`, не весь
-`/24` (домашняя сеть телефона тоже 192.168.1.0/24).
+Крипто: **peer-fingerprint, без CA/PKI**. На ru-vps генерятся две
+самоподписанные EC-пары (`server.*`, `client.*`), стороны пинят друг друга
+по SHA256-отпечатку (`peer-fingerprint`), `data-ciphers AES-256-GCM`. Первая
+попытка была на static key (`--secret`) — Android-клиент несёт OpenVPN 2.7 и
+запускать её отказался («No tls-client or tls-server option»; 2.8 уберёт
+совсем). Клиент на Android — «OpenVPN for Android» (Arne Schwabe) или
+OpenVPN Connect: TLS-конфиг понимают оба.
+
+Прогон идемпотентен (`changed=0` на повторе). Проверено: сервис active,
+OpenVPN 2.6.19 слушает 9444, `tun2` up, `Using certificate fingerprint to
+verify peer`, UFW 9444/tcp, NAT-правило на месте, с ru-vps
+`192.168.1.30:8082` достижим. Маршруты клиента вынесены в
+`homelab_vpn_client_routes` (`group_vars/all/main.yml`) — общий список с
+`openvpn-laptop.yml`, не весь `/24` (домашняя сеть телефона тоже
+192.168.1.0/24).
 
 Побочно: в `openvpn-laptop.yml` и `openvpn-phone.yml` локальная запись
 профиля переведена с `become: false` на `vars: {ansible_connection: local,
 ansible_become: false}` — ключ `become: false` на `delegate_to: localhost`
 не подавлял унаследованный `ansible_become: true` (sudo password required).
-`openvpn-laptop.yml` на живом ru-vps по-прежнему не применялся.
+`openvpn-laptop.yml` по-прежнему на static key и на живом ru-vps не
+применялся — при реальном использовании ему нужен тот же перевод на TLS.
 
 ### Дашборд-обзор инфраструктуры (Homepage)