feat: road-warrior OpenVPN profile for the phone (Android, static key)

playbooks/openvpn-phone.yml (make openvpn-phone) stands up a separate
point-to-point static-key instance on ru-vps: tcp/9444, tun2, 10.80.0.0/30,
homelab-openvpn-phone unit, NAT 10.80.0.0/30 -> LAN via tun0. The client
profile (with the secret) lands in ansible/generated/ada-phone.ovpn
(gitignored). Android client: "OpenVPN for Android" (Arne Schwabe) — the
official OpenVPN Connect does not support static-key configs.

- homelab_vpn_client_routes in group_vars/all/main.yml: shared surgical
  route list for both road-warrior profiles; not the whole /24, since the
  phone's home network is almost certainly 192.168.1.0/24 too
- openvpn-laptop.yml reuses that list instead of its own literal copy
- both playbooks: local profile write moved from `become: false` to
  `vars: {ansible_connection: local, ansible_become: false}` — the keyword
  did not suppress the inherited ansible_become on delegate_to: localhost

Deployed and verified on ru-vps 2026-09-03: service active, tun2 up, ufw
9444/tcp, NAT rule present, make openvpn-phone idempotent (changed=0 on
rerun), 192.168.1.30:8082 reachable from ru-vps. openvpn-laptop.yml is
still not applied on the live host.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01KbuZrUoevfBgCpf5DCF4DG

docs/ai/plan.md

@@ -2,6 +2,27 @@
 
 ## Активные задачи
 
+### Road-warrior OpenVPN для телефона
+
+Выполнено 2026-09-03. `playbooks/openvpn-phone.yml` (`make openvpn-phone`)
+поднимает на ru-vps отдельный point-to-point static-key инстанс:
+порт 9444/tcp, `tun2`, сеть 10.80.0.0/30, юнит `homelab-openvpn-phone`,
+NAT `10.80.0.0/30 -> LAN` через `tun0`. Профиль (с секретом) —
+`ansible/generated/ada-phone.ovpn` (gitignored). Клиент — «OpenVPN for
+Android» (Arne Schwabe); официальный OpenVPN Connect static key не умеет.
+
+Прогон идемпотентен (третий заход `changed=0`). Проверено: сервис active,
+`tun2` up, UFW 9444/tcp, NAT-правило на месте, с ru-vps `192.168.1.30:8082`
+достижим. Маршруты клиента вынесены в `homelab_vpn_client_routes`
+(`group_vars/all/main.yml`) — общий список с `openvpn-laptop.yml`, не весь
+`/24` (домашняя сеть телефона тоже 192.168.1.0/24).
+
+Побочно: в `openvpn-laptop.yml` и `openvpn-phone.yml` локальная запись
+профиля переведена с `become: false` на `vars: {ansible_connection: local,
+ansible_become: false}` — ключ `become: false` на `delegate_to: localhost`
+не подавлял унаследованный `ansible_become: true` (sudo password required).
+`openvpn-laptop.yml` на живом ru-vps по-прежнему не применялся.
+
 ### Дашборд-обзор инфраструктуры (Homepage)
 
 Решение от 2026-09-03: поднять стартовую страницу-обзор всей инфры (список