docs(plan): record onboot fix on OLD containers and the commit layout

- Note that onboot: 0 was set on all 11 stopped OLD/decommissioned containers
  (132/140-150 range) so a node reboot cannot start them into an IP conflict
  with the live NEW containers. Reversible; superseded by pct destroy in a week.
- Note the working tree was split into 11 topical commits (22394cb..d2e1e68).
- Restate that the section 6 cleanup (drop roles/pve_lxc, strip creation plays,
  extend validate.yml, refresh architecture.md/legacy-warning.md) is a separate
  task, now unblocked.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012uoq5AVK8mkBgg83Mq6o5V

docs/ai/plan.md

@@ -461,13 +461,31 @@ OLD 144/143/132 остановлены и удерживаются как отк
   конфликт IP .23 и провал туннеля на 1-2 мин (восстановилось само). OLD
   контейнеры трогать нельзя, их `pct config` держит боевой адрес.
 - Косметика: `polkit.service` на CT 160 в `failed` (`status=217/USER`,
-  минимальный LXC-шаблон). На OpenVPN не влияет.
+  минимальный LXC-шаблон). На OpenVPN не влияет, не чинилось (можно
+  `systemctl mask polkit.service` — ничего от него не зависит).
+
+**`onboot: 0` на всех остановленных OLD-контейнерах (2026-09-03).** Найдено:
+132/140/141/142/143/144/145/146/148/149/150 стояли с `onboot: 1` и держат
+боевые адреса в `pct config` — ребут любой ноды поднял бы их в конфликт с
+живыми NEW (151-160). Снято через `pct set <id> --onboot 0`. Это временная
+мера на окно отката: `pct destroy` (шаг 4.7) уберёт их целиком через неделю.
+Обратимо (`--onboot 1`) для намеренного продвижения OLD обратно.
+
+**Коммиты (2026-09-03).** Всё рабочее дерево (накопление сессий 2026-09-02/03)
+разложено в 11 тематических коммитов на `main` (`22394cb`..`d2e1e68`),
+не запушено. Границы — по инициативам: build-env, .env-в-корень+Make,
+tofu scaffold, validate gate, registry-driven backups, вывод memoir-bot,
+ru-vps base+кворум+ZeroTier, PBS storage prune, blue-green миграция на Tofu,
+фикс VMID в update-плейбуках, docs. Несколько файлов (`services.yml`,
+`status.yml`, `ssh_config`) несут вторичные правки других инициатив — отмечено
+в телах коммитов.
 
 **НЕ сделано (осознанно):** уборка раздела 6 `migration-tofu.md` — удаление
-`roles/pve_lxc` (ещё используется creation-play пяти сервисов батча 2026-09-02),
-стрип creation plays, правки `architecture.md`/`legacy-warning.md`, расширение
-`validate.yml`. Это отдельная задача; переездом сервисов 8-10 разблокирована
-частично (все 10 на Tofu), но исполнение — не сейчас.
+`roles/pve_lxc` (ещё используется creation-play пяти сервисов батча 2026-09-02
+через `- role: pve_lxc`), стрип/полное гейчение creation plays, правки
+`architecture.md`/`legacy-warning.md`, расширение `validate.yml` (features,
+devices, mount points). Это отдельная задача; переездом сервисов 8-10
+разблокирована (все 10 на Tofu), но исполнение — не сейчас.
 
 Obsidian-заметки (`HomeLab.md`, `Notes/Текущее состояние…`, `Log.md`) по этому
 переезду ещё не обновлены.