Транспорт udp2raw протестирован: bind к 192.168.31.163 + iptables на клиенте

По результатам дымового теста (faketcp handshake прошёл, server_ready/client_ready):
- server udp2raw: -l 0.0.0.0 -> 192.168.31.163 (на 0.0.0.0 bind fail из-за docker-бриджей)
- README: iptables добавлен в предусловия и шаг установки клиента
  (на чистой nft-системе udp2raw не может добавить правило -a)
- README: примечание про установку бинарника файлом и выбор ARM-архитектуры,
  таблица предусловий дополнена (строки iptables и bind-IP)

server/udp2raw-server.service

@@ -8,8 +8,11 @@ User=root
 # Слушает внешние TCP подключения на порту 25565 и перенаправляет в локальный WireGuard.
 # Порт 443 НЕ используем: его держит nginx (reverse-proxy для Gitea totmaxim.ru),
 # а udp2raw в faketcp через правило -a дропнул бы весь входящий TCP на своём порту.
-# ВАЖНО: Замените "MY_CONFIDENTIAL_PASS" на ваш секретный пароль для udp2raw
-ExecStart=/usr/local/bin/udp2raw -s -l 0.0.0.0:25565 -r 127.0.0.1:51820 -k "MY_CONFIDENTIAL_PASS" --raw-mode faketcp -a
+# ВАЖНО #1: слушаем КОНКРЕТНЫЙ IP интерфейса (192.168.31.163), а не 0.0.0.0 —
+#           иначе из-за множества docker-бриджей udp2raw падает с "bind fail".
+#           Если LAN-адрес сервера сменится — поправить здесь И в пробросе на роутере.
+# ВАЖНО #2: Замените "MY_CONFIDENTIAL_PASS" на ваш секретный пароль для udp2raw
+ExecStart=/usr/local/bin/udp2raw -s -l 192.168.31.163:25565 -r 127.0.0.1:51820 -k "MY_CONFIDENTIAL_PASS" --raw-mode faketcp -a
 Restart=always
 RestartSec=5