Fix LAN proxy binding in routing setup

README.md

@@ -92,7 +92,7 @@ ipset-кэш намеренно **не** очищается — записи и
 | 3         | `rule_set: [geoip-ru, geosite-category-ru]` | `direct`                                  |
 | 4         | Device defaults для `tproxy-in`             | `direct` / VPN / `block`                 |
 | 5         | Proxy default для `mixed-in`                | по умолчанию VPN                         |
-| 6         | Transparent default для unknown devices     | по умолчанию `direct`                    |
+| 6         | Transparent default для unknown devices     | по умолчанию VPN                         |
 | 7         | Всё остальное (`final`)                     | `direct`                                 |
 
 Конфиг генерируется динамически через `buildGatewayConfig()` из подписки + сохранённых правил. Перед применением выполняется `sing-box check`.
@@ -142,7 +142,7 @@ DIRECT_BYPASS_TTL=3600                # TTL в секундах
 
 ```json
 {
-  "defaultTransparentMode": "direct",
+  "defaultTransparentMode": "vpn",
   "proxyDefaultMode": "vpn",
   "devices": [
     {
@@ -290,7 +290,8 @@ UI доступен на `http://<gateway-ip>:3456`.
 | `DIRECT_BYPASS_CACHE` | `false`            | Включить dst-IP bypass cache; по умолчанию выключен |
 | `DIRECT_BYPASS_SET` | `vpn_direct_bypass`  | Имя ipset bypass-кэша                  |
 | `DIRECT_BYPASS_TTL` | `3600`               | TTL записей (секунды)                  |
-| `PROXY_BIND_IP`     | `127.0.0.1`          | Bind для HTTP/SOCKS; `0.0.0.0` для LAN |
+| `RULE_SET_DOWNLOAD_DETOUR` | `vpn`          | Через какой outbound sing-box скачивает remote rule-set; `vpn` = выбранный сервер |
+| `PROXY_BIND_IP`     | `0.0.0.0`            | Bind для HTTP/SOCKS в LAN; можно сузить до IP gateway |
 | `PROXY_FIREWALL`    | `true`               | Закрыть `PROXY_PORT` не из allowed CIDR |
 | `PROXY_ALLOWED_CIDRS` | `10.0.0.0/8 172.16.0.0/12 192.168.0.0/16` | Кто может подключаться к mixed proxy |