Restore shared overlay forwarding

[chen21019]

問題

v0.8.19 將 managed bridge 的入站規則收斂成僅允許 established/related，導致 IPsec/VXLAN 共用子網上的遠端容器無法對本機容器建立新連線。兩種後端均可重現：封包成功解密/路由到主機，但在 Docker bridge forwarding 階段被拒絕。

修正

• 僅對明確的共用子網加入雙向轉送：source、destination 與 output bridge 都必須符合該 CNI 設定。
• 新模板可用 allowSharedSubnetIngress: true 明確宣告。
• 舊版 IPsec/VXLAN 模板以 fixed bridgeSubnet + hostNat: true 保持相容。
• host-label per-host subnet 禁止套用 shared 規則，仍只接受 active peer CIDR。
• 同步更新 native nft rule-count health check 與 README/相容性邊界。

驗證

• Windows 上針對新增/回歸測試通過。
• 交叉編譯 Linux hostports 測試二進位，SHA-256 驗證後在 Ubuntu 26.04 VM 以 root 執行完整 hostports package：PASS。
• 在 Ubuntu 26.04 / Docker 29.8 的 native nftables 與 iptables-legacy 實機，以等價暫時規則驗證雙向 IPsec container-to-container ping/TCP 立即恢復；暫時規則已撤除。
• 未修改全域 FORWARD policy、Docker-owned tables 或 overlay plugin 的 XFRM/路由責任。