snapshot: sagernet/gvisor v0.0.0-20260727.0-sing-box-mod.1 + SPEC 048 guard

Обновление снапшота с v0.0.0-20250811.0 на пин, которого требует
sing-box после мержа 235 коммитов (upstream d620bbbf2 "Update gvisor to
20260727.0"). Прежний снапшот был взят 2026-08-04 ровно с той версии,
на которой тогда стоял апстрим; разрыв возник 2026-08-05 вместе с его
бампом.

За год апстрим-gvisor изменил ~14 000 строк в 292 файлах. Значимое для
нас — сетевой стек: tcp/connect.go (PMTU-discovery + исправление
начального RTT/RTO: раньше задержка ACK внутри стека завышала стартовый
таймаут на несколько RTT), tcp/snd.go, tcp/rcv.go, stack/conntrack.go,
stack/packet_buffer.go. Всего 30 файлов в TCP и 37 в stack.

Баг SPEC 048 апстрим НЕ исправил — проверено по коду новой версии:
handleConnecting по-прежнему проверяет состояние endpoint'а, но не ep.h,
а performHandshake так же зануляет h и отпускает мьютекс до Close().
Поэтому guard перенесён (12 строк) вместе со своим тестом (45 строк).

Red/green проверен на новой базе: без guard'а тест падает с той же
nil-паникой, что в полевом крашдампе; с ним зелёный.

pkg/tcpip/header/ipv6.go

@@ -205,10 +205,80 @@ func (b IPv6) NextHeader() uint8 {
 }
 
 // TransportProtocol implements Network.TransportProtocol.
+//
+// Deprecated: Use TryParseTransportProtocol instead.
+// This function does not parse extension headers and returns the next header
+// field of the IPv6 header as the transport
+// protocol which may not be the actual transport protocol.
+// Use TryParseTransportProtocol to get the transport protocol correctly.
 func (b IPv6) TransportProtocol() tcpip.TransportProtocolNumber {
 	return tcpip.TransportProtocolNumber(b.NextHeader())
 }
 
+// IsExtensionHeader returns true if the next header is a known extension header.
+func IsExtensionHeader(nextHdr uint8) bool {
+	extType := IPv6ExtensionHeaderIdentifier(nextHdr)
+	switch extType {
+	case IPv6HopByHopOptionsExtHdrIdentifier, IPv6RoutingExtHdrIdentifier, IPv6FragmentExtHdrIdentifier, IPv6DestinationOptionsExtHdrIdentifier, IPv6AuthenticationExtHdrIdentifier, IPv6NoNextHeaderIdentifier:
+		return true
+	default:
+		return false
+	}
+}
+
+// TryParseTransportProtocol parses the IPv6 header and extension headers to get the
+// transport protocol.
+// Reference: net/ipv6/exthdrs_core.c:ipv6_skip_exthdr.
+// Returns the transport protocol and a boolean indicating if the transport
+// protocol parsing was successful.
+func (b IPv6) TryParseTransportProtocol() (tcpip.TransportProtocolNumber, bool) {
+	if len(b) < IPv6MinimumSize {
+		return 0, false
+	}
+	data := []byte(b[IPv6MinimumSize:])
+	nxtHdr := b.NextHeader()
+	maybeProto := tcpip.TransportProtocolNumber(nxtHdr)
+	for IsExtensionHeader(nxtHdr) {
+		dataLen := len(data)
+		if dataLen < 2 {
+			return maybeProto, false
+		}
+		currHdrLen := 0
+		switch IPv6ExtensionHeaderIdentifier(nxtHdr) {
+		case IPv6FragmentExtHdrIdentifier:
+			// Fragment extension header is always 8 bytes long.
+			if dataLen < 8 {
+				return maybeProto, false
+			}
+			// Get the fragment offset from the fragment extension header.
+			fragOffset := binary.BigEndian.Uint16(data[2:4]) & ^uint16(0x7)
+			if fragOffset != 0 {
+				return tcpip.TransportProtocolNumber(data[0]), false
+			}
+			currHdrLen = 8
+		case IPv6HopByHopOptionsExtHdrIdentifier, IPv6RoutingExtHdrIdentifier, IPv6DestinationOptionsExtHdrIdentifier:
+			currHdrLen = int(data[1]+1) * 8
+		case IPv6AuthenticationExtHdrIdentifier:
+			// Authentication extension header length calculation is different from
+			// other extension headers.
+			currHdrLen = int(data[1]+2) * 4
+		default:
+			// IPv6NoNextHeaderIdentifier or any unknown extension header.
+			return maybeProto, false
+		}
+		if currHdrLen > len(data) {
+			return maybeProto, false
+		}
+		nxtHdr = data[0]
+		maybeProto = tcpip.TransportProtocolNumber(nxtHdr)
+		data = data[currHdrLen:]
+	}
+	if len(data) == 0 {
+		return maybeProto, false
+	}
+	return maybeProto, true
+}
+
 // Payload implements Network.Payload.
 func (b IPv6) Payload() []byte {
 	return b[IPv6MinimumSize:][:b.PayloadLength()]