fix(install): двухфазная установка, clean-host контракт и проверка поколения

Установщик мог повредить работающий сервер до того, как откажется его
трогать: install.sh переписывал /usr/local/lib/hy2xs, раскладывал
runtime-пакет и перезаписывал install-state.json, и только потом
запускал clean-host preflight. При ошибочном запуске поверх старой
установки rollback дополнительно делал stop и disable для работающих
hysteria-server и hy2xs-admin.

Установка разделена на две фазы с жёсткой границей:

  PHASE 0 - read only: права, checksums пакета, clean-host preflight
            из распакованного архива (новая команда preflight-install)
  PHASE 1 - mutation: раскладка оркестратора и сама установка

Граница держится не соглашением, а read-only guard: под ним writeText,
writeTextAtomic и мутирующие раннеры lib/process кидают ошибку.
Внутри install() preflight выполняется раньше первой записи состояния.

Остальное в этом же инварианте:

- clean-host контракт расширен с двух маркеров до четырнадцати, пути
  установки и данных берутся из конфигурации, а не захардкожены;
- отсутствие HY2XS_CONFIG_SCHEMA_VERSION трактуется как legacy, а не
  как текущая схема: до v1 этого поля не существовало. Тест,
  закреплявший прежнее поведение, инвертирован;
- install-state несёт идентификацию поколения (product, release_line,
  config_schema_version); reconfigure и repair проверяют её до всего
  остального, потому что installed: true мог остаться и от 0.x;
- repair требует явного --allow-partial-state;
- классификация отказа опирается на ownership-флаги, а не на текст
  ошибки: раньше сообщение со словом nftables приводило к откату
  чужого firewall. stop/disable выполняется только для юнитов,
  развёрнутых текущей операцией, а fatal_pre_apply не делает
  системного отката и не собирает diagnostics-бандл.

orchestrator/src/config/env.ts

@@ -150,10 +150,23 @@ function normalizeFixedHysteriaAuthMode(value: string | undefined): "http" {
   return "http";
 }
 
+/**
+ * Версия схемы конфигурации — обязательное поле.
+ *
+ * Отсутствие маркера НЕ означает «текущая схема»: до HY2XS v1 этого поля не
+ * существовало вовсе, поэтому именно пустое значение — самый вероятный признак
+ * конфигурации 0.x. Любой fallback здесь молча превращал бы legacy-конфиг в
+ * якобы валидный.
+ */
 function normalizeConfigSchemaVersion(value: string | undefined): number {
   const raw = (value ?? "").trim();
   if (!raw) {
-    return HY2XS_CONFIG_SCHEMA_VERSION;
+    throw new Error(
+      "HY2XS_CONFIG_SCHEMA_VERSION отсутствует в конфигурации.\n" +
+        "Похоже на конфигурацию предыдущего поколения (0.x) или на неизвестный формат.\n" +
+        `HY2XS v1 понимает только схему ${HY2XS_CONFIG_SCHEMA_VERSION} и не выполняет миграцию на месте.\n` +
+        "Очистите старую установку и установите HY2XS v1 с нуля: см. docs/14-legacy-cleanup.md"
+    );
   }
   const parsed = Number(raw);
   if (!Number.isInteger(parsed) || parsed < 1) {