fix(install): двухфазная установка, clean-host контракт и проверка поколения

Установщик мог повредить работающий сервер до того, как откажется его
трогать: install.sh переписывал /usr/local/lib/hy2xs, раскладывал
runtime-пакет и перезаписывал install-state.json, и только потом
запускал clean-host preflight. При ошибочном запуске поверх старой
установки rollback дополнительно делал stop и disable для работающих
hysteria-server и hy2xs-admin.

Установка разделена на две фазы с жёсткой границей:

  PHASE 0 - read only: права, checksums пакета, clean-host preflight
            из распакованного архива (новая команда preflight-install)
  PHASE 1 - mutation: раскладка оркестратора и сама установка

Граница держится не соглашением, а read-only guard: под ним writeText,
writeTextAtomic и мутирующие раннеры lib/process кидают ошибку.
Внутри install() preflight выполняется раньше первой записи состояния.

Остальное в этом же инварианте:

- clean-host контракт расширен с двух маркеров до четырнадцати, пути
  установки и данных берутся из конфигурации, а не захардкожены;
- отсутствие HY2XS_CONFIG_SCHEMA_VERSION трактуется как legacy, а не
  как текущая схема: до v1 этого поля не существовало. Тест,
  закреплявший прежнее поведение, инвертирован;
- install-state несёт идентификацию поколения (product, release_line,
  config_schema_version); reconfigure и repair проверяют её до всего
  остального, потому что installed: true мог остаться и от 0.x;
- repair требует явного --allow-partial-state;
- классификация отказа опирается на ownership-флаги, а не на текст
  ошибки: раньше сообщение со словом nftables приводило к откату
  чужого firewall. stop/disable выполняется только для юнитов,
  развёрнутых текущей операцией, а fatal_pre_apply не делает
  системного отката и не собирает diagnostics-бандл.

orchestrator/src/config/profile.ts

@@ -8,6 +8,23 @@ import type { HysteriaObfsType, RuntimeConfig } from "../types/context";
 
 export const HY2XS_CONFIG_SCHEMA_VERSION = 2;
 
+/**
+ * Линия релиза продукта. Меняется только при смене поколения, внутри которого
+ * установка остаётся совместимой сама с собой. Используется install-state,
+ * чтобы reconfigure/repair не работали поверх чужого поколения.
+ *
+ * Значение синхронизировано с HY2XS_RELEASE_LINE в корневом versions.env
+ * (проверяется шагом verify_versions_contract на сборке).
+ */
+export const HY2XS_RELEASE_LINE = 1;
+
+/**
+ * Целевая платформа production-профиля. Значения синхронизированы с
+ * HY2XS_TARGET_OS_VERSION / HY2XS_TARGET_ARCH в корневом versions.env.
+ */
+export const HY2XS_TARGET_DEBIAN_VERSION = 13;
+export const HY2XS_TARGET_ARCH = "amd64";
+
 export const HYSTERIA_OBFS_TYPES: readonly HysteriaObfsType[] = ["gecko", "salamander"];
 
 /** Тип обфускации для новой установки. Salamander остаётся compatibility fallback. */