feat(v1): Gecko-обфускация, latest-stable Hysteria на сборке и forward-compatible admin

Сквозная миграция HY2XS на современную Hysteria (2.12.2) и переход на v1.

Build:
- версия Hysteria резолвится на этапе сборки из HyNetworks/hysteria и
  замораживается в metadata пакета (version + immutable url + sha256);
- compatibility gate: реальный бинарник должен принять канонический конфиг
  HY2XS для gecko и salamander до создания пакета;
- сборка прогоняет тесты оркестратора и админки.

Конфигурационный контракт:
- HY2XS_CONFIG_SCHEMA_VERSION=2, чужая схема отклоняется fail-fast;
- obfs стал настоящим union gecko|salamander, gecko — default;
- obfs-блок рендерится оркестратором целиком, два подтипа одновременно
  структурно невозможны;
- современный baseline: congestion bbr/standard, disableLossCompensation=false,
  disableStatelessReset=false, полный quic-блок.

Исправления:
- share URI для gecko: генератор был завязан на Obfs.Salamander.Password и
  выдавал нерабочую ссылку при любой другой обфускации;
- SNI брался только из ACME-блока и уходил пустым при HY2XS_TLS_MODE=file;
- экспорт конфига выносил trafficStats.secret, access_token и obfs-пароль;
- экспорт терял неизвестные upstream-поля при round-trip через типизированную
  модель;
- renderRuntimeEnv печатал тип обфускации литералом, расходясь с конфигом;
- namedotcom удалён из ACME-реестра (нет в Hysteria с 2.11.0).

Тесты:
- 95 тестов оркестратора: env, рендер, семантика профиля, резолвер, rollover;
- тесты URI и экспорта в Go;
- tools/test/e2e-hysteria.sh с реальным клиентом Hysteria.

UX:
- подсказки и примеры в форме создания пира.

Прочее: CHANGELOG.md, .gitattributes (LF для target-side файлов),
документация на русском.

apps/frontend/src/lang/package/en.ts

@@ -128,6 +128,17 @@ export default {
     name: "Peer",
     remark: "Remark",
     secret: "Secret",
+    form: {
+      namePlaceholder: "e.g. ivan-laptop",
+      nameHint:
+        "Short peer identifier. Use latin letters, digits and hyphens — the name becomes part of the auto-generated secret.",
+      remarkPlaceholder: "e.g. Ivan's laptop, sales team",
+      remarkHint: "Optional operator note. It is never shown to the client.",
+      secretPlaceholder: "leave empty to generate automatically",
+      secretHint:
+        "Client connection password. Leave empty to generate one automatically. If set manually: 6 to 128 characters.",
+      quotaHint: "Traffic limit in bytes. Use -1 for unlimited.",
+    },
     maxDevices: "Max devices",
     disabled: "Disabled",
     status: "Status",
@@ -234,6 +245,7 @@ export default {
     obfs: "Obfuscation",
     quic: "QUIC parameters",
     bandwidth: "Bandwidth",
+    congestion: "Congestion control",
     speedTest: "Speed Test",
     udp: "UDP",
     resolver: "Resolver",
@@ -282,10 +294,17 @@ export default {
           "Alternate TLS-ALPN challenge port. (Note: If you want to use anything other than 443, you must set up port forward/SNI proxy from 443 to that port, otherwise ACME will not be able to issue the certificate.)",
       },
       obfs: {
-        type: "Type",
+        type: "Obfuscation type: gecko (HY2XS production default) or salamander (compatibility fallback).",
         salamander: {
           password: "Replace with a strong password of your choice.",
         },
+        gecko: {
+          password: "Replace with a strong password of your choice.",
+          minPacketSize:
+            "Minimum QUIC handshake fragment size. HY2XS baseline: 512.",
+          maxPacketSize:
+            "Maximum QUIC handshake fragment size. HY2XS baseline: 1200, upstream limit: 2048.",
+        },
       },
       quic: {
         initStreamReceiveWindow: "The initial QUIC stream receive window size.",
@@ -299,10 +318,18 @@ export default {
         maxIncomingStreams:
           "The maximum number of concurrent incoming streams.",
         disablePathMTUDiscovery: "Disable QUIC path MTU discovery.",
+        disableStatelessReset:
+          "Disable QUIC stateless reset. Kept off in the HY2XS baseline: stateless reset lets a client with a stale connection reconnect immediately after a server restart or device sleep.",
       },
       bandwidth: {
         up: "Up",
         down: "Down",
+        disableLossCompensation:
+          "Disable loss compensation. Kept off in the HY2XS baseline, so compensation stays active.",
+      },
+      congestion: {
+        type: "Fallback congestion controller: bbr or reno. Used when Brutal bandwidth is not negotiated by both sides.",
+        bbrProfile: "BBR profile: standard, conservative or aggressive.",
       },
       ignoreClientBandwidth:
         "When enabled, makes the server to disregard any bandwidth hints set by clients",

apps/frontend/src/lang/package/ru.ts

@@ -124,6 +124,17 @@ export default {
     name: "Пир",
     remark: "Комментарий",
     secret: "Секрет",
+    form: {
+      namePlaceholder: "например, ivan-laptop",
+      nameHint:
+        "Короткий идентификатор пира. Используйте латиницу, цифры и дефис — имя попадает в автогенерируемый секрет.",
+      remarkPlaceholder: "например, Ноутбук Ивана, отдел продаж",
+      remarkHint: "Необязательная пометка для оператора. Клиент её не видит.",
+      secretPlaceholder: "оставьте пустым — сгенерируем автоматически",
+      secretHint:
+        "Пароль подключения клиента. Если оставить поле пустым, секрет будет сгенерирован автоматически. При ручном вводе: от 6 до 128 символов.",
+      quotaHint: "Лимит трафика в байтах. Укажите -1 для безлимита.",
+    },
     maxDevices: "Лимит устройств",
     disabled: "Отключён",
     status: "Статус",
@@ -230,6 +241,7 @@ export default {
     obfs: "Маскировка",
     quic: "Параметры QUIC",
     bandwidth: "Полоса",
+    congestion: "Congestion control",
     speedTest: "Тест скорости",
     udp: "UDP",
     resolver: "DNS",
@@ -264,8 +276,15 @@ export default {
         altTLSALPNPort: "Альтернативный TLS-ALPN-порт",
       },
       obfs: {
-        type: "Тип",
+        type: "Тип обфускации: gecko (production default HY2XS) или salamander (совместимость)",
         salamander: { password: "Сильный пароль Salamander" },
+        gecko: {
+          password: "Сильный пароль Gecko",
+          minPacketSize:
+            "Минимальный размер фрагмента QUIC handshake. Baseline HY2XS: 512",
+          maxPacketSize:
+            "Максимальный размер фрагмента QUIC handshake. Baseline HY2XS: 1200, верхний предел upstream: 2048",
+        },
       },
       quic: {
         initStreamReceiveWindow: "Начальное окно приёма QUIC stream",
@@ -275,8 +294,19 @@ export default {
         maxIdleTimeout: "Максимальный idle timeout",
         maxIncomingStreams: "Максимум входящих stream",
         disablePathMTUDiscovery: "Отключить QUIC path MTU discovery",
+        disableStatelessReset:
+          "Отключить QUIC stateless reset. В baseline HY2XS выключено: stateless reset ускоряет переподключение клиента после перезапуска сервера или сна устройства",
+      },
+      bandwidth: {
+        up: "Вверх",
+        down: "Вниз",
+        disableLossCompensation:
+          "Отключить компенсацию потерь. В baseline HY2XS выключено, то есть компенсация работает",
+      },
+      congestion: {
+        type: "Fallback congestion controller: bbr или reno. Применяется, когда Brutal bandwidth не согласован сторонами",
+        bbrProfile: "Профиль BBR: standard, conservative или aggressive",
       },
-      bandwidth: { up: "Вверх", down: "Вниз" },
       ignoreClientBandwidth: "Игнорировать bandwidth, заявленный клиентом",
       speedTest: "Встроенный сервер теста скорости",
       disableUDP: "Отключить UDP forwarding",