feat(v1): Gecko-обфускация, latest-stable Hysteria на сборке и forward-compatible admin

Сквозная миграция HY2XS на современную Hysteria (2.12.2) и переход на v1.

Build:
- версия Hysteria резолвится на этапе сборки из HyNetworks/hysteria и
  замораживается в metadata пакета (version + immutable url + sha256);
- compatibility gate: реальный бинарник должен принять канонический конфиг
  HY2XS для gecko и salamander до создания пакета;
- сборка прогоняет тесты оркестратора и админки.

Конфигурационный контракт:
- HY2XS_CONFIG_SCHEMA_VERSION=2, чужая схема отклоняется fail-fast;
- obfs стал настоящим union gecko|salamander, gecko — default;
- obfs-блок рендерится оркестратором целиком, два подтипа одновременно
  структурно невозможны;
- современный baseline: congestion bbr/standard, disableLossCompensation=false,
  disableStatelessReset=false, полный quic-блок.

Исправления:
- share URI для gecko: генератор был завязан на Obfs.Salamander.Password и
  выдавал нерабочую ссылку при любой другой обфускации;
- SNI брался только из ACME-блока и уходил пустым при HY2XS_TLS_MODE=file;
- экспорт конфига выносил trafficStats.secret, access_token и obfs-пароль;
- экспорт терял неизвестные upstream-поля при round-trip через типизированную
  модель;
- renderRuntimeEnv печатал тип обфускации литералом, расходясь с конфигом;
- namedotcom удалён из ACME-реестра (нет в Hysteria с 2.11.0).

Тесты:
- 95 тестов оркестратора: env, рендер, семантика профиля, резолвер, rollover;
- тесты URI и экспорта в Go;
- tools/test/e2e-hysteria.sh с реальным клиентом Hysteria.

UX:
- подсказки и примеры в форме создания пира.

Прочее: CHANGELOG.md, .gitattributes (LF для target-side файлов),
документация на русском.

apps/frontend/src/lang/package/en.ts

@@ -128,6 +128,17 @@ export default {
     name: "Peer",
     remark: "Remark",
     secret: "Secret",
+    form: {
+      namePlaceholder: "e.g. ivan-laptop",
+      nameHint:
+        "Short peer identifier. Use latin letters, digits and hyphens — the name becomes part of the auto-generated secret.",
+      remarkPlaceholder: "e.g. Ivan's laptop, sales team",
+      remarkHint: "Optional operator note. It is never shown to the client.",
+      secretPlaceholder: "leave empty to generate automatically",
+      secretHint:
+        "Client connection password. Leave empty to generate one automatically. If set manually: 6 to 128 characters.",
+      quotaHint: "Traffic limit in bytes. Use -1 for unlimited.",
+    },
     maxDevices: "Max devices",
     disabled: "Disabled",
     status: "Status",
@@ -234,6 +245,7 @@ export default {
     obfs: "Obfuscation",
     quic: "QUIC parameters",
     bandwidth: "Bandwidth",
+    congestion: "Congestion control",
     speedTest: "Speed Test",
     udp: "UDP",
     resolver: "Resolver",
@@ -282,10 +294,17 @@ export default {
           "Alternate TLS-ALPN challenge port. (Note: If you want to use anything other than 443, you must set up port forward/SNI proxy from 443 to that port, otherwise ACME will not be able to issue the certificate.)",
       },
       obfs: {
-        type: "Type",
+        type: "Obfuscation type: gecko (HY2XS production default) or salamander (compatibility fallback).",
         salamander: {
           password: "Replace with a strong password of your choice.",
         },
+        gecko: {
+          password: "Replace with a strong password of your choice.",
+          minPacketSize:
+            "Minimum QUIC handshake fragment size. HY2XS baseline: 512.",
+          maxPacketSize:
+            "Maximum QUIC handshake fragment size. HY2XS baseline: 1200, upstream limit: 2048.",
+        },
       },
       quic: {
         initStreamReceiveWindow: "The initial QUIC stream receive window size.",
@@ -299,10 +318,18 @@ export default {
         maxIncomingStreams:
           "The maximum number of concurrent incoming streams.",
         disablePathMTUDiscovery: "Disable QUIC path MTU discovery.",
+        disableStatelessReset:
+          "Disable QUIC stateless reset. Kept off in the HY2XS baseline: stateless reset lets a client with a stale connection reconnect immediately after a server restart or device sleep.",
       },
       bandwidth: {
         up: "Up",
         down: "Down",
+        disableLossCompensation:
+          "Disable loss compensation. Kept off in the HY2XS baseline, so compensation stays active.",
+      },
+      congestion: {
+        type: "Fallback congestion controller: bbr or reno. Used when Brutal bandwidth is not negotiated by both sides.",
+        bbrProfile: "BBR profile: standard, conservative or aggressive.",
       },
       ignoreClientBandwidth:
         "When enabled, makes the server to disregard any bandwidth hints set by clients",