feat(v1): Gecko-обфускация, latest-stable Hysteria на сборке и forward-compatible admin

Сквозная миграция HY2XS на современную Hysteria (2.12.2) и переход на v1.

Build:
- версия Hysteria резолвится на этапе сборки из HyNetworks/hysteria и
  замораживается в metadata пакета (version + immutable url + sha256);
- compatibility gate: реальный бинарник должен принять канонический конфиг
  HY2XS для gecko и salamander до создания пакета;
- сборка прогоняет тесты оркестратора и админки.

Конфигурационный контракт:
- HY2XS_CONFIG_SCHEMA_VERSION=2, чужая схема отклоняется fail-fast;
- obfs стал настоящим union gecko|salamander, gecko — default;
- obfs-блок рендерится оркестратором целиком, два подтипа одновременно
  структурно невозможны;
- современный baseline: congestion bbr/standard, disableLossCompensation=false,
  disableStatelessReset=false, полный quic-блок.

Исправления:
- share URI для gecko: генератор был завязан на Obfs.Salamander.Password и
  выдавал нерабочую ссылку при любой другой обфускации;
- SNI брался только из ACME-блока и уходил пустым при HY2XS_TLS_MODE=file;
- экспорт конфига выносил trafficStats.secret, access_token и obfs-пароль;
- экспорт терял неизвестные upstream-поля при round-trip через типизированную
  модель;
- renderRuntimeEnv печатал тип обфускации литералом, расходясь с конфигом;
- namedotcom удалён из ACME-реестра (нет в Hysteria с 2.11.0).

Тесты:
- 95 тестов оркестратора: env, рендер, семантика профиля, резолвер, rollover;
- тесты URI и экспорта в Go;
- tools/test/e2e-hysteria.sh с реальным клиентом Hysteria.

UX:
- подсказки и примеры в форме создания пира.

Прочее: CHANGELOG.md, .gitattributes (LF для target-side файлов),
документация на русском.

apps/frontend/src/lang/package/ru.ts

@@ -124,6 +124,17 @@ export default {
     name: "Пир",
     remark: "Комментарий",
     secret: "Секрет",
+    form: {
+      namePlaceholder: "например, ivan-laptop",
+      nameHint:
+        "Короткий идентификатор пира. Используйте латиницу, цифры и дефис — имя попадает в автогенерируемый секрет.",
+      remarkPlaceholder: "например, Ноутбук Ивана, отдел продаж",
+      remarkHint: "Необязательная пометка для оператора. Клиент её не видит.",
+      secretPlaceholder: "оставьте пустым — сгенерируем автоматически",
+      secretHint:
+        "Пароль подключения клиента. Если оставить поле пустым, секрет будет сгенерирован автоматически. При ручном вводе: от 6 до 128 символов.",
+      quotaHint: "Лимит трафика в байтах. Укажите -1 для безлимита.",
+    },
     maxDevices: "Лимит устройств",
     disabled: "Отключён",
     status: "Статус",
@@ -230,6 +241,7 @@ export default {
     obfs: "Маскировка",
     quic: "Параметры QUIC",
     bandwidth: "Полоса",
+    congestion: "Congestion control",
     speedTest: "Тест скорости",
     udp: "UDP",
     resolver: "DNS",
@@ -264,8 +276,15 @@ export default {
         altTLSALPNPort: "Альтернативный TLS-ALPN-порт",
       },
       obfs: {
-        type: "Тип",
+        type: "Тип обфускации: gecko (production default HY2XS) или salamander (совместимость)",
         salamander: { password: "Сильный пароль Salamander" },
+        gecko: {
+          password: "Сильный пароль Gecko",
+          minPacketSize:
+            "Минимальный размер фрагмента QUIC handshake. Baseline HY2XS: 512",
+          maxPacketSize:
+            "Максимальный размер фрагмента QUIC handshake. Baseline HY2XS: 1200, верхний предел upstream: 2048",
+        },
       },
       quic: {
         initStreamReceiveWindow: "Начальное окно приёма QUIC stream",
@@ -275,8 +294,19 @@ export default {
         maxIdleTimeout: "Максимальный idle timeout",
         maxIncomingStreams: "Максимум входящих stream",
         disablePathMTUDiscovery: "Отключить QUIC path MTU discovery",
+        disableStatelessReset:
+          "Отключить QUIC stateless reset. В baseline HY2XS выключено: stateless reset ускоряет переподключение клиента после перезапуска сервера или сна устройства",
+      },
+      bandwidth: {
+        up: "Вверх",
+        down: "Вниз",
+        disableLossCompensation:
+          "Отключить компенсацию потерь. В baseline HY2XS выключено, то есть компенсация работает",
+      },
+      congestion: {
+        type: "Fallback congestion controller: bbr или reno. Применяется, когда Brutal bandwidth не согласован сторонами",
+        bbrProfile: "Профиль BBR: standard, conservative или aggressive",
       },
-      bandwidth: { up: "Вверх", down: "Вниз" },
       ignoreClientBandwidth: "Игнорировать bandwidth, заявленный клиентом",
       speedTest: "Встроенный сервер теста скорости",
       disableUDP: "Отключить UDP forwarding",