feat(v1): Gecko-обфускация, latest-stable Hysteria на сборке и forward-compatible admin

Сквозная миграция HY2XS на современную Hysteria (2.12.2) и переход на v1.

Build:
- версия Hysteria резолвится на этапе сборки из HyNetworks/hysteria и
  замораживается в metadata пакета (version + immutable url + sha256);
- compatibility gate: реальный бинарник должен принять канонический конфиг
  HY2XS для gecko и salamander до создания пакета;
- сборка прогоняет тесты оркестратора и админки.

Конфигурационный контракт:
- HY2XS_CONFIG_SCHEMA_VERSION=2, чужая схема отклоняется fail-fast;
- obfs стал настоящим union gecko|salamander, gecko — default;
- obfs-блок рендерится оркестратором целиком, два подтипа одновременно
  структурно невозможны;
- современный baseline: congestion bbr/standard, disableLossCompensation=false,
  disableStatelessReset=false, полный quic-блок.

Исправления:
- share URI для gecko: генератор был завязан на Obfs.Salamander.Password и
  выдавал нерабочую ссылку при любой другой обфускации;
- SNI брался только из ACME-блока и уходил пустым при HY2XS_TLS_MODE=file;
- экспорт конфига выносил trafficStats.secret, access_token и obfs-пароль;
- экспорт терял неизвестные upstream-поля при round-trip через типизированную
  модель;
- renderRuntimeEnv печатал тип обфускации литералом, расходясь с конфигом;
- namedotcom удалён из ACME-реестра (нет в Hysteria с 2.11.0).

Тесты:
- 95 тестов оркестратора: env, рендер, семантика профиля, резолвер, rollover;
- тесты URI и экспорта в Go;
- tools/test/e2e-hysteria.sh с реальным клиентом Hysteria.

UX:
- подсказки и примеры в форме создания пира.

Прочее: CHANGELOG.md, .gitattributes (LF для target-side файлов),
документация на русском.

orchestrator/src/config/env.ts

@@ -1,5 +1,12 @@
 import { randomBytes } from "node:crypto";
 import type { FirewallMode, RuntimeConfig, TlsMode } from "../types/context";
+import {
+  GECKO_DEFAULT_MAX_PACKET_SIZE,
+  GECKO_DEFAULT_MIN_PACKET_SIZE,
+  HY2XS_CONFIG_SCHEMA_VERSION,
+  normalizeHysteriaObfsType,
+  validateGeckoPacketSizes
+} from "./profile";
 
 type EnvMap = Record<string, string>;
 
@@ -143,12 +150,22 @@ function normalizeFixedHysteriaAuthMode(value: string | undefined): "http" {
   return "http";
 }
 
-function normalizeFixedHysteriaObfsType(value: string | undefined): "salamander" {
-  const obfsType = value || "salamander";
-  if (obfsType !== "salamander") {
-    throw new Error("HY2XS_HYSTERIA_OBFS_TYPE is fixed in HY2XS production profile: salamander");
+function normalizeConfigSchemaVersion(value: string | undefined): number {
+  const raw = (value ?? "").trim();
+  if (!raw) {
+    return HY2XS_CONFIG_SCHEMA_VERSION;
   }
-  return "salamander";
+  const parsed = Number(raw);
+  if (!Number.isInteger(parsed) || parsed < 1) {
+    throw new Error(`invalid HY2XS_CONFIG_SCHEMA_VERSION: ${value}`);
+  }
+  if (parsed !== HY2XS_CONFIG_SCHEMA_VERSION) {
+    throw new Error(
+      `unsupported HY2XS_CONFIG_SCHEMA_VERSION: ${parsed}. This package understands schema ${HY2XS_CONFIG_SCHEMA_VERSION}; ` +
+        "HY2XS v1 requires a clean installation and does not migrate v0 configuration in place."
+    );
+  }
+  return parsed;
 }
 
 function normalizeYamlSafeSecret(name: string, value: string): string {
@@ -191,9 +208,10 @@ export function parseRuntimeEnv(content: string): RuntimeConfig {
   const dnsAaaaPolicy = normalizeDnsAaaaPolicy(env.HY2XS_DNS_AAAA_POLICY);
   const firewallMode = normalizeFirewallMode(env);
   const hysteriaAuthMode = normalizeFixedHysteriaAuthMode(env.HY2XS_HYSTERIA_AUTH_MODE);
-  const hysteriaObfsType = normalizeFixedHysteriaObfsType(env.HY2XS_HYSTERIA_OBFS_TYPE);
+  const hysteriaObfsType = normalizeHysteriaObfsType(env.HY2XS_HYSTERIA_OBFS_TYPE);
 
   const config: RuntimeConfig = {
+    configSchemaVersion: normalizeConfigSchemaVersion(env.HY2XS_CONFIG_SCHEMA_VERSION),
     domain: env.HY2XS_DOMAIN || "",
     dnsAaaaPolicy,
     publicHost: normalizePublicHost(env.HY2XS_PUBLIC_HOST || env.HY2XS_DOMAIN || ""),
@@ -232,6 +250,10 @@ export function parseRuntimeEnv(content: string): RuntimeConfig {
       "HY2XS_HYSTERIA_OBFS_PASSWORD",
       valueOrGenerate(env.HY2XS_HYSTERIA_OBFS_PASSWORD)
     ),
+    // Gecko packet sizes не выносятся в env: share URI не умеет их передавать,
+    // поэтому любое нестандартное значение сделало бы hysteria2:// неполным.
+    hysteriaGeckoMinPacketSize: GECKO_DEFAULT_MIN_PACKET_SIZE,
+    hysteriaGeckoMaxPacketSize: GECKO_DEFAULT_MAX_PACKET_SIZE,
     hysteriaBandwidthUp: env.HY2XS_HYSTERIA_BANDWIDTH_UP || "50 mbps",
     hysteriaBandwidthDown: env.HY2XS_HYSTERIA_BANDWIDTH_DOWN || "50 mbps",
     hysteriaIgnoreClientBandwidth: parseBool(
@@ -251,6 +273,9 @@ export function parseRuntimeEnv(content: string): RuntimeConfig {
 }
 
 export function validateRuntimeConfig(config: RuntimeConfig): void {
+  if (config.hysteriaObfsType === "gecko") {
+    validateGeckoPacketSizes(config.hysteriaGeckoMinPacketSize, config.hysteriaGeckoMaxPacketSize);
+  }
   if (config.ipv6Enabled) {
     throw new Error("HY2XS is IPv4-only: HY2XS_IPV6_ENABLED must be false");
   }
@@ -297,7 +322,8 @@ export function validateRuntimeConfig(config: RuntimeConfig): void {
 export function renderRuntimeEnv(config: RuntimeConfig): string {
   const lines = [
     "# HY2XS runtime config (editable)",
-    "HY2XS_IPV6_ENABLED=false",
+    `HY2XS_CONFIG_SCHEMA_VERSION=${config.configSchemaVersion}`,
+    `HY2XS_IPV6_ENABLED=${config.ipv6Enabled}`,
     `HY2XS_DOMAIN=${config.domain}`,
     `HY2XS_DNS_AAAA_POLICY=${config.dnsAaaaPolicy}`,
     `HY2XS_PUBLIC_HOST=${config.publicHost}`,
@@ -320,11 +346,11 @@ export function renderRuntimeEnv(config: RuntimeConfig): string {
     `HY2XS_TLS_KEY_PATH=${config.tlsKeyPath}`,
     `HY2XS_HYSTERIA_BIND_HOST=${config.hysteriaBindHost}`,
     `HY2XS_HYSTERIA_PORT=${config.hysteriaPort}`,
-    "HY2XS_HYSTERIA_AUTH_MODE=http",
+    `HY2XS_HYSTERIA_AUTH_MODE=${config.hysteriaAuthMode}`,
     `HY2XS_HYSTERIA_TRAFFIC_STATS_HOST=${config.hysteriaTrafficStatsHost}`,
     `HY2XS_HYSTERIA_TRAFFIC_STATS_PORT=${config.hysteriaTrafficStatsPort}`,
     `HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET=${config.hysteriaTrafficStatsSecret}`,
-    "HY2XS_HYSTERIA_OBFS_TYPE=salamander",
+    `HY2XS_HYSTERIA_OBFS_TYPE=${config.hysteriaObfsType}`,
     `HY2XS_HYSTERIA_OBFS_PASSWORD=${config.hysteriaObfsPassword}`,
     `HY2XS_HYSTERIA_BANDWIDTH_UP=${config.hysteriaBandwidthUp}`,
     `HY2XS_HYSTERIA_BANDWIDTH_DOWN=${config.hysteriaBandwidthDown}`,