feat(v1): Gecko-обфускация, latest-stable Hysteria на сборке и forward-compatible admin

Сквозная миграция HY2XS на современную Hysteria (2.12.2) и переход на v1.

Build:
- версия Hysteria резолвится на этапе сборки из HyNetworks/hysteria и
  замораживается в metadata пакета (version + immutable url + sha256);
- compatibility gate: реальный бинарник должен принять канонический конфиг
  HY2XS для gecko и salamander до создания пакета;
- сборка прогоняет тесты оркестратора и админки.

Конфигурационный контракт:
- HY2XS_CONFIG_SCHEMA_VERSION=2, чужая схема отклоняется fail-fast;
- obfs стал настоящим union gecko|salamander, gecko — default;
- obfs-блок рендерится оркестратором целиком, два подтипа одновременно
  структурно невозможны;
- современный baseline: congestion bbr/standard, disableLossCompensation=false,
  disableStatelessReset=false, полный quic-блок.

Исправления:
- share URI для gecko: генератор был завязан на Obfs.Salamander.Password и
  выдавал нерабочую ссылку при любой другой обфускации;
- SNI брался только из ACME-блока и уходил пустым при HY2XS_TLS_MODE=file;
- экспорт конфига выносил trafficStats.secret, access_token и obfs-пароль;
- экспорт терял неизвестные upstream-поля при round-trip через типизированную
  модель;
- renderRuntimeEnv печатал тип обфускации литералом, расходясь с конфигом;
- namedotcom удалён из ACME-реестра (нет в Hysteria с 2.11.0).

Тесты:
- 95 тестов оркестратора: env, рендер, семантика профиля, резолвер, rollover;
- тесты URI и экспорта в Go;
- tools/test/e2e-hysteria.sh с реальным клиентом Hysteria.

UX:
- подсказки и примеры в форме создания пира.

Прочее: CHANGELOG.md, .gitattributes (LF для target-side файлов),
документация на русском.

orchestrator/src/steps/smoke.ts

@@ -1,6 +1,8 @@
 import type { RuntimeContext } from "../types/context";
 import { info } from "../lib/log";
+import { readText } from "../lib/fs";
 import { runHidden, runSecret, runVisible } from "../lib/process";
+import { assertHysteriaConfigMatchesProfile } from "./configAssertions";
 
 function parseLocalAddress(line: string): string {
   const cols = line.trim().split(/\s+/);
@@ -200,18 +202,34 @@ export async function smoke(context: RuntimeContext): Promise<void> {
 
   await runVisible`nft -c -f /etc/nftables.conf`;
 
-  if (context.config.tlsMode === "acme") {
-    await runVisible`grep -q '^acme:' /etc/hysteria/config.yaml`;
-    await runVisible`! grep -q '^tls:' /etc/hysteria/config.yaml`;
+  // Семантическая проверка установленного конфига: разбираем YAML и сверяем
+  // с production-профилем, а не ищем подстроки.
+  info("verifying effective Hysteria config against HY2XS production profile");
+  assertHysteriaConfigMatchesProfile(await readText("/etc/hysteria/config.yaml"), context.config);
+
+  await assertEffectiveHysteriaVersion(context);
+}
+
+/**
+ * Установленный бинарник обязан совпадать с версией, замороженной в metadata
+ * пакета. На reconfigure metadata может относиться к другому пакету, поэтому
+ * расхождение там — предупреждение, а не отказ.
+ */
+async function assertEffectiveHysteriaVersion(context: RuntimeContext): Promise<void> {
+  const packagedVersion = context.hysteriaVersion.trim();
+  if (!packagedVersion || packagedVersion === "unknown") {
+    return;
   }
-  if (context.config.tlsMode === "file") {
-    await runVisible`grep -q '^tls:' /etc/hysteria/config.yaml`;
-    await runVisible`! grep -q '^acme:' /etc/hysteria/config.yaml`;
-    await runVisible`grep -q 'insecure: false' /etc/hysteria/config.yaml`;
-  }
-  if (context.config.tlsMode === "self_signed_dev") {
-    await runVisible`grep -q '^tls:' /etc/hysteria/config.yaml`;
-    await runVisible`! grep -q '^acme:' /etc/hysteria/config.yaml`;
-    await runVisible`grep -q 'insecure: true' /etc/hysteria/config.yaml`;
+
+  const raw = await runSecret`/usr/local/bin/hysteria version`;
+  const match = raw.match(/v\d+\.\d+\.\d+/);
+  const effective = match ? match[0] : raw.trim();
+
+  if (effective !== packagedVersion) {
+    const message = `effective Hysteria version ${effective} does not match package metadata ${packagedVersion}`;
+    if (context.mode === "install") {
+      throw new Error(message);
+    }
+    info(`warning: ${message}`);
   }
 }