fix: adopt sing-box 1.14 DNS hijacking

README.md

@@ -8,15 +8,18 @@
 ## Контракт релиза 0.2.0
 
 - строго `sing-box 1.14.0`, Linux build с `with_quic` и `with_gvisor`;
-- HY2XS/Hysteria 2.12.2 использует Gecko как единственный production obfs;
+- новые установки HY2XS/Hysteria 2.12.2 используют Gecko по умолчанию;
 - Gecko packet profile фиксирован: `512/1200`;
-- Salamander принимается только как явно заданный compatibility fallback;
-- TUN DNS сохраняет прежнюю архитектуру через `dns_mode=disabled` и явное
+- Salamander полностью поддерживается как явно согласованный compatibility
+  fallback;
+- TUN DNS использует штатный `dns_mode=hijack` без явного `dns_address` и
   route action `hijack-dns`;
 - лицензия исходного кода — Mozilla Public License 2.0.
 
 Salamander не является автоматическим fallback: клиент не может согласовать тип
-obfs с сервером. Production URI HY2XS обязан содержать `obfs=gecko`.
+obfs с сервером. Для новой установки production URI HY2XS должен содержать
+`obfs=gecko`; `obfs=salamander` допустим только при таком же явно настроенном
+режиме сервера.
 
 ## Что обеспечивает проект
 
@@ -36,6 +39,9 @@ obfs с сервером. Production URI HY2XS обязан содержать `
 не поддерживается и блокируется `preinst`. Старые policy, config, state и backups
 не мигрируют и не активируются.
 
+Повторная установка пакета ровно 0.2.0 поверх согласованного состояния 0.2.0
+допускается; переход с любого другого релиза требует чистой установки.
+
 Правильная последовательность: остановить сервисы, оставить anti-leak guard,
 удалить пакет 0.1.0, архивировать его данные, установить sing-box 1.14.0 и пакет
 0.2.0, настроить новую policy и применить новый Gecko URI. Полный runbook: