fix: adopt sing-box 1.14 DNS hijacking

docs/migration.md

@@ -7,6 +7,9 @@ In-place upgrade 0.1.0 → 0.2.0, автоматическая миграция
 отклоняет upgrade. Установка выполняется через удаление старого пакета,
 архивирование его данных и настройку 0.2.0 с нуля.
 
+Повторная установка ровно 0.2.0 поверх согласованного состояния 0.2.0 не
+является миграцией и поддерживается без этого runbook.
+
 Описанные действия выполнять из console/maintenance-доступа. До успешного E2E
 anti-leak guard должен оставаться в nftables.
 
@@ -62,7 +65,7 @@ systemctl daemon-reload
 проверку: архивировать указанный объект и повторить `dpkg --configure
 vpn-egressctl`.
 
-## 5. Настроить новую policy и Gecko URI
+## 5. Настроить новую policy и URI
 
 Редактировать новый `/etc/vpn-egress/policy.json` вручную. Из старой policy
 можно перенести осознанно проверенные локальные значения, но нельзя заменять ею
@@ -78,7 +81,9 @@ vpn-egressctl check
 vpn-egressctl diff
 ```
 
-Проверить, что URI содержит `obfs=gecko`. `check` не запускает service.
+Для новой production-установки проверить, что URI содержит `obfs=gecko`.
+`obfs=salamander` допускается только для явно настроенного server-side
+compatibility fallback. `check` не запускает service.
 
 ## 6. Активировать защиту и config