fix: adopt sing-box 1.14 DNS hijacking

docs/operations.md

@@ -12,8 +12,10 @@ sudo vpn-egressctl import --stdin
 sudo vpn-egressctl import --file /run/credentials/new-hysteria2.uri
 ```
 
-Production URI HY2XS должен использовать Gecko. Не передавать URI через argv,
-environment, shell history, тикет или журнал.
+Для новой установки production URI HY2XS должен использовать Gecko. Salamander
+допустим как compatibility fallback только при явно совпадающей серверной
+настройке. Не передавать URI через argv, environment, shell history, тикет или
+журнал.
 
 ## Изменение policy
 
@@ -57,6 +59,6 @@ systemctl reset-failed vpn-egress-sync.service
 ## Обновления package/engine
 
 0.2.0 не объявляет совместимость с другими версиями приложения или sing-box.
-Любой следующий переход выполняется по отдельному release runbook как clean
-install. `apt upgrade` не считается допустимой процедурой обновления этого
-control plane.
+Переход на другой release выполняется по отдельному release runbook как clean
+install. Повторная установка ровно 0.2.0 допускается при согласованных state и
+config; `apt upgrade` на другой release не считается допустимой процедурой.