Add Salamander obfs branch: replace masquerade with packet obfuscation.

- ACME TLS challenge on 443 (no port 80 or nginx decoy)
- Auto-generate and persist obfs password per server
- Update client export, HTML catalog, and vault examples
- Document Salamander vs main and ACME auto-renewal in README

Co-authored-by: Cursor <cursoragent@cursor.com>

group_vars/all.yml.example

@@ -17,8 +17,11 @@ hysteria2_output_dir: "{{ playbook_dir }}/output"
 # Открывать output/index.html в браузере после install/update/export
 # hysteria2_open_browser: true
 
-# Порт Hysteria2
+# Порт Hysteria2 (Salamander — достаточно открыть только его, 80/tcp не нужен)
 hysteria2_listen_port: 443
 
-# Открывать порты в ufw (80/tcp, 443/tcp, 443/udp)
+# Открывать порты в ufw ({{ hysteria2_listen_port }}/tcp и /udp)
 hysteria2_configure_firewall: true
+
+# Длина пароля Salamander obfs (pwgen)
+# hysteria2_obfs_password_length: 32

group_vars/hysteria2_servers/vars.yml.example

@@ -4,3 +4,6 @@
 
 # Проброс VPN-паролей из vault в переменные роли (опционально)
 hysteria2_user_passwords: "{{ (vault_hysteria2_user_passwords | default({}))[inventory_hostname] | default({}) }}"
+
+# Опционально: фиксированный пароль Salamander obfs для сервера
+hysteria2_obfs_password: "{{ (vault_hysteria2_obfs_passwords | default({}))[inventory_hostname] | default('') }}"

group_vars/hysteria2_servers/vault.yml.example

@@ -14,5 +14,8 @@ vault_ssh_passwords:
 # vault_hysteria2_user_passwords:
 #   vps-de:
 #     friend: "Aingae0Okit1eek4eeZahFohVei4akee"
-#   vps-nl:
-#     alice: "CustomAlicePassword40chars................"
+
+# Опционально: пароль Salamander obfs (один на сервер)
+# vault_hysteria2_obfs_passwords:
+#   vps-de: "cry_me_a_r1ver_salamander_obfs_pass"
+#   vps-nl: "another_obfs_password_32chars!!"