feat: choose probe/agent links from the admin, fix the overview popover [CI]

The panel decides which probes link to which agents (probes dial out): an
auto-link setting plus per-pair manual overrides with a link matrix in the
admin, and the hovered overview card is lifted above its neighbours.

docs/roadmap.md

@@ -62,6 +62,8 @@
 
 ## F2 Fleet 更新（在 M6 之前）
 
+> **状态**：容器节点（Agent、Probe）的更新已经实现并在线上验证过（签名发布清单、面板转发、宿主机更新器验签、按 digest 拉取、健康确认和回滚，见 [deployment.md](deployment.md) 的「容器节点的更新」）。**还没实现**：纯二进制安装方式的 `fleet-updater` 和 `fleet-release`、Windows 服务和 OpenWrt 的适配器、通道与灰度（现在由管理员在管理端手动选节点）、`POLICY=auto` 的线上验证。下面保留原来的完整设计。
+
 - `Fleet.Update`、`fleet-updater`（systemd 与 Windows 服务适配器、健康信标、回滚、防回滚）、`fleet-release`（CI 签名）、`Fleet.Server.Releases`（通道、灰度、版本汇总）。
 
 **验收**：
@@ -81,7 +83,11 @@
 
 ## 实现状态（后端与 Agent）
 
-已实现并有自动化测试（287 个，另有 2 个跳过的测试，其中 1 个需要运行中 NativeAOT 产物）：
+已实现并有自动化测试（331 个，另有 2 个跳过的测试，其中 1 个需要运行中 NativeAOT 产物）：
+
+- **Probe 直连面板**：Probe 用自己的身份连 Backend（`probe.json` 里有 `server`），Agent 列表由面板作为期望状态 `probe_agents` 下发；Agent 不再中转列表和 Probe 的系统信息。
+- **节点信息与构建信息**：系统、架构、国家和运营商（Backend 用来源地址查询，节点不访问外部服务）、版本、tag、提交和构建时间；展示端按 `site.show_build` 开关显示，管理端「系统 → 版本」看全部。
+- **容器节点的更新**：CI 对镜像 digest 签名，面板转发，宿主机 `monitor-update` 验签、拉取、重启并在不健康时回滚；管理端有更新状态和按钮，CI 用只能登记清单的 `release` 令牌。
 
 - **多 Probe**：Probe 身份由 Backend 生成（创建、轮换密钥、吊销、删除），一条线路是一对（Probe，Agent），Agent 为每个 Probe 会话各起一组流，数据按 `line:<probe_id>` 隔离；Agent 上报连着的 Probe（id、版本、远端地址、时间），管理端可以断开某个 Probe；吊销立即生效。
 - **`tcp_bulk` 原语**：批量传输（fwd / rev、本地码率上限、两端的 tcp_info），评分用持续 1 秒的吞吐峰值。