feat!: probes link to the panel; signed release updates for container nodes [CI]

Probes connect to the panel directly and get the agent list as desired state.
CI signs the image digest of agent and probe releases, the panel forwards the
manifest, and a host updater verifies it with a local public key, pulls by
digest and rolls back when the new version is unhealthy.

docs/enrollment.md

@@ -7,7 +7,7 @@
 | 主体 | 凭据 | 生成方 | Backend 保存 |
 | --- | --- | --- | --- |
 | Agent | Fleet 节点身份（ECDSA P-256）+ 面向 Probe 的 TLS 证书 | `fleet-enroll` | 公钥、SPKI 指纹 |
-| Probe | Fleet 节点身份 | 面板生成 `probe.json`（可以有多个 Probe，每个独立吊销） | 公钥 |
+| Probe | Fleet 节点身份（同时用于连面板和连 Agent） | 面板生成 `probe.json`（可以有多个 Probe，每个独立吊销） | 公钥 |
 | 面板用户 | 账号 + 密码（PBKDF2-SHA256） | 面板 | 密码哈希 |
 | API 令牌 | 随机高熵令牌，作用域为 `read` 或 `admin` | 面板 | SHA-256 |
 | 发布签名 | 离线的 ECDSA 发布密钥 | CI 或离线环境 | 只在节点的 `fleet-updater` 中配置公钥，**面板不保存** |
@@ -30,7 +30,7 @@ install.sh（只做安装，不包含任何远程控制功能）
 面板收到 OnEnrolled（Monitor 挂钩）
   ├─ public_host 未提供时，取注册请求的来源 IP
   ├─ 按“线路任务模板”为该 Agent 计算有效任务集（TaskSet）
-  └─ 通知 Probe（通过 monitor.probe.agents_changed）→ Probe 自动连接新 Agent
+  └─ 面板把新的 Agent 列表作为期望状态推给所有 Probe → Probe 自动连接新 Agent
      从安装到开始出数据，全程不需要手工配置
 ```
 
@@ -38,21 +38,20 @@ install.sh（只做安装，不包含任何远程控制功能）
 
 ## 3. Probe 身份与 Agent 列表同步
 
-Probe 不认识 Backend，它需要的 Agent 列表经由任意一个已连接的 Agent 获取。
+Probe 直接连面板（Fleet 长连接，身份是下面生成的密钥），Agent 列表由面板作为期望状态下发；测量数据仍然只走 Probe → Agent。
 
 ```text
 面板：POST /api/admin/probes {name}
-  └─ 生成 Fleet 节点身份，返回 probe.json（只能下载一次；轮换密钥 /rotate 会使旧密钥失效，吊销 /revoke 会让所有 Agent 断开它）
-     { probe_id, private_key, bootstrap: [ {agent_id, host, tcp_port, spki}, ... ],
+  └─ 生成 Fleet 节点身份，返回 probe.json（只能下载一次；轮换密钥 /rotate 会使旧密钥失效，吊销 /revoke 会让面板和所有 Agent 断开它）
+     { probe_id, private_key, server: "https://panel...",
        limits: { max_test_mbps, max_total_pps } }   ← 本地硬上限，面板无法修改；在路由器上建议调低
 
 Probe 启动
-  ├─ 依次尝试 bootstrap 中的 Agent，与其中一个建立 Fleet 点对点会话（peer 用途签名）
-  ├─ monitor.probe.agents ──> Agent ──> Backend
-  │  <── { version, agents: [ {agent_id, host, tcp_port, udp_ports, spki}... ] }
-  ├─ 调和：新增的 Agent → 建立会话；被移除或禁用的 → 断开
-  └─ 之后列表的任何变化，都通过已连接的 Agent 推送 monitor.probe.agents_changed；
-     Probe 用 Fleet.Hosting.ConfigStore 把最新列表写回 bootstrap（这是配置，不是测量数据）
+  ├─ 连接 server：Fleet 长连接（用 probe_id 和私钥认证），fleet.hello 带上系统、架构和构建信息
+  ├─ 面板推送期望状态 probe_agents：{ version, agents: [ {agent_id, host, tcp_port, udp_ports, spki}... ] }
+  ├─ 调和：新增的 Agent → 建立点对点会话（peer 用途签名）；被移除或禁用的 → 断开
+  └─ 之后列表的任何变化（Agent 注册、禁用、地址或证书变化），面板都重新推送同一种期望状态；
+     Probe 用 Fleet.Hosting.ConfigStore 把最新列表写回 agents.json（这是配置，不是测量数据；面板暂时连不上时，Probe 靠它继续测量）
 ```
 
 - 每个 Agent 通过自己的期望状态（`TaskSet.peers`）获得 Probe 的公钥，用来验证点对点会话的签名。
@@ -70,7 +69,7 @@ Probe 启动
     "allowed_target_cidrs": [],
     "max_concurrent_tests": 1
   },
-  "fleet_policy": { "allow_methods": ["monitor.test.run", "monitor.test.cancel", "monitor.probe.agents_changed"] }
+  "fleet_policy": { "allow_methods": ["monitor.test.run", "monitor.test.cancel"] }
 }
 ```