[CI] [SKIP TESTS] Add detailed Probe-Agent connection diagnostics

docs/ops/deployment.md

@@ -4,6 +4,18 @@
 
 ## 1. 构建与打包
 
+### Probe ↔ Agent 连接日志
+
+管理端节点日志收集节点通过心跳上传的近期日志；原始日志可从 systemd journal、容器 logs 或 OpenWrt `logread` 查看。排障时同时查看 Probe 和 Agent，并按时间、`remote` 端点对应两端记录。
+
+- Probe 每次重连生成独立 `attempt_id`，附带 `agent`、`ip_version`。阶段依次为 DNS、TCP 连接、敲门、TLS、对等认证、时钟同步、QUIC 握手和测量。失败记录包括阶段、耗时、异常及重试间隔。
+- Agent 控制会话带 `probe`、`ip_version`、`control_id`，记录替换、主动断开、吊销、空闲超时、控制连接异常和会话时长。通过敲门验证前的连接保持静默。
+- 每条 QUIC 连接带独立 `quic_id`，记录远端、本地 UDP 端口、握手、DATAGRAM 协商状态及最大长度、首个数据报、首个通过认证的测量数据报和关闭状态。首个认证数据报在 Agent 端关联公开 Probe ID；这些关联 ID 均为本地诊断标记，两端的 ID 不相同。
+- QUIC 原生关闭码同时保留十六进制和可识别的原因，例如 Linux `0x0000006E` 为 `connection_timeout`。原生收发统计来自回调缓存，`stats_age_ms` 表示缓存年龄；空值表示尚无快照，不能据此断言没有发包，确认网络丢包仍需抓包。
+- 测量数据报拒绝区分格式、未知流、未知会话、MAC 校验、准入策略和限速。拒绝日志每个传输实例最多每 30 秒一条，计数始终累计；发送失败也按连接限频。正常会话每 60 秒输出摘要，避免逐包日志干扰测量。
+
+日志不记录会话密钥、会话凭据、MAC、签名或包内容。近期日志缓冲仍有容量和心跳批次预算；大量重连时可能覆盖旧记录，管理端的 dropped 数量表示丢弃的日志条数。
+
 ### IPv6 状态诊断
 
 Agent 和 Probe 在 hello 初始化及心跳中上报 IPv6 检测结果，包括监听状态、全局地址、默认路由和网络命名空间。容器可提供只读宿主 `/proc` 挂载，附带宿主网络状态。只传布尔状态，不传 IP 或网卡名称。Docker 和 Podman 推荐宿主网络模式；自定义桥接网络时，需要启用 IPv6 并提供 `/proc` 宿主挂载，前端会提示宿主和容器网络状态是否不同。