feat!: probes generate their own keys and enroll with a join token; node and peer keys are separate [CI]

docs/enrollment.md

@@ -7,7 +7,7 @@
 | 主体 | 凭据 | 生成方 | Backend 保存 |
 | --- | --- | --- | --- |
 | Agent | Fleet 节点身份（ECDSA P-256）+ 面向 Probe 的 TLS 证书 | `fleet-enroll` | 公钥、SPKI 指纹 |
-| Probe | Fleet 节点身份（同时用于连面板和连 Agent） | 面板生成 `probe.json`（可以有多个 Probe，每个独立吊销） | 公钥 |
+| Probe | Fleet 节点身份（连面板）+ 另一把独立的密钥（连 Agent，放在 `tls.pfx`） | `fleet-enroll`，和 Agent 一样用加入令牌（`role=probe`）；可以有多个 Probe，每个独立吊销 | 两把公钥 |
 | 面板用户 | 账号 + 密码（PBKDF2-SHA256） | 面板 | 密码哈希 |
 | API 令牌 | 随机高熵令牌，作用域为 `read` 或 `admin` | 面板 | SHA-256 |
 | 发布签名 | ECDSA P-256 发布密钥 | CI（Woodpecker 密钥 `release_signing_key`）或离线环境 | 只在节点宿主机的更新器里配置公钥（容器节点是 `moshiro-update`，见 [deployment.md](deployment.md)；纯二进制节点的更新是待办），**面板不保存私钥，也不验签** |
@@ -41,10 +41,12 @@ install.sh（只做安装，不包含任何远程控制功能；容器节点的
 Probe 直接连面板（Fleet 长连接，身份是下面生成的密钥），Agent 列表由面板作为期望状态下发；测量数据仍然只走 Probe → Agent。
 
 ```text
-面板：POST /api/admin/probes {name}
-  └─ 生成 Fleet 节点身份，返回 probe.json（只能下载一次；轮换密钥 /rotate 会使旧密钥失效，吊销 /revoke 会让面板和所有 Agent 断开它）
-     { probe_id, private_key, server: "https://panel...",
-       limits: { max_test_mbps, max_total_pps } }   ← 本地硬上限，面板无法修改；在路由器上建议调低
+面板：POST /api/admin/join-tokens {role: "probe"}  → 一次性加入令牌 jt_…
+Probe 机器：fleet-enroll --server … --join jt_… --name home --identity-dir …
+  ├─ 本地生成两把密钥：node.key（连面板认证）和 tls.pfx 里的密钥（连 Agent 对端认证）；面板从不接触私钥
+  ├─ 注册请求带两把公钥（pubkey、tls_pubkey）和持有证明；面板据此写 probes 记录，ID 前缀 prb_
+  └─ 吊销 /revoke 会让面板和所有 Agent 断开它；换密钥 = 吊销后重新注册（没有 rotate）
+probe.json：{ fleet: { server, identity_dir }, restart_at?, limits? }   ← limits 是本地硬上限，面板无法修改；在路由器上建议调低
 
 Probe 启动
   ├─ 连接 server：Fleet 长连接（用 probe_id 和私钥认证），fleet.hello 带上系统、架构和构建信息
@@ -87,8 +89,8 @@ Probe 启动
 | GET | `/api/agent/v1/rpc` | 由 `MapFleetLink` 提供（升级为 WebSocket） |
 | GET/POST/DELETE | `/api/admin/join-tokens` | 管理加入令牌 |
 | POST | `/api/admin/agents/{id}/approve`、`/disable`、`/enable`、`/takeover` | 审批与启停 |
-| GET/POST/PATCH/DELETE | `/api/admin/probes`、`/probes/{id}` | Probe 身份的创建、列表、改名、删除 |
-| POST | `/api/admin/probes/{id}/rotate`、`/revoke` | 轮换密钥、吊销 |
+| GET/PATCH/DELETE | `/api/admin/probes`、`/probes/{id}` | Probe 的列表、改名、删除 |
+| POST | `/api/admin/probes/{id}/revoke` | 吊销（换密钥就是吊销之后重新注册，没有轮换） |
 | POST | `/api/admin/agents/{id}/probes/{probe_id}/disconnect` | 让 Agent 断开某个 Probe |
 | GET | `/install.sh`、`/install.ps1` | 安装脚本 |