feat!: pre-handshake knock on the agent TCP ports; probes get the agent certificate public key [CI]

docs/storage.md

@@ -37,7 +37,8 @@ CREATE TABLE agents (
   name TEXT NOT NULL UNIQUE,
   status TEXT NOT NULL,                -- pending | active | disabled
   pubkey BLOB NOT NULL,                -- ECDSA P-256 身份公钥
-  tls_spki BLOB NOT NULL,              -- 面向 Probe 的证书指纹
+  tls_spki BLOB NOT NULL,              -- 面向 Probe 的证书指纹（由 tls_pubkey 算出）
+  tls_pubkey BLOB,                     -- 面向 Probe 的证书公钥，Agent 在 hello 里上报；Probe 用它固定证书、派生敲门密钥
   public_host TEXT NOT NULL,           -- 自动识别（Agent 上报的公网地址），手填后标记 public_host_manual，不再被覆盖
   probe_tcp_port INTEGER NOT NULL, probe_udp_ports TEXT NOT NULL,
   labels TEXT NOT NULL DEFAULT '[]',