新增 Tailscale 公网访问方案并落地

- 调研对比 Tailscale / Cloudflare Tunnel / frp / QuickConnect，
  自用+大文件+隐藏IP 场景下选定 Tailscale（避开 CF 免费版 100MB 上限）
- NAS 已上线 tailnet（ds925 / 100.95.151.13），Gitea 与 Synology Photos
  公网访问已验证（含 >100MB 视频上传）
- 修复关键坑：mihomo fake-ip 劫持 Tailscale 控制面域名导致 tailscale up
  卡住，在 fake-ip-filter 加入 +.tailscale.com 等并提供修复脚本
- 文档：docs/public-access.md（部署/踩坑/验证）
- 可选件：docker/derp（自建 DERP 中继）
- 同步更新 CLAUDE.md（修正 git 公网地址、新增公网访问小节、端口、TODO）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docker/derp/docker-compose.yml

@@ -0,0 +1,21 @@
+# 自建 Tailscale DERP 中继节点（可选）
+# 部署位置：新加坡 EC2（18.136.60.128），不是 NAS。
+# 作用：P2P 打洞失败时，让 Tailscale 回退中继走自己的新加坡节点，缓解国内默认 DERP 慢的问题。
+#
+# 前置：
+#   1. 在 EC2 安全组放行 TCP 443、UDP 3478（STUN）。
+#   2. 准备一个解析到 EC2 的域名（如 derp.51yanmei.com，走灰云/DNS-only），用于自动签发证书。
+#   3. 在 Tailscale 管理后台的 ACL 中通过 derpMap 登记本节点后才会生效。
+services:
+  derper:
+    image: ghcr.io/yangchuansheng/derper:latest
+    container_name: derper
+    restart: unless-stopped
+    network_mode: host
+    environment:
+      DERP_DOMAIN: derp.51yanmei.com   # 改为实际域名
+      DERP_ADDR: ":443"
+      DERP_STUN: "true"
+      DERP_VERIFY_CLIENTS: "false"     # 如需仅限自己 tailnet 使用可设 true（需本机也跑 tailscaled）
+    volumes:
+      - ./certs:/root/.cache/tailscale  # 证书缓存