新增 Tailscale 公网访问方案并落地

- 调研对比 Tailscale / Cloudflare Tunnel / frp / QuickConnect，
  自用+大文件+隐藏IP 场景下选定 Tailscale（避开 CF 免费版 100MB 上限）
- NAS 已上线 tailnet（ds925 / 100.95.151.13），Gitea 与 Synology Photos
  公网访问已验证（含 >100MB 视频上传）
- 修复关键坑：mihomo fake-ip 劫持 Tailscale 控制面域名导致 tailscale up
  卡住，在 fake-ip-filter 加入 +.tailscale.com 等并提供修复脚本
- 文档：docs/public-access.md（部署/踩坑/验证）
- 可选件：docker/derp（自建 DERP 中继）
- 同步更新 CLAUDE.md（修正 git 公网地址、新增公网访问小节、端口、TODO）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docker/proxy/mihomo/config.yaml

@@ -30,6 +30,11 @@ dns:
     - 'time.*.com'
     - 'ntp.*.com'
     - '+.pool.ntp.org'
+    # Tailscale 控制面/DERP 必须解析为真实 IP，否则 fake-ip 会导致 tailscaled
+    # 连不上控制服务器、tailscale up 卡住不打印登录 URL。详见 docs/public-access.md
+    - '+.tailscale.com'
+    - '+.tailscale.io'
+    - '+.tailscale-dns.com'
   nameserver:
     - 114.114.114.114
     - 223.5.5.5