fix(proxy): mihomo 上游 ec2-sg → pangolin1-us（ec2 2026-07-04 退役漏改依赖，NAS 断外网复盘修复）

根因：ec2 退役释放 EIP 18.136.60.128，但 NAS mihomo 唯一上游仍指向它，
所有走代理的境外流量拨号超时。切换到 pangolin1（103.119.13.48）的
sing-box VLESS Reality :443（flow xtls-rprx-vision，SNI www.apple.com），
route-exclude 同步更新。NAS 实机已于 2026-07-05 切换并验证恢复。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

README.md

@@ -7,7 +7,7 @@ Synology DS925+（192.168.3.200）的 Docker 服务配置管理。
 | 服务 | 说明 | 地址 |
 |------|------|------|
 | Forgejo | 自托管 Git 服务 + CI/CD runner | http://git.51yanmei.com |
-| mihomo | 透明代理网关（VLESS + Reality） | 局域网网关 192.168.3.200 |
+| mihomo | 透明代理网关（VLESS + Reality，上游 pangolin1 103.119.13.48） | 局域网网关 192.168.3.200 |
 | dnsmasq | DHCP/DNS（预备，暂未启用） | — |
 
 ## 目录
@@ -28,6 +28,7 @@ cp docker/forgejo/.env.example docker/forgejo/.env
 
 cp docker/proxy/mihomo/.env.example docker/proxy/mihomo/.env
 # 填入 VLESS_UUID（然后手动更新 config.yaml 中的 <VLESS_UUID>）
+# 2026-07-05 起 UUID = pangolin1 sing-box 443 入站的第一个用户（查看：ssh pangolin1 查 /etc/sing-box/config.json）
 ```
 
 ### 启动服务

docker/proxy/mihomo/config.yaml

@@ -14,7 +14,7 @@ tun:
   auto-route: true
   auto-detect-interface: true
   route-exclude-address:
-    - 18.136.60.128/32
+    - 103.119.13.48/32
   dns-hijack:
     - any:53
 
@@ -46,25 +46,28 @@ dns:
     geoip-code: CN
 
 proxies:
-  - name: "ec2-sg"
+  # 上游 = pangolin1（103.119.13.48，sing-box VLESS Reality :443，伪装 www.apple.com）
+  # 2026-07-05 由 ec2-sg 切换而来（ec2 已于 2026-07-04 退役，EIP 已释放）
+  - name: "pangolin1-us"
     type: vless
-    server: 18.136.60.128
+    server: 103.119.13.48
     port: 443
     uuid: <VLESS_UUID>
     network: tcp
+    flow: xtls-rprx-vision
     tls: true
     udp: true
     reality-opts:
-      public-key: fHHr9qWw2JuqNxpv3XTcZTi5k73HWfjipa4vnXFu9W8
-      short-id: 6eb28f1a766a
-    servername: www.cloudflare.com
+      public-key: TAPOvsNOTm9faWdqXz4vkpK_dVQJWjwWqS_PKK6ytBg
+      short-id: 69ddbef9f69d07d3
+    servername: www.apple.com
     client-fingerprint: chrome
 
 proxy-groups:
   - name: "Proxy"
     type: select
     proxies:
-      - ec2-sg
+      - pangolin1-us
       - DIRECT
 
 rules: