docs: 控制面 CF Tunnel/端口布局说明 + 方案 HTML 登记 index

CLAUDE.md 补充控制面经 Cloudflare Tunnel 对外的端口/URL 布局说明；生成
docs/control-plane-tls-tunnel.html 阅读版并登记 docs/index.html「实现计划」；
顺带修正 deploy/single-node/deploy.sh 摘要 echo 里残留的旧明文口描述（Task 4/5
落地后措辞漂移，实际已是 CF Tunnel + loopback）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u

CLAUDE.md

@@ -48,6 +48,10 @@ sudo VPS_IP=<公网IP> bash deploy/single-node/deploy.sh
 - 二进制:`cmd/{server,agent,nodectl,migrate}`;`go build ./...` 直接编译,免确认。
 - 控制面 HTTP API(`:8080`)+ gRPC agent 服务(`:9443`, mTLS);agent 自 enroll → 渲染
   sing-box 配置 → `systemctl restart sing-box`。客户端连节点真实出网。
+- **控制面 API 对外经 Cloudflare Tunnel**:`https://api.yanmeiai.com`(cloudflared 出站隧道,
+  不监听入站端口)→ 源站 `pangolin-server` 只绑 `127.0.0.1:8080`,不外露、不放行防火墙。
+  数据面 sing-box REALITY 仍独占入站 `:443`(未改动);gRPC agent mTLS 仍 `:9443`。详见
+  `docs/control-plane-tls-tunnel.html`。
 
 ### 数据层:多数据库(一个环境变量切换)