fix(部署): One-API 管理端口改为局域网直连，SSH 隧道方案不可行

- 发现 NAS sshd 关闭了 AllowTcpForwarding，SSH -L 隧道会报 administratively prohibited，此前文档里的隧道方案实际不可用
- one-api 端口绑定改为 192.168.50.64:3001（NAS 局域网 IP），不再绑定 127.0.0.1；仍不接入 frp、不暴露公网，只是访问方式从"SSH隧道转发"改为"同局域网直连"
- 已在 NAS 上应用并验证 http://192.168.50.64:3001 可正常访问（HTTP 200）
- 同步修正 README/PROGRESS/SDD 中的管理端口访问说明

PROGRESS.md

@@ -28,8 +28,9 @@
 - **Oracle 反代方式确认（待办任务3，已完成）**：确认沿用 frp 隧道方案（与 FAM 一致）。Oracle 上 `frps` 服务已在运行（`/etc/frp/frps.toml`，7000 控制端口），NAS 上 `frpc`（`/etc/frp/frpc.toml`）已有 gitea/wordpress/fam-core 三个代理在跑；本次仅追加第 4 个 `[[proxies]] name="nexusai"`（localPort 8443 → remotePort 3210），修改前按现有约定做了时间戳备份（`/etc/frp/frpc.toml.bak.*`），重启 frpc 后四个代理全部 `start proxy success`，未影响既有 gitea/wordpress/fam-core 隧道
 - **NAS 实际部署（待办任务5，部分完成）**：`~/ai-gateway/` 目录下已放置 `docker-compose.yml`/`nginx.conf`/`.env`（`MYSQL_ROOT_PASSWORD`、`LOBE_ACCESS_CODE` 已用 `openssl rand` 生成强随机值，仅存于 NAS，未入库、未在对话记录外泄露）；证书为临时自签名（`certs/`，CN=nexusai.local，SAN 含两台服务器 IP），`docker compose up -d` 后四容器全部 Up（MySQL 首次初始化耗时导致 one-api 短暂重启几次，符合预期，之后自愈）
 - **端到端验证通过**：`curl -sk https://129.146.203.203:3210/` 与 NAS 本机 `curl -sk https://127.0.0.1:8443/` 均返回 HTTP 307（LobeChat 正常重定向），链路 浏览器→Oracle frps:3210→frp隧道→NAS nginx:8443→lobe-chat:3210 完全打通
+- **管理端口访问方式修正（2026-08-23）**：NAS sshd 关闭了 `AllowTcpForwarding`，SSH 隧道方案实测不可行（`channel N: open failed: administratively prohibited`）；改为 One-API 端口直接绑定 NAS 局域网 IP（`192.168.50.64:3001:3000`，非 `127.0.0.1`），同局域网内浏览器可直接访问，仍不经 frp、不暴露公网
 - **仍需用户在浏览器里手动完成（不由 AI 代做，涉及创建账号/输入密钥）**：
-  1. 通过 SSH 隧道 `ssh -p 2222 -L 3001:127.0.0.1:3001 ericwyuan@192.168.50.64` 访问 `http://127.0.0.1:3001` 完成 One-API 管理员账号初始化
+  1. 浏览器直接打开 `http://192.168.50.64:3001`（需与 NAS 同一局域网）完成 One-API 管理员账号初始化
   2. 后台按渠道设计表添加 5 个渠道（需要 Gemini/NVIDIA 新 Key，待办任务2）
   3. 创建对外 Token，写入 NAS `~/ai-gateway/.env` 的 `ONE_API_TOKEN`，然后 `docker compose restart lobe-chat`
   4. 访问 `https://129.146.203.203:3210`（当前为自签名证书，浏览器会显示不安全警告；Access Code 已随机生成，存于 NAS `~/ai-gateway/.env` 的 `LOBE_ACCESS_CODE`，未写入版本库，见对话记录/自行 `cat` 查看）进行实际对话/图片问答/Failover 验证（待办任务5 收尾）、并决定正式域名与证书方案（待办任务6，届时替换 `certs/` 下的自签名证书）