fix(部署): One-API 管理端口改为局域网直连，SSH 隧道方案不可行

- 发现 NAS sshd 关闭了 AllowTcpForwarding，SSH -L 隧道会报 administratively prohibited，此前文档里的隧道方案实际不可用
- one-api 端口绑定改为 192.168.50.64:3001（NAS 局域网 IP），不再绑定 127.0.0.1；仍不接入 frp、不暴露公网，只是访问方式从"SSH隧道转发"改为"同局域网直连"
- 已在 NAS 上应用并验证 http://192.168.50.64:3001 可正常访问（HTTP 200）
- 同步修正 README/PROGRESS/SDD 中的管理端口访问说明

docs/02-软件设计文档-SDD.md

@@ -374,7 +374,7 @@ networks:
 ## 8. 待确认事项（2026-08-23 更新：已实际部署，多数事项已给出默认结论）
 
 1. ~~是否需要 Server-Side 模式支持多端对话同步~~ **默认结论**：本期保持 Client-Side（IndexedDB），不额外部署 PostgreSQL；仅单用户/单浏览器使用，暂无多端同步需求。如后续需要，再单独排期
-2. ~~后台管理端口是否需要通过 VPN/SSH 隧道访问~~ **已实施**：One-API 仅绑定 NAS `127.0.0.1:3001`，不接入 frp 隧道，不映射公网；远程管理走 `ssh -p 2222 -L 3001:127.0.0.1:3001 ericwyuan@192.168.50.64`
+2. ~~后台管理端口是否需要通过 VPN/SSH 隧道访问~~ **已实施（2026-08-23 修正）**：NAS sshd 关闭了 `AllowTcpForwarding`，SSH 隧道方案实测不可行；改为 One-API 绑定 NAS 局域网 IP `192.168.50.64:3001`，不接入 frp 隧道、不映射公网，同局域网内浏览器直接访问 `http://192.168.50.64:3001`
 3. ~~是否需要接入 Prometheus/Grafana~~ **默认结论**：本期不接入，沿用 SDD 6.4 既定的轻量监控（`docker compose ps` + One-API 后台渠道页面）；用量不大，暂不需要额外可视化监控栈
 4. **域名与证书**：尚未有正式域名，当前用**临时自签名证书**（`certs/fullchain.pem`/`privkey.pem`，CN=nexusai.local）跑通链路，浏览器会提示"不安全"但功能不受影响；若紫川后续购买/已有域名，替换证书为 Let's Encrypt 即可，无需改动其他组件——**此项仍待紫川决定是否购买域名**
 5. ~~NAS 到各海外 API 官方域名的直连稳定性验证~~ **已完成（2026-08-23）**：五渠道 TCP/TLS 握手均 2 秒内完成，NAS 出站直连稳定，无需额外代理