feat(deploy): адрес привязки для прокси по туннелю и загрузка сертификата TURN с внешнего узла

- compose: app и LiveKit публикуются на GLCHAT_APP_BIND/GLCHAT_LIVEKIT_BIND
  (по умолчанию 127.0.0.1, для схемы «VPS-прокси + домашний сервер» — адрес в WireGuard)
- install.sh: --app-bind-addr/--livekit-bind-addr, --turn-cert-remote* для
  загрузки сертификата по SSH, glchat-cert-refresh умеет тянуть его с внешнего узла

deploy/compose.test.yaml.tpl

@@ -34,7 +34,7 @@ services:
     environment:
       <<: *app-env
     ports:
-      - "127.0.0.1:${APP_PORT}:8080"
+      - "${GLCHAT_APP_BIND}:${APP_PORT}:8080"
     volumes:
       - "${GLCHAT_DATA_DIR}/db:/app/data/db"
       - "${GLCHAT_DATA_DIR}/files:/app/data/files"