feat(deploy): адрес привязки для прокси по туннелю и загрузка сертификата TURN с внешнего узла

- compose: app и LiveKit публикуются на GLCHAT_APP_BIND/GLCHAT_LIVEKIT_BIND
  (по умолчанию 127.0.0.1, для схемы «VPS-прокси + домашний сервер» — адрес в WireGuard)
- install.sh: --app-bind-addr/--livekit-bind-addr, --turn-cert-remote* для
  загрузки сертификата по SSH, glchat-cert-refresh умеет тянуть его с внешнего узла

deploy/compose.yaml.tpl

@@ -35,7 +35,7 @@ services:
     environment:
       <<: *app-env
     ports:
-      - "127.0.0.1:${APP_PORT}:8080"
+      - "${GLCHAT_APP_BIND}:${APP_PORT}:8080"
     volumes:
       - "${GLCHAT_DATA_DIR}/db:/app/data/db"
       - "${GLCHAT_DATA_DIR}/files:/app/data/files"
@@ -65,9 +65,10 @@ services:
     environment:
       LIVEKIT_KEYS: "${LIVEKIT_API_KEY}: ${LIVEKIT_API_SECRET}"
     ports:
-      - "127.0.0.1:${LIVEKIT_WS_PORT}:7880"
-      - "${LIVEKIT_TCP_PORT}:7881"
-      - "${LIVEKIT_UDP_PORT}:7882/udp"
+      - "${GLCHAT_LIVEKIT_BIND}:${LIVEKIT_WS_PORT}:7880"
+      # Медиапорты: тот же адрес привязки (для инстанса за NAT это адрес туннеля).
+      - "${GLCHAT_LIVEKIT_BIND}:${LIVEKIT_TCP_PORT}:7881"
+      - "${GLCHAT_LIVEKIT_BIND}:${LIVEKIT_UDP_PORT}:7882/udp"
     volumes:
       - ./livekit/livekit.yaml:/etc/livekit.yaml:ro
       - ${GLCHAT_TURN_CERT_DIR}:/etc/certs:ro