fix(deploy): надёжный рендер шаблонов и устойчивый цикл подстановки

- render_template: значения передаются через окружение (envsubst), а не
  подставляются в variadic-аргументы — многострочные значения больше не
  ломают разбор, неполный список не уводит bash в бесконечный цикл
- export "$pair": bash сам разбирает KEY=value (было export "${pair}")
- шаблоны переведены на ${VAR}-синтаксис, добавлен compose.test.yaml.tpl
  для тестового режима установщика (--skip-tls без публикации портов)
- dry-run не требует root и работает вне Linux (проверка ОС пропускается)
- install.sh: учитываются --livekit-*-порты и --turn-*-порты в livekit.yaml,
  исправлено экранирование апострофа в итоговой сводке
- scripts/debug-install.sh: трассировка установщика в контейнере

deploy/install.sh

@@ -193,6 +193,10 @@ interactive_defaults() {
 
 detect_ssh_port() {
     local port="22" conf="/etc/ssh/sshd_config"
+    if [ ! -r "$conf" ] && [ ! -d /etc/ssh ]; then
+        printf '%s' "$port"
+        return 0
+    fi
     if [ -r "$conf" ]; then
         local found
         found="$(awk '/^[[:space:]]*Port[[:space:]]+[0-9]+/ {print $2; exit}' "$conf")"
@@ -547,12 +551,14 @@ ensure_swap() {
     ok "swap ${want_gb} GB активирован"
 }
 
+
+
 render_all_templates() {
     info "генерируем конфиги в ${TARGET_DIR}"
+    mkdir -p "${TARGET_DIR}"/{caddy/logs,caddy/data,caddy/config,livekit,fail2ban,nftables}
     if [ "$DRY_RUN" = "1" ]; then
         log_file_only "DRY-RUN: рендер шаблонов compose/Caddy/LiveKit/fail2ban/nftables/systemd"
     else
-        mkdir -p "${TARGET_DIR}"/{caddy/logs,caddy/data,caddy/config,livekit,fail2ban,nftables}
         cp "${DEPLOY_DIR}/lib/common.sh" "${TARGET_DIR}/lib-common.sh" 2>/dev/null || true
         cp "${DEPLOY_DIR}/"*.sh "${TARGET_DIR}/" 2>/dev/null || true
         cp "${DEPLOY_DIR}/fail2ban/filter-glchat-auth.conf" "${TARGET_DIR}/fail2ban/"
@@ -575,20 +581,14 @@ render_all_templates() {
     LIVEKIT_PUBLISH="true"
     [ "$SKIP_TLS" = "1" ] && LIVEKIT_PUBLISH="false"
 
-    # Публикация портов LiveKit отключается в тестовом режиме (--skip-tls),
-    # когда установщик проверяется внутри контейнера.
-    local livekit_ports
-    if [ "$LIVEKIT_PUBLISH" = "true" ]; then
-        livekit_ports="
-      - \"127.0.0.1:${LIVEKIT_WS_PORT}:7880\"
-      - \"${LIVEKIT_TCP_PORT}:7881\"
-      - \"${LIVEKIT_UDP_PORT}:7882/udp\""
-    else
-        livekit_ports=" []"
+    # Вариант compose выбирается по режиму: в тестовом прогоне (--skip-tls)
+    # порты LiveKit не публикуются, чтобы не занимать порты хост-машины.
+    local compose_template="${DEPLOY_DIR}/compose.yaml.tpl"
+    if [ "$LIVEKIT_PUBLISH" != "true" ]; then
+        compose_template="${DEPLOY_DIR}/compose.test.yaml.tpl"
     fi
-    LIVEKIT_PORTS="$livekit_ports"
 
-    render_template "${DEPLOY_DIR}/compose.yaml.tpl" "${TARGET_DIR}/compose.yaml" \
+    render_template "${compose_template}" "${TARGET_DIR}/compose.yaml" \
         "DOMAIN=${DOMAIN}" "FILES_DOMAIN=${FILES_DOMAIN_RESOLVED}" "INSTANCE_NAME=${INSTANCE_NAME}" \
         "PROFILE=${PROFILE_RESOLVED}" "APP_IMAGE=${APP_IMAGE}" "IMAGE_TAG=${IMAGE_TAG}" \
         "APP_PORT=${APP_PORT}" "LIVEKIT_WS_PORT=${LIVEKIT_WS_PORT}" \
@@ -604,7 +604,6 @@ render_all_templates() {
         "CADDY_CPUS=1.0" "CADDY_MEMORY_LIMIT=256m" \
         "CADDY_IMAGE_TAG=${CADDY_IMAGE_TAG}" "LIVEKIT_IMAGE_TAG=${LIVEKIT_IMAGE_TAG}" \
         "CADDY_PROFILE=${CADDY_PROFILE}" "LIVEKIT_PUBLISH=${LIVEKIT_PUBLISH}" \
-        "LIVEKIT_PORTS=${LIVEKIT_PORTS}" \
         "LIVEKIT_API_KEY=${LIVEKIT_API_KEY}" "LIVEKIT_API_SECRET=${LIVEKIT_API_SECRET}" \
         "HTTP_PORT=${HTTP_PORT}" "HTTPS_PORT=${HTTPS_PORT}"
 
@@ -632,10 +631,15 @@ render_all_templates() {
     TURN_EXTERNAL_TLS="$turn_external_tls"
 
     render_template "${DEPLOY_DIR}/livekit/livekit.yaml.tpl" "${TARGET_DIR}/livekit/livekit.yaml" \
-        "LIVEKIT_WS_PORT=7880" "LIVEKIT_TCP_PORT=7881" "LIVEKIT_UDP_PORT=7882" \
+        "LIVEKIT_WS_PORT=${LIVEKIT_WS_PORT}" \
+        "LIVEKIT_TCP_PORT=${LIVEKIT_TCP_PORT}" \
+        "LIVEKIT_UDP_PORT=${LIVEKIT_UDP_PORT}" \
         "LIVEKIT_USE_EXTERNAL_IP=${use_external_ip}" \
-        "TURN_ENABLED=${TURN_ENABLED}" "TURN_DOMAIN=turn.${DOMAIN}" \
-        "TURN_UDP_PORT=3478" "TURN_TLS_PORT=5349" "TURN_EXTERNAL_TLS=${turn_external_tls}" \
+        "TURN_ENABLED=${TURN_ENABLED}" \
+        "TURN_DOMAIN=turn.${DOMAIN}" \
+        "TURN_UDP_PORT=${TURN_UDP_PORT}" \
+        "TURN_TLS_PORT=${TURN_TLS_PORT}" \
+        "TURN_EXTERNAL_TLS=${turn_external_tls}" \
         "LIVEKIT_MAX_PARTICIPANTS=${PROFILE_LIVEKIT_MAX_PARTICIPANTS}" \
         "LIVEKIT_DISABLE_SIMULCAST=${disable_simulcast}"
 
@@ -872,6 +876,8 @@ build_or_pull_image() {
         --build-arg "VERSION=${IMAGE_TAG}" \
         --build-arg "COMMIT=$(git -C "$REPO_DIR" rev-parse --short HEAD 2>/dev/null || echo none)" \
         --build-arg "BUILD_DATE=$(date -u +%Y-%m-%dT%H:%M:%SZ)" \
+        --build-arg "GOPROXY=${GOPROXY:-https://proxy.golang.org,direct}" \
+        --build-arg "GOSUMDB=${GOSUMDB:-sum.golang.org}" \
         "$REPO_DIR" || die "сборка образа не удалась"
     ok "образ собран: $(docker images --format '{{.Repository}}:{{.Tag}} {{.Size}}' "$APP_IMAGE" | head -1)"
 }
@@ -955,7 +961,7 @@ print_summary() {
   * Не забудьте про внешний firewall провайдера (если есть).
 EOF
     if [ "$SKIP_TLS" = "0" ] && [ "$PROXY_MODE" = "embedded" ]; then
-        printf '  * Сертификат Let%s Encrypt выпускается автоматически при первом запросе.\n' "'"
+        printf "  * Сертификат Let's Encrypt выпускается автоматически при первом запросе.\n"
     fi
     printf '\n'
 }
@@ -989,7 +995,7 @@ main() {
     else
         EFFECTIVE_UPLOAD_MB="$MAX_UPLOAD_MB"
     fi
-    PROFILE_APP_CPUS="$(nproc)"
+    PROFILE_APP_CPUS="$(detect_cpus)"
     PROFILE_LIVEKIT_CPUS="1.0"
     PROFILE_SWAPPINESS=10