feat(turn): TURN/TLS с сертификатом, порты релея и автообновление сертификата

- install.sh: --turn-domain/--turn-cert/--turn-key, проверка наличия сертификата,
  копирование в /opt/glchat/certs, UFW открывает диапазон релея
- livekit.yaml.tpl: relay_range_start/end, cert_file/key_file
- compose: сертификаты монтируются в LiveKit read-only
- systemd timer glchat-cert-refresh: ежедневно копирует обновлённый сертификат
  из внешнего ACME-хранилища и перезапускает LiveKit при изменении
- smoke.sh: TURN-порты обязательны при включённом TURN + проверка CN сертификата

deploy/compose.test.yaml.tpl

@@ -67,6 +67,7 @@ services:
     ports: []
     volumes:
       - ./livekit/livekit.yaml:/etc/livekit.yaml:ro
+      - ${GLCHAT_TURN_CERT_DIR}:/etc/certs:ro
     logging: *default-logging
     deploy:
       resources: