feat(turn): внешний TURN-релей и TLS через прокси

- install.sh: --tls-terminated-by-proxy (ссылки https/wss без своего 80/443),
  --turn-relay-host/--turn-relay-port/--turn-relay-tls-port, общий TURN_SECRET
  для coturn (use-auth-secret) и LiveKit
- livekit.yaml.tpl: rtc.turn_servers с внешним релеем (udp + tls)
- секрет вычисляется один раз и сохраняется в .env

deploy/livekit/livekit.yaml.tpl

@@ -11,6 +11,9 @@ rtc:
   use_external_ip: ${LIVEKIT_USE_EXTERNAL_IP}
   # TCP-fallback, когда UDP заблокирован сетью клиента (AGENT.md 7.14).
   allow_tcp_fallback: true
+  # Внешний TURN-релей с публичным IP (VPS): даёт рабочий путь клиентам за
+  # NAT/CGNAT, когда у самого инстанса белого адреса нет.
+${TURN_RELAY_SERVERS}
 
 keys: {}