fix: 将 D601 代理切换为公网 TCP

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

config/platform-infra/host-proxy.yaml

@@ -116,7 +116,7 @@ targets:
   D601-VM:
     extends: templates.targets.hostProxyClient
     route: D601-VM
-    sourceRef: sources.wireguard-worker-vpn-server-shadowsocks
+    sourceRef: sources.nc01-vpn-server-shadowsocks
     files:
       k3sSystemdDropIn: /etc/systemd/system/k3s-agent.service.d/10-unidesk-proxy.conf
     env:

docs/reference/platform-infra.md

@@ -26,7 +26,9 @@
   - worker WireGuard 的业务探针固定使用 control-plane API `:6443`，不以可能被策略丢弃的 ICMP 判断隧道健康。
   - NAT 后 worker 的 WireGuard `PersistentKeepalive` 周期由集群 YAML 声明；跨地域节点优先用较短周期维持映射，但不得据此宣称降低物理 RTT。
   - 大型 proxy 工件由 Windows 宿主按 YAML `upstreamUrl` 获取并校验 SHA-256，Provider/trans 只承载控制命令，不作为大二进制数据面。
-  - WireGuard 只承载集群三层网络；NAT 或链路不稳定的 worker proxy 使用 `vpn-server` 输出的 Hysteria2 client YAML，不把应用出网 TCP 再套入 WireGuard TCP 路径。
+  - WireGuard 只承载集群三层网络；D601 worker proxy 使用 `vpn-server` 的
+    NC01 公网 Shadowsocks TCP 入口，不把应用出网 TCP 再套入 WireGuard，
+    也不与集群 WireGuard 竞争 UDP 链路。
   - proxy client 协议实现版本由 host-proxy YAML 声明，并与所连接的 `vpn-server` 协议实现版本保持一致。
   - control-plane 节点配置只组合 `hwlab nodes control-plane infra k3s-config plan|status|apply`：
     - 该窄域只比较并安装 owning YAML 渲染的 k3s systemd drop-in；