feat(overlay): 覆盖网络线 序㉔–㊸ 补提交 —— 源码与已部署产物对齐

把这批「已 scp 到 47 / 106 生产并在跑、但一直未入 git」的实现补进版本库
（其中 P2 的全部新源码此前一直是 untracked）。

分棒内容：
- 序㉔ 内容分发块级寻址：src/net/relay/content/{runtime,source}.ts
- 序㉖ 骨干稳定选路（jitter）：src/net/relay/{index,network}.ts、src/web/server.ts
- 序㉘ 组密钥加密（GCM 确定性）：src/net/relay/content/{runtime,source}.ts
- 序㉛ P1 一键加入 ＋ 分组准入：src/net/relay/{join,registry}.ts、
  src/web/routes/overlay-nodes.ts、scripts/overlay-node-{join,admit}.cjs、
  test/overlay-join.test.mjs
- 序㊵/㊶ 直连打洞 ＋ peer 档：src/net/relay/direct/{candidate,index,punch}.ts、
  scripts/overlay-direct-probe.cjs、test/overlay-direct.test.mjs
- 序㊷/㊸ 观测面：scripts/overlay-probe.cjs、scripts/overlay-failover-drill.cjs

零回归三件套（2026-09-18 16:2x 提交前复跑，全绿）：
- npm test                                  201 tests / pass 200 / fail 0 / skipped 1（Node v22.22.2）
- overlay-probe.cjs --table                 28 PASS / 0 SKIP / 0 FAIL
- overlay-failover-drill.cjs --scene all --table  12 PASS / 0 SKIP / 0 FAIL

⛔ 未纳入：_tmp_seq24/、_tmp_seq40/、_中间产物_待清理/（本机临时产物，仍 untracked）
🔴 未实施：D8 云安全组乙-1（待人工在云控制台落地，见
   交接单_覆盖网络直连与P2P_20260918.md §8.11）

src/web/server.ts

@@ -62,6 +62,7 @@ import { desktopRoutes } from './routes/desktop.js'
 import { dshRoutes } from './routes/dsh.js'
 import { domainRoutes } from './routes/domain.js'
 import { overlayRoutes } from './routes/overlay.js'
+import { overlayNodeRoutes } from './routes/overlay-nodes.js'
 import { skillRoutes } from './routes/skills.js'
 import { whitelistRoutes } from './routes/whitelist.js'
 
@@ -1163,6 +1164,8 @@ export async function buildServer(config: ServerConfig): Promise<FastifyInstance
   await app.register(dshRoutes)
   await app.register(domainRoutes)
   await app.register(overlayRoutes)
+  // 序㊵（P2/S5）：覆盖网络**管理面**（节点清单只读 ＋ 直连开关读写）—— 全部走 requireAdmin
+  await app.register(overlayNodeRoutes)
   await app.register(skillRoutes)
   await app.register(whitelistRoutes)