feat: add bootstrap one-click deploy and update deployment docs

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/STACK.md

@@ -5,16 +5,21 @@
 | 组件 | 用途 |
 |------|------|
 | **sing-box** | Hysteria2 服务端、Clash API 统计、多 inbound 按节点分端口 |
-| **Nginx** | ACME 验证、管理面板反代（HTTP 80） |
+| **Nginx** | ACME 验证、HTTPS 管理面板反代 |
 | **Flask 面板** | 添加/删除节点、复制 Hy2 链接、在线与流量统计 |
 
 ## 端口
 
-| 端口 | 协议 | 进程 | 说明 |
-|------|------|------|------|
-| 80 | TCP | Nginx | ACME 验证 + 跳转 HTTPS |
-| 443 | TCP | Nginx | **HTTPS 管理面板** |
-| 8443–8499 | UDP | sing-box | Hy2，每节点 +1 |
+部署前需在云厂商安全组放行以下端口（安装脚本会同步配置 UFW）：
+
+| 端口 | 协议 | 进程 | 方向 | 说明 |
+|------|------|------|------|------|
+| 22 | TCP | sshd | 入站 | SSH 运维 |
+| 80 | TCP | Nginx | 入站 | ACME 证书验证 + 跳转 HTTPS |
+| 443 | TCP | Nginx | 入站 | **HTTPS 管理面板** |
+| 8443–8499 | **UDP** | sing-box | 入站 | **Hy2 代理**，每节点端口 +1 |
+
+> Hy2 使用 UDP。安全组必须放行 **8443–8499/UDP 整段**，不能只开 8443。
 
 ## 配置生成
 
@@ -23,3 +28,10 @@
 | `render-server.py` | `/etc/sing-box/config.json` |
 
 增删节点后运行 `render-server.py` 并 `systemctl restart sing-box`。
+
+## 部署入口
+
+| 脚本 | 用途 |
+|------|------|
+| `bootstrap.sh` | 一键部署（自动 clone、交互配置、调用 install.sh） |
+| `install.sh` | 核心安装（sing-box / nginx / 证书 / 面板） |