Add repeatable preparation for dedicated Headscale hosts

README.md

@@ -77,7 +77,7 @@ resume/verify 可使用同一固定版本 URL 再次下载执行，或保存该
 ## 发布
 
 Caddy 同时提供 /install.sh 稳定入口与 /releases/<40位小写Git提交>/install.sh 固定版本入口；生产接入命令固定使用后者。
-发布脚本只提取 `install.sh`、`upgrade-debian12-13.sh`、`host-init.sh`、`host-baseline.sh`、`ssh-access.sh`、`tailscale.sh`、`firewall.sh`、README、artifacts.lock 及清单列出的 vendor 文件，生成 VERSION、SHA256SUMS；不暴露 .git 或工作区其他文件。上述入口全部必需，缺少任一文件就拒绝发布，不兼容缺少基线或防火墙入口的不完整文件集。
+发布脚本只提取 `install.sh`、`upgrade-debian12-13.sh`、`host-init.sh`、`host-baseline.sh`、`ssh-access.sh`、`headscale-prepare.sh`、`tailscale.sh`、`firewall.sh`、README、artifacts.lock 及清单列出的 vendor 文件，生成 VERSION、SHA256SUMS；不暴露 .git 或工作区其他文件。上述入口全部必需，缺少任一文件就拒绝发布，不兼容缺少基线或防火墙入口的不完整文件集。
 源代码与修复就在此仓库维护，无生成器、内嵌 Python 或第二份安装源码。
 
 ## 固定资源
@@ -87,3 +87,7 @@ Caddy 同时提供 /install.sh 稳定入口与 /releases/<40位小写Git提交>/
 当前包含 Periphery 2.3.4 x86_64、Tailscale 1.104.4 amd64 DEB 和 PG 扩展构建资源，准确路径、摘要与来源见 `artifacts.lock`。控制端使用 platform 的 `control/vendor.sh --source <本仓库目录>` 准备资源，再用 `--check` 做完全离线校验。已有正确文件直接复用；摘要不符时停止，不静默覆盖。
 
 新增版本时增加新路径和已核实摘要，准备二进制，同步修改 install.sh 的固定版本/摘要，检查后提交发布。不得改写已发布版本文件；固定提交及其 Caddy release 用于同版本回退。版本维护单独执行。
+
+## Headscale 独立机准备
+
+`headscale-prepare.sh` 在已登记并确认防火墙的 Debian 主机上校验主机名、端口及显式策略/DERP 文件，独占创建服务目录；相同输入重跑只复核，不清空 SQLite 或密钥。根目录的父目录须已存在。通过已发布固定 release 的 curl | bash 调用，参数见 `--help`。此入口不安装第二套控制面，不生成用户或授权 key；Headscale 与专用 Caddy 由 platform 的 `templates/headscale/standalone.toml` 部署。