fix(deploy): 本地校验并分发固定 K3s 二进制

生产节点访问 GitHub Release 失败时，改由本机下载 v1.36.2+k3s1 amd64 二进制，使用固定官方 SHA-256 校验后分发到三节点，再让官方安装器跳过远端下载。

同时将运行手册顺序改为先完成公网端口隔离，再安装 K3s。

验证：bash -n、ShellCheck、官方 checksum 获取与节点失败现场。

docs/operations/k3s-ha-runbook.md

@@ -43,8 +43,8 @@ node scripts/ci-validate-migrations.mjs <当前线上完整GitSHA>
 ```bash
 ./scripts/cluster/bootstrap-wireguard.sh
 ./scripts/cluster/bootstrap-k3s.sh backup
-./scripts/cluster/bootstrap-k3s.sh install
 ./scripts/cluster/harden-node-network.sh
+./scripts/cluster/bootstrap-k3s.sh install
 ./scripts/cluster/verify-cluster.sh precutover
 ```