fix(cluster): 以宁波专用节点替换深圳 Worker

移除深圳节点及中继拓扑，新增第二台宁波 K3s agent 的全互联 WireGuard 接入和严格 UFW 门禁。\n\nWorker Deployment 与容量控制器仅选择 easyai.io/worker=true 节点，使原宁波混部节点退出 Worker 资源预算，生产基线恢复为宁波专用节点与香港节点各一实例。\n\n已通过 Go 全量测试、go vet、gofmt、迁移安全检查、bash -n、ShellCheck、发布脚本测试和 Kubernetes 清单渲染。

deploy/kubernetes/production/application.yaml

@@ -458,6 +458,7 @@ spec:
       nodeSelector:
         easyai.io/site: ningbo
         easyai.io/workload: "true"
+        easyai.io/worker: "true"
       tolerations:
         - key: easyai.io/worker-only
           operator: Equal
@@ -622,6 +623,7 @@ spec:
       nodeSelector:
         easyai.io/site: hongkong
         easyai.io/workload: "true"
+        easyai.io/worker: "true"
       tolerations:
         - key: easyai.io/worker-only
           operator: Equal