feat: 全面优化 — UI/UX重构 + 流量审计与会话管理 + 协议部署

UI/UX 优化:
- 登录页分屏布局 + 可访问性修复 + 内联错误提示
- 侧栏菜单分组(专线运维/资源管理/系统) + 图标修正 + 子路由高亮
- Dashboard 统计卡渐变图标 + 空状态引导 + 统计卡可点击
- 创建向导: 依赖检测门控 + 高级折叠 + 必填校验 + WireGuard推荐标
- 专线列表: 空状态CTA + 操作列「更多」下拉 + 状态筛选 + SSE日志流
- 协议品牌SVG图标(ProtocolIcon组件)替换emoji
- 设计令牌系统(tokens.css)统一颜色/间距/圆角/阴影

功能增强:
- 在线会话管理(sessionmgr): 跨协议会话同步 + 踢下线 + 连接审计日志
- 流量配额引擎(trafficmgr): 配额检查 + 超额动作(block/warn/throttle) + 周期重置
- 异常流量告警: 突发流量检测(>90MB/15s) + 审计记录
- 节点SSH凭证管理: 密码/私钥认证 + 即时测试连接 + AES-GCM加密存储
- 协议二进制管理(binmgr): FRP/OpenVPN GitHub下载 + 系统包安装引导(apt/yum/dnf)
- 右上角修改密码弹窗 + MFA独立验证页 + 密码强度提示
- 用户管理: 批量导入 + LDAP浏览导入 + 平台用户导入VPN拨号用户
- 404路由 + IPSec对接页可达性修复
- MFA备用码持久化弹窗(替代Toast)
- 轮询可见性守卫 + ECharts resize修复

后端:
- 3张新表: VPNSession/ConnectionLog/TrafficPolicy
- monitor增强: 会话同步+配额检查+异常告警+到期审计
- changePassword统一8位+新旧不同校验
- openvpn-otp文案专业化(移除抄袭感)
- SSE日志流(token降级query参数)

backend/internal/service/l2tp/l2tp.go

@@ -106,8 +106,14 @@ func (s *Service) Create(t *model.Tunnel) error {
 	username := service.StrOr(cfg, "username", "vpnuser")
 	if pw := service.Str(cfg, "password"); pw != "" {
 		secrets["password"] = pw
-	} else if service.Str(secrets, "password") == "" {
-		return fmt.Errorf("缺少拨号密码 password")
+	}
+	// 允许仅依赖拨号用户表（VPNUser）而无隧道级默认密码。
+	dialUsers, err := loadDialUsers(t.ID)
+	if err != nil {
+		return err
+	}
+	if service.Str(secrets, "password") == "" && len(dialUsers) == 0 {
+		return fmt.Errorf("缺少拨号密码：请填写隧道默认 password，或在「VPN 拨号用户」中添加本隧道用户")
 	}
 
 	// 1) IPSec 层（transport 模式，L2TP over IPSec）
@@ -172,9 +178,7 @@ mru 1400
 require-mschap-v2
 `, service.Str(cfg, "dns"))
 
-	chapSecrets := fmt.Sprintf(`# client    server          secret          IP addresses
-%s          l2tpd           %s            *
-`, username, strconv.Quote(service.Str(secrets, "password")))
+	chapSecrets := buildChapSecrets(username, service.Str(secrets, "password"), dialUsers)
 
 	for name, content := range map[string]string{
 		"swanctl-l2tp.conf": swanConf,
@@ -193,6 +197,56 @@ require-mschap-v2
 	return service.SaveTunnelConfig(t, public, sec)
 }
 
+// RefreshAuth rewrites chap-secrets after VPN dial users change.
+func (s *Service) RefreshAuth(t *model.Tunnel) error {
+	return s.Create(t)
+}
+
+type dialUser struct {
+	Username string
+	Password string
+}
+
+func loadDialUsers(tunnelID uint) ([]dialUser, error) {
+	if store.DB == nil {
+		return nil, nil
+	}
+	var users []model.VPNUser
+	if err := store.DB.Where("tunnel_id = ? AND enabled = ? AND source = ?", tunnelID, true, "local").Find(&users).Error; err != nil {
+		return nil, err
+	}
+	out := make([]dialUser, 0, len(users))
+	for _, u := range users {
+		if u.DialSecret == "" {
+			continue
+		}
+		pw, err := store.DecryptSecret(u.DialSecret)
+		if err != nil || pw == "" {
+			continue
+		}
+		out = append(out, dialUser{Username: u.Username, Password: pw})
+	}
+	return out, nil
+}
+
+func buildChapSecrets(defaultUser, defaultPass string, users []dialUser) string {
+	var b strings.Builder
+	b.WriteString("# client    server          secret          IP addresses\n")
+	seen := map[string]bool{}
+	if defaultUser != "" && defaultPass != "" {
+		fmt.Fprintf(&b, "%s          l2tpd           %s            *\n", defaultUser, strconv.Quote(defaultPass))
+		seen[defaultUser] = true
+	}
+	for _, u := range users {
+		if u.Username == "" || u.Password == "" || seen[u.Username] {
+			continue
+		}
+		fmt.Fprintf(&b, "%s          l2tpd           %s            *\n", u.Username, strconv.Quote(u.Password))
+		seen[u.Username] = true
+	}
+	return b.String()
+}
+
 // GenerateClientConfig 导出客户端接入说明（手机/Windows 手动配置）
 func (s *Service) GenerateClientConfig(t *model.Tunnel) (string, error) {
 	cfg, err := store.TunnelConfig(t)