SDD-005：管理导航与设置页分区

字段	内容
级别	S2（跨页面导航与 URL 状态）
状态	已实现，待上线验证
参考	opsx-sec 的固定侧栏、移动抽屉与设置标签页；保留 opsx-vpn 的现有路由和权限

现状与选择

原 Layout.vue 固定 220px 侧栏，移动端无抽屉；用户/设备散列在多个标题下，/ipsec-peer 有页面但无导航入口。原 Settings.vue 把密码、MFA、服务器环境、域名证书拼为左右长列，难以定位。仅更改导航信息结构与呈现，不改业务 API 或角色权限。

工作台：总览独立；线路运维：专线列表、在线会话、日志中心，IPSec 第三方对接为该组的专业入口。
身份与设备（仅管理员）：VPN 拨号用户、客户端设备、后台用户。身份对象不同，保留各自独立页面，不将账号表合并。
系统：系统设置独立入口。设置内分个人安全、管理员公网入口、管理员服务器环境。日志中心保留独立页面，不重复出现在设置。
/settings?tab=security|gateway|host 标记当前标签，可复制链接；普通用户及非法标签一律回到个人安全。右上角修改密码弹窗保留。
桌面侧栏可折叠，中屏自动窄栏，手机使用菜单按钮和可关闭的遮罩。页面切换关闭手机抽屉；导航项和按钮具备键盘焦点与可读名称。

路由路径不变，旧书签可继续访问。管理员专属菜单仅影响可见性，现有路由守卫仍负责权限校验。浏览器刷新标签时根据查询参数恢复；首次进入只加载原有配置接口，不触发系统更改。回退仅需恢复前端版本，无数据迁移。

验收	预期
桌面与手机导航	选中状态正确，创建/编辑专线仍高亮专线，折叠与遮罩可操作
角色隔离	viewer/operator 不出现后台用户及管理员设置标签；直接访问后台路由继续被守卫拦截
设置链接	刷新与分享 `?tab=gateway` 保持标签，非法标签与非管理员回到个人安全
功能完整	密码/MFA、域名/证书、通用环境和部署说明都保留，专线/日志/IPSec 入口可达
检查	前端构建、主要路由和页面烟测通过；不改后端契约

前端构建与差异检查已通过。页面交互和发布后的线上烟测需在部署后另行核验。