Upgrade K3s and infrastructure with selective DNS relay

ansible/README.md

@@ -154,4 +154,19 @@ ansible-playbook playbooks/site.yml -vvv
 ansible-playbook playbooks/site.yml --syntax-check
 ```
 
+## 升级已有集群
+
+加载 `ansible/.env` 后运行：
+
+```bash
+source .env
+ansible-playbook playbooks/site.yml --tags control-plane-relay,k3s,status
+```
+
+master 逐台升级，worker 保持并行（默认 20 forks）。已有 server 在安装前保存不压缩的 etcd 快照和恢复用 token；每台 server 等待本地 `/readyz`（包含 etcd 检查），所有节点等待目标版本和 Ready，失败则停止后续阶段。只有通过共享 master 执行的就绪检查限制为 5 并发，以避免 SSH 会话耗尽。快照位于 server 的 snapshots 目录，token 单独保存在 server 目录，权限 0600；恢复仍需另行演练。
+
+选择性中继名单见 `inventory/group_vars/all.yml` 的 `tailscale_control_plane_relay_peers`，说明见 `README_MANUAL.md`。
+
+在安装 Ansible 的 Python 环境运行就绪检查回归：`python -m unittest discover -s tests -v`。
+