deploy: bind backend/livekit-signaling/monitoring/llm ports to loopback

Close host-published ports that don't need to be reachable from outside
the docker network: nginx already proxies backend/livekit by service
name, and admin UIs (prometheus/grafana) and llm servers should only be
reachable via SSH tunnel. Only 80/443/7881 + the WebRTC UDP range stay
open to the internet.

.env.example

@@ -137,6 +137,12 @@ LLM_TOKENIZER_FILE=qwen3.5-4b-instruct.tokenizer.json
 LLM_TOKENIZER_URL=https://huggingface.co/Qwen/Qwen3.5-4B/resolve/main/tokenizer.json
 
 # --- Мониторинг (профиль compose `monitoring`) ---
+# Prometheus (9090) и Grafana (3001) публикуются ТОЛЬКО на 127.0.0.1
+# (deploy/docker-compose.yml) — с боевого сервера доступ через ssh-туннель,
+# напр. `ssh -L 3001:127.0.0.1:3001 -L 9090:127.0.0.1:9090 <user>@<host>`,
+# затем открыть http://localhost:3001 / :9090 у себя локально. То же для
+# backend (8000, локальный curl-дебаг), livekit signaling (7880, снаружи
+# работает только через nginx wss://) и llm/llm-gpu (8080/8081).
 GRAFANA_ADMIN_USER=admin
 GRAFANA_ADMIN_PASSWORD=change-me-grafana