docs: finalize SE5420 deployment guide per review

- Reorder §3.3: create VLAN66/55 before SVI; keep VLAN1 until management path verified
- Fix §3.4 verification port wording (enabled VLAN66 access port, e.g. port 6)
- Harden VLAN10 phase: PVE boundary, gfw NAT/IPv6 policy, rollback order, verification chain

docs/lan-erx-se5420-network.md

@@ -3,8 +3,8 @@
 **状态：** SE5420 **已采购**（2026-08-09）。**实施与验证以 [lan-se5420-deployment-guide.md](lan-se5420-deployment-guide.md) 为准**；
 本文保留为拓扑/流量路径/职责边界的设计说明。
 **锁定硬件：** EdgeRouter X（保留）+ TP-Link `TL-SE5420`（新建核心）。  
-**本文目的：** 说明升级后物理拓扑、逻辑网络、流量路径与职责边界；实施步骤见
-[lan-core-switch-upgrade-plan.md](lan-core-switch-upgrade-plan.md)。
+**本文目的：** 说明升级后物理拓扑、逻辑网络、流量路径与职责边界；唯一实施步骤见
+[lan-se5420-deployment-guide.md](lan-se5420-deployment-guide.md)。
 
 ---
 
@@ -79,7 +79,7 @@ untagged 帧进 `eth0`；VLAN55 的 untagged 帧进 `switch0` 的某个成员口
 |---|---|---|
 | PVE 上的 ImmortalWrt VM | 仍挂在 **untagged LAN66** | 可增 VLAN10 接口 |
 | OpenClash 旁路/透明代理 | 路径不变：客户端默认仍走 `.254` | 升级专用 SSID → 网关 `.1` |
-| 不能单独「做出」VLAN10 | 需 PVE vSwitch + 核心 trunk + U6 trunk | 见第 7 节 |
+| 不能单独「做出」VLAN10 | 需 PVE vSwitch + 核心 trunk + U6 trunk | 见部署指南第二步 |
 
 ### 3.4 其它现网角色（地址与角色不变）
 
@@ -172,15 +172,9 @@ LAN55 ↔ LAN66 互通仍走 ER-X（现网 `LAN_IN`/`LAN_OUT` 未挂到接口时
 
 客人网与升级 SSID **分工到两台 AP**，避免一上来就做「两台 AP 同一客人 VLAN + ER-X trunk」的改造。
 
-### 5.3 核心上为何仍预配 VLAN10
+### 5.3 VLAN10 的时序与边界
 
-阶段 1 可在 SE5420 上建好 VLAN10 与 trunk 模板，但：
-
-- **不接生产终端**；
-- **不改 UniFi SSID**；
-- **不在 `gfw` 上启用与 ER-X 冲突的 DHCP**。
-
-这样迁线项目与「专用升级 Wi-Fi」解耦：核心一次配好端口角色，业务另开窗口。
+第一阶段**不**在 SE5420 创建 VLAN10，也**不**把 PVE/U6 改为 trunk。VLAN10 必须在 LAN55/LAN66 稳定后，以独立维护窗完成 PVE VLAN-aware 隔离、SE5420 trunk、gfw IPv4 NAT/内网拒绝策略和 IPv6 策略；仅在这些验收通过后才启用专用 SSID。详见部署指南第二步。
 
 ---