caddyproxy: admin API закрыт на loopback, метрики вынесены на :2020

- `admin :2019` слушал всю web_proxy_network: любой контейнер мог POST-ом в
  /config/ переписать маршрутизацию и снять forward_auth. Теперь
  `admin localhost:2019`.
- Метрики для netdata отдаёт отдельный site-блок `http://:2020 { metrics
  /metrics }`, netdata скрейпит новый порт.
- Порт для метрик именно 2020, а не 2019, как предлагала задача: сайт на :2019
  перехватывает IPv6-петлю (admin висит только на IPv4), из-за чего
  `caddy reload` внутри контейнера возвращает 0 и молча ничего не применяет —
  проверено на caddy:2.11.4.

files/caddyproxy/Caddyfile.template

@@ -5,13 +5,28 @@
     grace_period 15s
 
     # Admin API слушает только loopback контейнера: на :2019 его видела бы вся
-
+    # web_proxy_network, и любое приложение могло бы переписать маршрутизацию
+    # или снять forward_auth. Метрики вынесены в отдельный site-блок ниже, и
+    # порт у него другой: сайт на :2019 перехватывал бы IPv6-петлю (admin висит
+    # только на IPv4), и `caddy reload` молча ничего не применял бы.
+    admin localhost:2019
+
     # Enable metrics in Prometheus format
     # https://caddyserver.com/docs/metrics
     metrics
 }
 
 # -------------------------------------------------------------------
+# Metrics
+# -------------------------------------------------------------------
+
+# Prometheus-метрики для netdata (files/netdata/go.d/prometheus.conf).
+# Наружу порт не публикуется — доступен только внутри web_proxy_network.
+http://:2020 {
+    metrics /metrics
+}
+
+# -------------------------------------------------------------------
 # Snippets
 # -------------------------------------------------------------------
 

files/netdata/go.d/prometheus.conf

@@ -3,7 +3,7 @@ update_every: 15
 jobs:
 
   - name: caddyproxy
-    url: http://caddyproxy:2019/metrics
+    url: http://caddyproxy:2020/metrics
     selector:
       allow:
         - "caddy_http_*"