feat: bind_interface-only by default + WWAN watch auto-rebind

- Default BIND_SOURCE_IP=false: do not pin inet4_bind_address (stale
  source IP after WWAN re-dial was the main rep=0x01 cause).
- Add scripts/watch-cellular.sh: ip monitor events + poll, regenerate
  when iface missing or pinned source IP drifts.
- systemd: cellular-proxy-watch.service + 2min timer oneshot fallback.
- cpxy watch {status|once|start|stop|logs}
- Install/upgrade enable watch when ENABLE_CELLULAR_WATCH=true.

README.md

@@ -72,8 +72,22 @@ cpxy rebind
 cpxy status | logs
 cpxy auth --user u --pass p
 cpxy auth --show | --clear
+cpxy watch status   # WWAN 自动监控
+cpxy watch once     # 手动跑一轮检查
 ```
 
+### 重拨 / `rep=0x01` 自愈
+
+| 层级 | 做法 |
+|------|------|
+| **绑定（推荐）** | 默认 `BIND_SOURCE_IP=false`：只 `bind_interface=wwanX`，**不 pin 私网源 IP**，重拨换地址通常不用 regenerate |
+| **监控** | `cellular-proxy-watch`：`ip monitor` 事件 + 60s 轮询；网卡改名/掉线/仍 pin 了 stale IP 时自动 `generate` |
+| **兜底 timer** | 每 2 分钟 oneshot 再检查一次 |
+| **手动** | `cpxy rebind && cpxy verify` |
+
+关监控：`ENABLE_CELLULAR_WATCH=false` 后 `cpxy upgrade`，或 `cpxy watch stop`。  
+若必须 pin 源 IP：`BIND_SOURCE_IP=true`（依赖 watch 同步，否则会再次 stale）。
+
 - 代理：`LAN-IP:7890`（HTTP + SOCKS5）  
 - 面板：`http://LAN-IP:9090/ui/`（密钥在安装结束输出 / `settings.conf`）  
 - **UI 可直接配置代理账号密码**（管理 API 默认 `9091`，与面板 secret 相同）