feat: umfangreiches UI+API-Polish (v1.1.36–1.1.42)

Backend:
- Audit-Log: Search-Endpoint mit ILIKE-Filter (actor/action/subject/date)
- NTP: /ntp/status via chronyc tracking (Stratum, Offset, Quelle)
- System: /service-restart mit Allowlist (haproxy/squid/unbound/chrony/scheduler)
- Domain-Response-Headers + Rate-Limit (Migration 0024)
- Join-Tokens (Migration 0025), Cluster-mTLS, Aggregator-Fan-Out
- apt-Service für Update-Banner (apt-get update + Versionsprüfung)
- Backup-Retry mit exponential backoff (retry_apt 3×)
- publish.sh fail-fast + cleanup-old.sh (max 10 Versionen)

Frontend:
- Audit-Log-Page (/audit) mit Filter + Pagination
- ErrorBoundary an React-Root + Vite build-target festgenagelt (iOS 15+)
- Storage-Schema-Stamp: auto-wipe bei Versions-Mismatch (blank-page-Fix)
- EmptyState-Komponente überall ausgerollt
- SSL: Aggregate-Karte (total/expiring/expired/errors)
- Backups: Aggregate-Karte (letzter Backup/Größe/Fehlschläge 24h) + Backup-Now
- NTP: Sync-Status-Karte (chronyc tracking live)
- Domains: Backend-UP/DOWN-Chip aus HAProxy-Stats
- Backends: HAProxy-Status-Spalte (UP/DEGRADED/DOWN)
- Settings: Service-Neustart-Karte (haproxy/squid/unbound/chrony/scheduler)
- Settings: Upgrade-Status-Card, Wartungsmodus, Auto-Update, Retention
- Dashboard: Recent-Alerts, Cluster-Health, License-Chip, Onboarding-Hint
- System-Regeln im Firewall als eigener Tab

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

deploy/systemd/edgeguard-api.service

@@ -25,7 +25,23 @@ PrivateTmp=true
 PrivateDevices=true
 RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6 AF_NETLINK
 SystemCallFilter=@system-service
-ReadWritePaths=/etc/edgeguard /var/lib/edgeguard /var/log/edgeguard
+# /var/lib/apt /var/cache/apt /etc/apt/apt.conf.d: damit `sudo -n apt-get
+# update -qq` aus dem Update-Banner-Handler überhaupt in die Apt-Lists
+# schreiben darf. Ohne diese Pfade läuft das Kommando still durch
+# (exit 0) und der Cache bleibt veraltet — Banner zeigt nie ein Update.
+# Befund 2026-05-14: trotz 30s-Poll blieb Candidate=Installed. mail-
+# gateway hat dasselbe Set unter nmg-api.service.
+#
+# /var/backups/edgeguard: Backup-Service schreibt tar.gz Snapshots
+# hierhin. Ohne Pfad in ReadWritePaths: read-only filesystem → EROFS.
+# Befund 2026-05-15: "create eg-…tar.gz: read-only file system".
+#
+# /etc/chrony/conf.d /etc/unbound/unbound.conf.d /etc/wireguard:
+# chrony/unbound/wg-Renderer schreiben edgeguard.conf bzw. <iface>.conf
+# direkt in den distro-Conf-Dir (chrony+unbound) bzw. legen Symlinks
+# nach /etc/edgeguard/wireguard (wg). Ohne diese Pfade scheitern alle
+# UI-Mutationen an DNS/NTP/WireGuard-Settings still mit EROFS.
+ReadWritePaths=/etc/edgeguard /var/lib/edgeguard /var/log/edgeguard /var/backups/edgeguard /var/lib/apt /var/cache/apt /etc/apt/apt.conf.d /etc/chrony/conf.d /etc/unbound/unbound.conf.d /etc/wireguard
 
 [Install]
 WantedBy=multi-user.target

deploy/systemd/edgeguard-scheduler.service

@@ -22,7 +22,10 @@ PrivateTmp=true
 PrivateDevices=true
 RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6
 SystemCallFilter=@system-service
-ReadWritePaths=/etc/edgeguard /var/lib/edgeguard /var/log/edgeguard
+# Scheduler ruft `backup.Service.Run` für scheduled backups + braucht
+# apt-Pfade für die background-apt-update-Goroutine (parität zur API,
+# falls die API down ist). /var/backups/edgeguard für tar.gz-Output.
+ReadWritePaths=/etc/edgeguard /var/lib/edgeguard /var/log/edgeguard /var/backups/edgeguard /var/lib/apt /var/cache/apt /etc/apt/apt.conf.d
 
 [Install]
 WantedBy=multi-user.target