feat: Zonen als first-class Entity + Domain↔Backend-Verknüpfung sichtbar

* Migration 0012: firewall_zones (id, name UNIQUE, description, builtin),
  Seed wan/lan/dmz/mgmt/cluster als builtin. CHECK-Constraints auf
  network_interfaces.role + firewall_rules.{src,dst}_zone +
  firewall_nat_rules.{in,out}_zone gedroppt — Validation lebt jetzt
  app-side (Handler prüft Existenz in firewall_zones).
* Backend: firewall.ZonesRepo (CRUD + Exists + References-Lookup),
  /api/v1/firewall/zones, builtin geschützt (Name nicht änderbar,
  Delete blockiert), Rename eines Custom-Zone aktuell ohne Cascade
  (Handler-Sorge bei Rules/NAT/Networks).
* Handler-Validation in CreateRule/UpdateRule/CreateNAT/UpdateNAT +
  NetworksHandler: Zone-Existence-Check pro Mutation, 400 bei Tippfehler.
* Frontend: Firewall-Tab "Zonen" (CRUD mit builtin-Schutz). Networks-
  Form lädt Rollen aus /firewall/zones (statt hardcoded Liste); Rules-
  und NAT-Forms ziehen die Zone-Auswahl ebenfalls aus der API.
* Domain-Form bekommt Primary-Backend-Picker (Field war im Modell,
  fehlte im UI). Backends-Tabelle zeigt umgekehrt welche Domains
  darauf zeigen — bidirektionale Sicht ohne Schemaänderung.
* HAProxy-Renderer: safeID-FuncMap escaped Server-Namen mit Whitespace
  ("Control Master 1" → "Control_Master_1"). Vorher ist haproxy beim
  Reload an Spaces im Backend-Namen kaputt gegangen.
* Version 1.0.3 → 1.0.6.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

management-ui/src/i18n/locales/de/common.json

@@ -29,11 +29,23 @@
     "tabs": {
       "rules": "Regeln",
       "nat": "NAT",
+      "zones": "Zonen",
       "addrObj": "Adress-Objekte",
       "addrGrp": "Adress-Gruppen",
       "services": "Services",
       "svcGrp": "Service-Gruppen"
     },
+    "zone": {
+      "name": "Name",
+      "description": "Beschreibung",
+      "builtin": "vordefiniert",
+      "builtinHint": "Vordefinierte Zonen können nicht gelöscht werden — Renderer und Anti-Lockout-Regeln verlassen sich darauf.",
+      "builtinNameLocked": "Name vordefiniert — kann nicht geändert werden, weil bestehende Regeln und Interfaces ihn referenzieren.",
+      "namePattern": "Nur Kleinbuchstaben, Ziffern, _ und -; muss mit Buchstaben beginnen, max. 32 Zeichen.",
+      "add": "Zone hinzufügen",
+      "edit": "Zone bearbeiten",
+      "deleteConfirm": "Zone {{name}} wirklich löschen?"
+    },
     "ao": {
       "name": "Name", "kind": "Typ", "value": "Wert", "description": "Beschreibung",
       "add": "Adress-Objekt hinzufügen", "edit": "Adress-Objekt bearbeiten",
@@ -110,7 +122,8 @@
     "membersRequired": "Mindestens ein Member-Interface erforderlich",
     "membersHintBridge": "Eine Bridge bündelt mehrere physische Ports auf L2 — typisch zwei Ports für einen Software-Switch.",
     "membersHintBond": "Ein Bond aggregiert mehrere physische Ports zu einem logischen Link (LACP / active-backup).",
-    "role": "Rolle",
+    "role": "Zone",
+    "roleHint": "Zonen kommen aus Firewall → Zonen. Eigene Zonen (z.B. iot, guest) lassen sich dort anlegen.",
     "mtu": "MTU",
     "active": "Aktiv",
     "description": "Beschreibung",
@@ -170,6 +183,9 @@
     "name": "Name",
     "active": "Aktiv",
     "primaryBackend": "Primary-Backend",
+    "primaryBackendHint": "Catch-all-Backend für Requests, die kein Routing-Regel-Match haben. Optional — leer lassen, wenn alles über Routing-Regeln läuft.",
+    "selectBackend": "Backend wählen",
+    "noBackend": "kein Backend",
     "httpToHttps": "HTTP→HTTPS",
     "hsts": "HSTS",
     "notes": "Notizen",
@@ -189,6 +205,8 @@
     "target": "Ziel",
     "healthCheck": "Health-Check-Pfad",
     "active": "Aktiv",
+    "usedBy": "Genutzt von",
+    "noDomain": "keine Domain",
     "actions": "Aktionen",
     "deleteConfirm": "Backend {{name}} wirklich löschen?"
   },

management-ui/src/i18n/locales/en/common.json

@@ -29,11 +29,23 @@
     "tabs": {
       "rules": "Rules",
       "nat": "NAT",
+      "zones": "Zones",
       "addrObj": "Address objects",
       "addrGrp": "Address groups",
       "services": "Services",
       "svcGrp": "Service groups"
     },
+    "zone": {
+      "name": "Name",
+      "description": "Description",
+      "builtin": "built-in",
+      "builtinHint": "Built-in zones cannot be deleted — the renderer and anti-lockout rules depend on them.",
+      "builtinNameLocked": "Name is built-in — cannot be changed because existing rules and interfaces reference it.",
+      "namePattern": "Lowercase letters, digits, _ and -; must start with a letter, up to 32 chars.",
+      "add": "Add zone",
+      "edit": "Edit zone",
+      "deleteConfirm": "Really delete zone {{name}}?"
+    },
     "ao": {
       "name": "Name", "kind": "Kind", "value": "Value", "description": "Description",
       "add": "Add address object", "edit": "Edit address object",
@@ -110,7 +122,8 @@
     "membersRequired": "At least one member interface is required",
     "membersHintBridge": "A bridge joins multiple physical ports at L2 — typically two ports for a software switch.",
     "membersHintBond": "A bond aggregates multiple physical ports into one logical link (LACP / active-backup).",
-    "role": "Role",
+    "role": "Zone",
+    "roleHint": "Zones are managed in Firewall → Zones. Custom zones (e.g. iot, guest) can be added there.",
     "mtu": "MTU",
     "active": "Active",
     "description": "Description",
@@ -170,6 +183,9 @@
     "name": "Name",
     "active": "Active",
     "primaryBackend": "Primary backend",
+    "primaryBackendHint": "Catch-all backend for requests with no matching routing rule. Optional — leave empty if all traffic is routed via routing rules.",
+    "selectBackend": "Select backend",
+    "noBackend": "no backend",
     "httpToHttps": "HTTP→HTTPS",
     "hsts": "HSTS",
     "notes": "Notes",
@@ -189,6 +205,8 @@
     "target": "Target",
     "healthCheck": "Health check path",
     "active": "Active",
+    "usedBy": "Used by",
+    "noDomain": "no domain",
     "actions": "Actions",
     "deleteConfirm": "Really delete backend {{name}}?"
   },