feat(db): Phase 1 — DB-Schema, goose-Migrations, GORM-Models

Initialer Schema-Set (8 Migrationen, 13 Tabellen) für EdgeGuard v1:
users + audit_log + system_settings, ha_nodes, backends/domains/
routing_rules/tls_certs, forward_proxy_acls, wireguard_peers,
firewall_rules, dns_zones/dns_records, licenses. Migrations liegen
in internal/database/migrations/ (analog mail-gateway) und werden
per //go:embed ins Binary gepackt — keine separate SQL-Dateien im
.deb. ValidateMigrations + Test schützen vor Duplicate-Versionen
(mail-gateway 2026-05-08-Vorfall). GORM-Models für alle Tabellen,
sensible Felder (password_hash, private_key_enc) sind json:"-".

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docs/architecture.md

@@ -52,6 +52,8 @@ EdgeGuard ist die native Neufassung des bisherigen Docker-basierten Reverse-Prox
 │   ├── edgeguard-scheduler/       # Cron-artige Jobs
 │   └── edgeguard-ctl/             # CLI für Setup/Wartung
 ├── internal/
+│   ├── database/                  # pgxpool + goose-Runner, migrations/ via go:embed
+│   │   └── migrations/            # 0001_*.sql … (goose-Format, embedded)
 │   ├── models/                    # GORM-Models (domain, backend, routing_rule, acl, peer, …)
 │   ├── handlers/                  # HTTP-Handler (REST)
 │   ├── services/                  # Business-Logik (config-render, health-check, cluster-sync)
@@ -82,7 +84,6 @@ EdgeGuard ist die native Neufassung des bisherigen Docker-basierten Reverse-Prox
 │   ├── apt-repo/                  # build-package.sh, publish.sh, setup-repo.sh
 │   ├── install.sh                 # Bootstrap-Onliner
 │   └── release.sh                 # CI Release-Helper
-├── migrations/                    # SQL-Migrations (goose-Format)
 ├── docs/
 ├── Makefile
 ├── go.mod                         # module git.netcell-it.de/projekte/edgeguard-native
@@ -197,7 +198,7 @@ API bindet auf `127.0.0.1:9443` (nicht öffentlich). nginx terminiert TLS auf `:
 - **PostgreSQL 16**, Distro-Paket `postgresql-16`.
 - **Verbindung:** Unix-Socket (`/var/run/postgresql`) für lokale Reads + Writes der API. TCP/5432 mit TLS-Client-Cert nur zwischen Cluster-Peers für Streaming Replication.
 - **Topologie:** **ein logischer Primary** zu jedem Zeitpunkt, N Read-Replicas. Lokale API liest immer aus lokaler PG; Writes routet die API-Write-Proxy-Middleware transparent an den aktuellen Primary (KeyDB-Key `cluster:pg-primary-url`).
-- **Migrations:** `goose` (SQL-Dateien in `migrations/`). **Nicht** GORM AutoMigrate.
+- **Migrations:** `goose` (SQL-Dateien in `internal/database/migrations/`, via `//go:embed` ins Binary gepackt). **Nicht** GORM AutoMigrate.
 
 GORM bleibt als ORM für Query-Komfort; nur das Schema-Management wechselt zu `goose`.