feat(update): Testing/Stable-Update-Kanäle wie enconf (Suite=trixie, Komponente=Kanal)

Installer (EDGEGUARD_CHANNEL), Kanal-Lesen/-Schreiben ohne DB-State
(sources.list ist Quelle der Wahrheit), Cluster-Endpoints für Kanalwechsel
mit mTLS-Peer-Propagation + Drift-Erkennung, --allow-downgrades für
testing→stable-Downgrades über den bestehenden sicheren Rolling-Update-
Flow, Settings-UI mit Bestätigung, neues scripts/release.sh (Testing-Push
datumsbasiert YYYY.MM.DD.NN, Stable-Promotion mit Verify-Gate + Git-Tag),
publish.sh/cleanup-old.sh kanalfähig mit Stable-Tag-Schutz.

Migriert Bestandsnodes automatisch von der alten "main"-Komponente auf
"stable" (postinst, idempotent) — ohne das würden vor diesem Release
installierte Nodes stillschweigend keine Updates mehr sehen, sobald
main nicht mehr bespielt wird.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

scripts/install.sh

@@ -4,6 +4,9 @@
 #
 #  curl -fsSL https://get.netcell-edgeguard.de | sudo bash
 #
+#  Kanal wählen (Default: stable):
+#  curl -fsSL https://get.netcell-edgeguard.de | EDGEGUARD_CHANNEL=testing sudo -E bash
+#
 #  Supported: Debian 13 (Trixie), amd64 + arm64.
 # ══════════════════════════════════════════════════════════════════════════════
 
@@ -111,12 +114,14 @@ setup_repo() {
         curl -fsSL "https://git.netcell-it.de/api/packages/projekte/debian/repository.key" \
             -o /etc/apt/keyrings/nmg.asc
     fi
-    echo "deb [signed-by=/etc/apt/keyrings/nmg.asc] https://git.netcell-it.de/api/packages/projekte/debian trixie main" \
+    # Kanal-Modell (wie enconf): Suite = OS-Codename, Komponente = Kanal.
+    # Default stable; EDGEGUARD_CHANNEL=testing für Testing-Kanal.
+    echo "deb [signed-by=/etc/apt/keyrings/nmg.asc] https://git.netcell-it.de/api/packages/projekte/debian trixie ${EDGEGUARD_CHANNEL:-stable}" \
         > /etc/apt/sources.list.d/edgeguard.list
 
     apt-get update -qq
 }
-step "Set up EdgeGuard apt repository" setup_repo
+step "Set up EdgeGuard apt repository (${EDGEGUARD_CHANNEL:-stable})" setup_repo
 
 AVAILABLE=$(LC_ALL=C apt-cache policy edgeguard 2>/dev/null | awk '/Candidate:/ {print $2; exit}' || true)
 if [ -n "$AVAILABLE" ] && [ "$AVAILABLE" != "(none)" ]; then