feat(wg): Push-Routes (Client-Routes) für WireGuard-Server-Interfaces

Neues Feld 'client_routes' auf wireguard_interfaces: der Operator
trägt dort kommagetrennte Netzwerke ein (z. B. 10.0.10.0/24 für ein
LAN hinter der Box). Der Peer-Config-Download fügt diese automatisch
als zusätzliche AllowedIPs in den [Peer]-Block der Client-Config ein.

Bisher wurde nur das Server-Tunnel-Subnetz (ifc.address_cidr) als
AllowedIPs exportiert — Peers konnten so keine anderen Netze über
den Tunnel erreichen ohne die Config manuell anzupassen.

Migration: 0026_wg_client_routes.sql

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

internal/models/wireguard.go

@@ -18,6 +18,7 @@ type WireguardInterface struct {
 	AllowedIPs          *string   `gorm:"column:allowed_ips"         json:"allowed_ips,omitempty"`
 	PersistentKeepalive *int      `gorm:"column:persistent_keepalive" json:"persistent_keepalive,omitempty"`
 	MTU                 *int      `gorm:"column:mtu"                 json:"mtu,omitempty"`
+	ClientRoutes        *string   `gorm:"column:client_routes"       json:"client_routes,omitempty"`
 	Role                string    `gorm:"column:role"                json:"role"`
 	Active              bool      `gorm:"column:active"              json:"active"`
 	Description         *string   `gorm:"column:description"         json:"description,omitempty"`