feat: 实现第三层 TUN VPN 服务，支持后台 IP 分配

- 新增 TUN 设备层（water 库），分 linux/darwin 平台配置 IP/路由/MTU
- 实现 IP 分配管理：动态池自动分配 + 按用户静态预留，支持热更新
- 实现 PacketSwitch 共享 TUN 包转发：源 IP 防伪、按目的 IP 查表转发、allow-c2c
- 重写隧道：自研简化 WS 协议（文本帧 JSON 控制 init/ready，二进制帧=原始 IP 包）
- VpnService 单例管理 TUN 生命周期，子网变更踢线重建，预留增删热更新
- 新增 vpn_settings/vpn_reservations 表，AutoMigrate + 默认设置 seed
- 新增 Admin API：settings 读写、status、clients、reservations CRUD
- 前端新增 VpnView（/admin/vpn）：状态面板/设置表单/在线客户端/静态预留
- main.go 启动时按 DB 设置初始化 VPN 服务

internal/db/db.go

@@ -40,10 +40,14 @@ func Init(cfg *config.DatabaseConfig) error {
 		return fmt.Errorf("数据库连接失败: %w", err)
 	}
 
-	if err := DB.AutoMigrate(&model.User{}, &model.Session{}); err != nil {
+	if err := DB.AutoMigrate(&model.User{}, &model.Session{}, &model.VpnSetting{}, &model.VpnReservation{}); err != nil {
 		return fmt.Errorf("数据库迁移失败: %w", err)
 	}
 
+	if err := seedDefaultVpnSettings(); err != nil {
+		return fmt.Errorf("初始化 VPN 设置失败: %w", err)
+	}
+
 	if err := seedDefaultAdmin(cfg); err != nil {
 		return fmt.Errorf("创建默认管理员失败: %w", err)
 	}
@@ -98,6 +102,23 @@ func seedDefaultAdmin(cfg *config.DatabaseConfig) error {
 	return nil
 }
 
+func seedDefaultVpnSettings() error {
+	var s model.VpnSetting
+	if err := DB.First(&s, model.VpnSettingSingletonID).Error; err == nil {
+		return nil
+	}
+	s = model.VpnSetting{
+		ID:               model.VpnSettingSingletonID,
+		Enabled:          false,
+		Subnet:           "192.168.3.0/24",
+		MTU:              1420,
+		InterfaceName:    "",
+		DoLocalIPConfig:  true,
+		DoRemoteIPConfig: true,
+	}
+	return DB.Create(&s).Error
+}
+
 func generateRandomPassword(length int) (string, error) {
 	const charset = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
 	b := make([]byte, length)