feat(postfix): relay SMTP Gmail + suppression règles Conan nftables

- postfix_relay: switch Brevo → Gmail SMTP (smtp.gmail.com:587, App Password)
- smtp_generic_maps: réécriture expéditeur root@lab.local → aliyesilkaya93@gmail.com
- nftables: suppression DNAT/NAT Conan Exiles (ports 7777/7778/27015)
- gateway handler: reloaded → restarted (flush complet des règles nft)
- hermes_agent: pip → uv pour installation qdrant-client (venv sans pip binaire)
- CLAUDE.md: corrections funk-cluster, hermes-switch, RAID5, postfix
- docs: admin/infra/email.md — procédure complète relay Gmail

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

ansible/roles/postfix_relay/defaults/main.yml

@@ -0,0 +1,22 @@
+---
+postfix_relay_host: smtp-relay.brevo.com
+postfix_relay_port: 587
+postfix_relay_user: ""        # à définir dans group_vars/gateway/vars.yml
+postfix_relay_password: ""    # depuis vault (vault_postfix_relay_password)
+
+postfix_myhostname: "storage-01.lab.local"
+postfix_myorigin: "$myhostname"
+
+# Adresse expéditeur réécrite pour tous les mails sortants
+postfix_sender_email: ""   # à définir dans group_vars/gateway/vars.yml
+
+# Réseaux autorisés à relayer — ajuster si besoin
+postfix_mynetworks:
+  - "127.0.0.0/8"
+  - "[::1]/128"
+  - "192.168.10.0/24"   # LAN cluster
+  - "10.42.0.0/16"      # pods k8s
+  - "10.43.0.0/16"      # services k8s
+
+# Ouvrir le port 25 depuis le LAN cluster dans nftables
+postfix_open_nftables: true