feat: add asterisk pjsip integration

- infrastructure/docker/asterisk.Dockerfile: Asterisk 22.10.1 LTS compilado
  do fonte oficial (Debian trixie nao distribui mais o pacote asterisk),
  com PJSIP, AMI, ARI, res_odbc/res_config_odbc, cdr_adaptive_odbc,
  cel_odbc, app_queue
- infrastructure/asterisk/config: templates renderizados no entrypoint
  (secrets via envsubst, nunca versionados) + sorcery.conf/extconfig.conf
  para PJSIP realtime, dialplan de teste (extensao 600)
- infrastructure/postgres/init/002-asterisk-realtime.sql: tabelas
  ps_endpoints/ps_auths/ps_aors/ps_contacts/ps_endpoint_id_ips/
  ps_registrations/cdr/cel no schema 'asterisk'
- infrastructure/nftables: protege AMI/ARI/SIP contra acesso pela LAN
  (interface ens18), trazido da Fase 9 do TODO para ja, sem afetar SSH
  nem a rede interna do Docker
- docker-compose.yml: servico asterisk em network_mode: host (RTP);
  Postgres publicado em 127.0.0.1:5432 (nao 0.0.0.0) para o Asterisk
  alcanca-lo, ja que host network nao enxerga a rede Docker interna

Testado: AMI login, ARI com auth (401 sem auth), pjsip realtime
consultando Postgres sem erro, dialplan originate -> CDR e CEL gravados
corretamente, healthcheck do compose passando.

docs/ARCHITECTURE.md

@@ -84,6 +84,20 @@ O Asterisk nunca terá IP público. OpenSIPS e troncos são acessados via IP pri
 AMI/ARI nunca expostos além do host local (bind em 127.0.0.1 ou rede interna Docker
 quando possível).
 
+### 3.2.1 Asterisk (host network) ↔ Postgres/Redis (rede Docker interna)
+
+Como o Asterisk usa `network_mode: host`, ele não enxerga a rede Docker
+interna (`b2bcall-net`) por nome — DNS de containers só funciona para quem
+está anexado à mesma rede definida pelo usuário. Solução adotada: o Postgres
+publica a porta 5432 **somente em `127.0.0.1` do host**
+(`127.0.0.1:5432:5432`, nunca `0.0.0.0`), e o Asterisk se conecta via
+`ASTERISK_DB_HOST=127.0.0.1` (variável própria, distinta de
+`POSTGRES_HOST=postgres` usada pelos demais serviços na rede interna). Isso
+mantém o Postgres inacessível pela LAN/Internet, alcançável apenas por
+processos no próprio host — incluindo um container em host network. Redis
+não precisa disso: só a aplicação (bridge network) fala com Redis, nunca o
+Asterisk diretamente.
+
 ### 3.3 Asterisk Realtime
 
 - PJSIP objects (`ps_endpoints`, `ps_auths`, `ps_aors`, `ps_contacts`,