feat(auth): ad.max_tls_version zum Deckeln der angebotenen TLS-Version

Alte Schannel-Stacks brechen an einem TLS-1.3-ClientHello kommentarlos ab:
sie nehmen die TCP-Verbindung an, lesen den ClientHello und setzen zurueck,
ohne ein Zertifikat zu schicken. Herunterhandeln hilft dann nicht — TLS 1.3
darf gar nicht erst angeboten werden.

max_tls_version (Default 1.3) deckelt die Hoechstversion; die Validierung
lehnt eine Hoechstversion unterhalb der Mindestversion ab.

check erkennt zusaetzlich zurueckgesetzte Verbindungen und nennt die beiden
plausiblen Ursachen: fehlendes LDAPS-Zertifikat auf dem Server oder
TLS-1.3-Inkompatibilitaet.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01NBHF4R9EAejDJUMdwr6C68

cmd/vpnportal/check.go

@@ -72,6 +72,7 @@ func buildBackends(cfg *config.Config) (*opnsense.Client, *auth.AD, error) {
 		VPNGroup:      cfg.AD.VPNGroup,
 		CAFile:        cfg.AD.CAFile,
 		MinTLSVersion: auth.ParseTLSVersion(cfg.AD.MinTLSVersion),
+		MaxTLSVersion: auth.ParseTLSVersion(cfg.AD.MaxTLSVersion),
 		Timeout:       time.Duration(cfg.AD.Timeout),
 	})
 	if err != nil {