feat(settings): add reserved hosts field and surface NAT errors

Add the reserved_hosts setting (input + i18n across all locales) so operators
behind a reverse proxy can declare public dashboard hostnames members must not
register as NAT domains (GHSA-x6fg-52vr-hj4w).

Show the backend error message on NAT create/update failure instead of a
generic "unexpected error", so a reserved-host rejection is explained.

Co-authored-by: cloudcode <cloudcode@users.noreply.github.com>

src/locales/id/translation.json

@@ -139,6 +139,8 @@
     "WAF": "Firewall Aplikasi Web",
     "SiteName": "Nama Situs",
     "DashboardOriginalHost": "Alamat koneksi Agen [nama domain/IP:port]",
+    "ReservedHosts": "Host khusus (dipisahkan koma; domain publik/reverse-proxy yang tidak boleh dipakai anggota sebagai domain NAT)",
+    "ReservedHostsHint": "Di belakang reverse proxy, dasbor tidak melihat domain publiknya sendiri sehingga tidak terlindungi otomatis. Cantumkan setiap host entri publik di sini, atau anggota bisa mendaftarkannya sebagai domain NAT dan membajak perutean dasbor.",
     "ConfigTLS": "Gunakan TLS untuk menghubungkan Agen",
     "LoginFailed": "Gagal Masuk",
     "BruteForceAttackingToken": "Token Serangan Brute Force",