baseline: api+gui traffic mode + candidates picker

Snapshot before app-launcher (cgroup/mark) work; ignore binaries/backups.

smartdns.conf

@@ -0,0 +1,24 @@
+# ---- basic listen ----
+bind 127.0.0.1:6053 -no-speed-check -no-cache
+
+# ---- upstream: Meta DNS (VPN-only) ----
+server 46.243.231.30
+server 46.243.231.41
+
+# ---- upstream: AdGuard Home на PVE ----
+# обычный UDP DNS-сервер
+
+# включим простой лог в stdout (чтоб увидеть хоть что-то через journalctl)
+log-level info
+response-mode fastest-response
+
+# набор доменов для автотуннеля
+domain-set -name agvpn_wild -file /etc/selective-vpn/smartdns.conf
+
+# кидать все A-ответы по доменам из agvpn_wild в nft set inet/agvpn/agvpn_dyn4
+nftset /domain-set:agvpn_wild/#4:inet#agvpn#agvpn_dyn4
+
+# (опционально) включить таймауты и дебаг nftset
+nftset-timeout yes
+nftset-debug   yes
+