awg_agent — привилегированный агент

Запускается как root в контейнере: всё, что требует NET_ADMIN и доступа к ядру.

Модуль	Ответственность	Задача
`vpn/`	парсинг/валидация `.conf`, up/down/restart туннеля, `awg show` → статус	#22
`watchdog/`	контроль handshake, авто-восстановление, fail-closed	#23
`netfilter/`	iptables/ipset, policy routing, atomic swap, MSS clamping, IPv6	#24
`geoip/`	RIPE Stat, кэш-снапшот, расписание, fallback	#25
`dns/`	dnsmasq, домены → ipset, защита от DNS-утечки	#26
`routing/`	режимы (GeoIP / DNS / All-VPN / Direct-only), reconcile, исключения	#27
`metrics/`	RX/TX, direct vs VPN, история, агрегаты	#28
`devices/`	активные устройства LAN и их политики	#29

Интерфейс для awg_api — unix-socket /run/awg/agent.sock (см. ADR-002).