Initial flake: muscari k3s host

- flake.nix: mkHost helper, SOPS-age integration
- hosts/common: locale, sshd, universal packages
- hosts/muscari: k3s host with Cilium flags
- modules/users/mikl: SSH keys via forgejo .keys + sha256 pinning
- modules/services/k3s: k3s daemon with Cilium-compatible flags
- hardware-configuration.nix: placeholder, will be regenerated on real VM

Stack:
- NixOS 25.11
- k3s single-node (Cilium CNI, Traefik ingress)
- SOPS + age for secrets
- Multi-host ready (rosemary planned)

hosts/muscari/default.nix

@@ -0,0 +1,26 @@
+# muscari — k3s single-node cluster на YC (Debian 12 → NixOS через nixos-anywhere)
+# https://git.iscg.dev/mikl/nixos-iscg
+
+{ config, pkgs, lib, ... }:
+{
+  imports = [
+    ./hardware-configuration.nix
+    ../../modules/users/mikl.nix
+    ../../modules/services/k3s.nix
+  ];
+
+  networking = {
+    hostName = "muscari";
+    useDHCP = true;
+    firewall.allowedTCPPorts = [
+      22    # SSH
+      80    # HTTP (Ingress через Traefik)
+      443   # HTTPS (Ingress через Traefik)
+      # 6443 не открываем — kubectl через SSH-туннель
+    ];
+  };
+
+  # После nixos-anywhere первая установка может быть 26.05,
+  # потом не трогаем (NixOS convention)
+  system.stateVersion = "25.11";
+}

hosts/muscari/hardware-configuration.nix

@@ -0,0 +1,26 @@
+# Hardware configuration для muscari (Yandex Cloud VM)
+# PLACEHOLDER — будет заменён реальным после создания VM в YC
+# (см. ../NIXOS-SETUP.md, шаг 4-5)
+
+# Временный placeholder чтобы flake.nix компилировался
+# После создания VM в YC с Debian 12:
+# 1. SSH в VM как debian
+# 2. Сгенерировать реальный hardware-config через nixos-generate-config
+# 3. Заменить этот файл
+# 4. Перезапустить nixos-anywhere
+
+{ ... }:
+{
+  # NixOS ругается без fileSystems и boot.loader, поэтому минимальный placeholder
+  # ПОМЕНЯТЬ после первого старта VM
+  fileSystems."/" = {
+    device = "/dev/vda1";
+    fsType = "ext4";
+  };
+
+  boot.loader.grub.enable = false;
+  boot.loader.generic-extlinux-compatible.enable = true;
+
+  # Для YC: virtio scsi
+  boot.initrd.availableKernelModules = [ "virtio_pci" "virtio_mmio" "virtio_blk" "virtio_scsi" ];
+}