wg-quick DNS= setzt catch-all (~.) ueber resolvconf, was
systemd-resolved Stub-Resolver blockiert. Flatpak-Apps (Brave,
PrusaSlicer) koennen 127.0.0.53 nicht erreichen und haben
kein DNS. Fix: PostUp/PostDown mit resolvectl fuer korrektes
Interface-basiertes DNS. resolv.conf zeigt auf stub-resolv.conf.
- DNS in allen WireGuard-Configs: 10.47.11.20 (PiHole) + 10.47.11.1
(Fritz!Box Fallback), redundantes PiHole auf .21 entfernt
- resolv.conf Symlink auf upstream statt stub (127.0.0.53), da
systemd-resolved mit WireGuard DNS catch-all (~.) nicht funktioniert
