feat(policy): именованные наборы правил с DNS и M:N привязкой к агентам

Правила живут в policy_sets; evaluate мержит назначенные наборы; источник list|CIDR|hostname с кэшем DNS.

Co-authored-by: Cursor <[email protected]>

docs/architecture.md

@@ -23,9 +23,12 @@
 
 ## Политика
 
+- Именованные **наборы правил** (`policy_sets`); агенту назначается **M:N** через `agent_policy_sets`
+- Правило в наборе: ровно один источник — IP-список (`list_id`), CIDR или DNS-имя (`hostname` → A/AAAA, кэш в `policy_rule_resolved`)
+- Evaluate: правила всех назначенных enabled-наборов (sort + priority) + `ip_overrides`
 - `blacklist` — default accept, apply deny set
 - `whitelist` — default drop, apply allow set (+ lo/established на Linux)
-- Overrides и clone-from бампят `policy_generation`
+- Overrides, смена наборов и refresh DNS/lists бампят `policy_generation`
 
 ## Auth