feat: cloudflared container with optional WireGuard egress

- Dockerfile.cloudflared builds cloudflared (official static binary) on Alpine with wireguard-tools

Dockerfile.cloudflared

@@ -0,0 +1,12 @@
+# Сборка контейнера cloudflared с опциональным WireGuard.
+# Официальный образ cloudflare/cloudflared — distroless (без оболочки/apk), поэтому:
+#   1) берём из него статичный бинарник cloudflared;
+#   2) саму сборку делаем на Alpine, где ставим wireguard-tools.
+# Если в wg/wg0.conf нет конфига — VPN не поднимается, туннель запускается как обычно.
+FROM cloudflare/cloudflared:latest AS cf
+
+FROM alpine:3.20
+RUN apk add --no-cache wireguard-tools iproute2
+COPY --from=cf /usr/local/bin/cloudflared /usr/bin/cloudflared
+COPY start-cloudflared.sh /start-cloudflared.sh
+ENTRYPOINT ["/bin/sh", "/start-cloudflared.sh"]