{ config, lib, pkgs, ... }:
{

  services.tailscale = {
    enable = true;
    authKeyFile = config.age.secrets.pinixHeadscalePreAuthKey.path;
    # The host node joins the pinix Headscale as the human user `lukas`.
    # The separate tailscaled-pinix service in tailnet-dns.nix remains the
    # technical `pinix-dns` node for DNS and the git entrypoint.
    # `--accept-dns=false`: pinix hängt am IPv6-only Uplink (Nokia-Tethering,
    # seit der Router-Migration docs/pinix-router-migration.md) und braucht
    # dessen eigenen DNS64-Resolver (router-uplink.nix, pinix-router-dns).
    # MagicDNS würde AdGuard auf blunix befragen, das echte A-Records ohne
    # DNS64-Synthese liefert -- von hier aus nicht routbar. Ersatz für die
    # Namen ist networking.hosts in ../configuration.nix.
    extraUpFlags = [ "--login-server=https://head.${config.domain2}" "--accept-dns=false" "--reset" ];
    };
}