diff --git a/.gitignore b/.gitignore
index 6d5db94..c6b1969 100644
--- a/.gitignore
+++ b/.gitignore
@@ -26,3 +26,12 @@ result-*
 
 # Ansible local runtime dir (facts cache, locks)
 .ansible/
+
+# OpenTofu: state содержит фактическую конфигурацию гостей и потому не
+# коммитится. Лок-файл провайдера (.terraform.lock.hcl) наоборот нужен в Git —
+# он закрепляет версию, поэтому под исключение не попадает.
+tofu/.terraform/
+tofu/*.tfstate
+tofu/*.tfstate.*
+tofu/*.tfplan
+tofu/.env
diff --git a/flake.nix b/flake.nix
index 40709e3..3facf51 100644
--- a/flake.nix
+++ b/flake.nix
@@ -38,6 +38,8 @@
               pkgs.openssh
               pkgs.curl
               pkgs.gnumake
+              # Provisioning LXC на этапе пилота: см. tofu/README.md.
+              pkgs.opentofu
             ];
 
             shellHook = ''