build: add OpenTofu to the dev shell and ignore its state

- flake.nix: add pkgs.opentofu to the devshell (LXC provisioning pilot).
- .gitignore: ignore tofu/.terraform/, *.tfstate*, *.tfplan and tofu/.env.
  The provider lock file (tofu/.terraform.lock.hcl) stays tracked on purpose:
  it pins the provider version.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012uoq5AVK8mkBgg83Mq6o5V

.gitignore

@@ -26,3 +26,12 @@ result-*
 
 # Ansible local runtime dir (facts cache, locks)
 .ansible/
+
+# OpenTofu: state содержит фактическую конфигурацию гостей и потому не
+# коммитится. Лок-файл провайдера (.terraform.lock.hcl) наоборот нужен в Git —
+# он закрепляет версию, поэтому под исключение не попадает.
+tofu/.terraform/
+tofu/*.tfstate
+tofu/*.tfstate.*
+tofu/*.tfplan
+tofu/.env