fix(client/macos+server): 隧道运行时打通——DNS 劫持 + 死锁/空指针修复

接续 447f3f4(系统扩展可加载),修复"扩展能起但连上无法上网"的运行时问题,
现已在 macOS 15(cara)端到端连通:出口=节点 IP、国外站可达、DNS 经隧道解析。

服务端(clientconfig.go):
- route.rules 首条加 {"action":"hijack-dns","port":[53]}(排在 LAN 直连规则前)。
  否则发往隧道 DNS(172.19.0.2:53)的查询被 172.16.0.0/12 吞去直连,域名解析失败。
  sing-box 1.13 按端口劫持(protocol:dns 需先 sniff,不稳)。

客户端——保留三个真 bug 修复:
- startTunnel 的 libbox 启动移到后台队列:避免在 provider 队列同步阻塞,与
  openTun→setTunnelNetworkSettings 回调三方死锁(隧道永远卡 connecting)。
- startOrReloadService(options:) 传非空 LibboxOverrideOptions():传 nil 致空指针 SIGSEGV。
- startDefaultInterfaceMonitor 阻塞到首个 path 更新再返回:修 "no available network interface"。
- 清除排障期临时诊断代码;CFBundleVersion 递增(sysextd 按版本去重)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01JEHzjEcFzvGwgbxT6Wbt6c

client/macos/PacketTunnel/main.swift

@@ -7,17 +7,6 @@
 import Foundation
 import NetworkExtension
 
-// 【临时诊断】把 stderr/stdout 重定向到 App Group 容器文件,捕获 libbox(Go)的
-// fatal error / panic——系统扩展默认不把 stderr 收进统一日志。诊断完移除。
-if let c = FileManager.default.containerURL(
-    forSecurityApplicationGroupIdentifier: "BYL4KQHMTN.com.pangolin.pangolin") {
-    let p = c.appendingPathComponent("stderr.log").path
-    freopen(p, "a", stderr)
-    freopen(p, "a", stdout)
-    setvbuf(stderr, nil, _IONBF, 0)
-    FileHandle.standardError.write("=== boot \(Date()) ===\n".data(using: .utf8)!)
-}
-
 autoreleasepool {
     NEProvider.startSystemExtensionMode()
 }