diff --git a/family/how-to/wireguard-vpn.md b/family/how-to/wireguard-vpn.md
index 96297001..375b6298 100644
--- a/family/how-to/wireguard-vpn.md
+++ b/family/how-to/wireguard-vpn.md
@@ -41,9 +41,11 @@ Eagle (10.99.0.2) ←→ wg0 VPS (10.99.0.1) ←→ wg1 VPS (10.99.1.1) ←→ K
 
 ## Auto-connect на Eagle
 
-`/usr/local/bin/wg-auto.sh` — следит за SSID через `WatchPaths` на `/Library/Preferences/SystemConfiguration/`:
-- SSID == `ASUS5` → `wg-quick down` (дома, Kraken в локалке, туннель не нужен)
-- SSID != `ASUS5` → `wg-quick up` (вне дома, TM через VPN)
+`/usr/local/bin/wg-auto.sh` — polling каждые 30 сек (launchd `StartInterval`, **НЕ** WatchPaths):
+- Дома (роутер MAC `f0:79:59:77:9b:70`) → `wg-quick down`
+- Вне дома → `wg-quick up`
+
+WatchPaths вызывал race condition: `wg-quick down` менял DNS через networksetup → писал в `/Library/Preferences/SystemConfiguration/` → launchd тригерил скрипт снова → туннель рвался, IP слетал.
 
 ---
 
@@ -58,6 +60,14 @@ Destination обновлён:
 
 ---
 
+## DNS
+
+wg0.conf **без** `DNS =`. PostUp/PostDown управляют scoped resolver:
+- `PostUp = mkdir -p /etc/resolver && echo "nameserver 10.99.0.1" > /etc/resolver/kraken && killall -HUP mDNSResponder`
+- `PostDown = rm -f /etc/resolver/kraken && killall -HUP mDNSResponder`
+
+Только домен `kraken` резолвится через VPS dnsmasq (10.99.0.1). Глобальный DNS не трогается — Wi-Fi IP не слетает.
+
 ## Ключи
 
 | Узел | Публичный ключ |