linux: config: add systemd sandboxing fragment