diff --git a/app/(main)/firewall/page.tsx b/app/(main)/firewall/page.tsx
index 382c503e..c93282a4 100644
--- a/app/(main)/firewall/page.tsx
+++ b/app/(main)/firewall/page.tsx
@@ -1950,6 +1950,9 @@ function FirewallPageInner() {
   const [formError, setFormError] = useState<string | null>(null)
   const mutationLock = useRef(false)
   const [togglePending, setTogglePending] = useState(false)
+  const [movePending, setMovePending] = useState(false)
+  const [moveStatus, setMoveStatus] = useState<string | null>(null)
+  const [moveError, setMoveError] = useState<string | null>(null)
   const [toggleStatus, setToggleStatus] = useState<string | null>(null)
   const [toggleError, setToggleError] = useState<string | null>(null)
   const [pendingDelete, setPendingDelete] = useState<{ kind: "rule"; item: FirewallRule } | { kind: "address"; item: AddressListEntry } | null>(null)
@@ -2226,6 +2229,7 @@ function FirewallPageInner() {
   }, [filteredRules])
 
   async function reorderRules(activeId: string, overId: string) {
+    if (mutationLock.current || busy || historyRestoring) return
     const source = isLive ? liveRules : mockRules
     const next = reorderWithinGroup(source, activeId, overId)
     if (!next) {
@@ -2245,19 +2249,28 @@ function FirewallPageInner() {
     const dest = rosMoveDestination(source, activeId, overId)
     if (!dest) return
     const prev = source
+    mutationLock.current = true
+    setMovePending(true)
+    setMoveError(null)
+    setMoveStatus("Ожидание перемещения правила " + (active?.comment || active?.rosId || activeId) + "…")
     setLiveRules(next)
     try {
-      await apiFetch("/api/firewall/rules/move", {
+      const result = await apiFetch<{ ok: boolean }>("/api/firewall/rules/move", {
         method: "POST",
         body: JSON.stringify({
           ...key,
           ...(dest.dest ? { destinationRosId: dest.dest } : {}),
         }),
       })
+      if (result?.ok !== true) throw new Error("Сервер не подтвердил перемещение правила")
       await loadLive()
     } catch (e) {
       setLiveRules(prev)
-      toast.error(e instanceof Error ? e.message : "Не удалось переместить правило")
+      setMoveError((active?.comment || active?.rosId || activeId) + ": " + (e instanceof Error ? e.message : "Не удалось переместить правило"))
+    } finally {
+      mutationLock.current = false
+      setMovePending(false)
+      setMoveStatus(null)
     }
   }
 
@@ -2531,6 +2544,8 @@ function FirewallPageInner() {
             </span>
           </div>
 
+          {moveStatus && <p role="status" className="text-sm text-muted-foreground">{moveStatus}</p>}
+          {moveError && <p role="alert" className="text-sm text-destructive">{moveError}</p>}
           {toggleStatus && <p role="status" className="text-sm text-muted-foreground">{toggleStatus}</p>}
           {toggleError && <p role="alert" className="text-sm text-destructive">{toggleError}</p>}
           <KpiStatGrid
@@ -2594,7 +2609,7 @@ function FirewallPageInner() {
           {chainGroup === "address-lists" ? (
             <AddressListsTab
               entries={familyAddrLists}
-              mutationsDisabled={togglePending || deletePending || busy || historyRestoring}
+              mutationsDisabled={togglePending || deletePending || movePending || busy || historyRestoring}
               onAdd={() => openAddAddr()}
               onAddToList={(list) => openAddAddr(list)}
               onToggle={(e) => { void toggleAddr(e) }}
@@ -2636,11 +2651,11 @@ function FirewallPageInner() {
 
               <FirewallRulesDataGrid
                 rules={filteredRules}
-                mutationsDisabled={togglePending || deletePending || busy || historyRestoring}
+                mutationsDisabled={togglePending || deletePending || movePending || busy || historyRestoring}
                 onToggle={(id) => { void toggleRule(id) }}
                 onEdit={openEdit}
                 onDelete={(item) => requestDelete({ kind: "rule", item })}
-                onReorder={canReorder && !togglePending && !deletePending ? (activeId, overId) => { void reorderRules(activeId, overId) } : undefined}
+                onReorder={canReorder && !togglePending && !deletePending && !movePending && !busy && !historyRestoring ? (activeId, overId) => { void reorderRules(activeId, overId) } : undefined}
                 showServer={showServerCol}
               />
             </DataPageCard>
diff --git a/docs/ux-ui-plan.md b/docs/ux-ui-plan.md
index bc0c2912..acbfed0c 100644
--- a/docs/ux-ui-plan.md
+++ b/docs/ux-ui-plan.md
@@ -80,7 +80,7 @@ flowchart LR
 
 ## Текущая точка продолжения
 
-По журналу этапы 0–8 завершены в границах локальной приёмки; внешние ограничения сохраняются. Этап 9 начат (блоки 9.1–9.28 — IPsec/GRE/VXLAN и переключение Firewall); этапы 10–12 не начаты. Этап 11 разделён: 11А — пользователи, контейнеры, сертификаты, резервирование; 11Б — оповещения, сбор данных, интеграции, релизы, настройки.
+По журналу этапы 0–8 завершены в границах локальной приёмки; внешние ограничения сохраняются. Этап 9 начат (блоки 9.1–9.29 — IPsec/GRE/VXLAN и переключение Firewall); этапы 10–12 не начаты. Этап 11 разделён: 11А — пользователи, контейнеры, сертификаты, резервирование; 11Б — оповещения, сбор данных, интеграции, релизы, настройки.
 
 Подробные планы: [этап 6](ux-ui-stage-6.md), [этап 7](ux-ui-stage-7.md), [этап 8 и итоговая матрица](ux-ui-stage-8.md), [этап 9](ux-ui-stage-9.md).
 
@@ -88,7 +88,7 @@ flowchart LR
 
 Ближайший оставшийся объём:
 
-1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. Далее — подтверждение перемещения Firewall, затем Filters; ограничения счётчика, свежести и записи VXLAN остаются открытыми; загрузка данных IPsec и общая приёмка остаются открытыми.
+1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. Далее — согласование восстановления истории с мутациями и гонки загрузки Firewall, затем Filters; ограничения счётчика, свежести и записи VXLAN остаются открытыми; загрузка данных IPsec и общая приёмка остаются открытыми.
 2. Сохранять контекст устройства, введённые значения при ошибке и подтверждать результат операций по API; локальные моки проверяют клиентские сценарии, реальные сетевые операции требуют тестового окружения.
 3. В этапе 12 выполнить полный аудит доступности (скринридер, контраст), производительности и сквозную регрессию. Ограничения этапа 8 — удалённые серверы месячного каталога, отсутствие экспорта и автоматического переподключения SSE — остаются явно зафиксированными, без заявления о реализации.
 
diff --git a/docs/ux-ui-progress.md b/docs/ux-ui-progress.md
index 7f367f1e..822c67f8 100644
--- a/docs/ux-ui-progress.md
+++ b/docs/ux-ui-progress.md
@@ -25,12 +25,20 @@
 | 6 | Навигация и дашборд | Завершён 2026-09-20 в границах локальной приёмки; ограничения ниже |
 | 7 | Серверы и мониторинг: детали, формы, URL-контекст, права | Завершён в границах локальной приёмки 2026-09-23; внешние ограничения ниже |
 | 8 | Трафик и статистика | Завершён 2026-09-28 в границах локальной приёмки; ограничения в блоке 8.13 |
-| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.28 — IPsec/GRE/VXLAN и переключение Firewall |
+| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.29 — IPsec/GRE/VXLAN и переключение Firewall |
 | 10 | Маршрутизация, диагностика, карта и терминал | Не начат |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Не начат |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Не начат |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
+## Блок 9.29 — перемещение Firewall (2026-09-30)
+
+- POST перемещения требует ok=true. Оптимистический порядок откатывается при HTTP-ошибке, пустом ответе и ok=false. Status/alert содержат контекст правила; повторный запрос очищает ошибку.
+- Перемещение использует общий mutationLock до ответа и завершения loadLive. Ручки переноса убираются, переключатели/меню переключения и удаления отключены; открытие формы и остальные обработчики записи блокируются. Перенос также отключён во время сохранения, удаления, переключения и восстановления истории.
+- Все 23 E2E Firewall прошли: два новых сценария переноса вверх/вниз с проверкой payload, 403, пустого ответа, ok=false, отката, повторного успеха, блокировки конфликтов и задержанного чтения после успеха; прежние 21 сценарий прошли. TypeScript прошёл. Новый тест lint-чистый; исходные 4 ошибки/2 предупреждения страницы не изменились относительно HEAD. Diff-check проверен перед коммитом. Последний production build — 9.21, повтор не выполнялся.
+- Далее — согласовать восстановление истории с общим mutationLock, затем схема/гонки загрузки Firewall и Filters. Восстановление истории пока не захватывает замок, ручное обновление и поздние ответы могут конфликтовать с данными операции. loadLive сообщает ошибку отдельно: подтверждённое перемещение не гарантирует успешное последующее чтение. Реальные RouterOS/JWT не проверены; этап 9 открыт.
+- Квота: 26% пятичасовой/4% недельной на старте, 28%/4% после проверок. Локальный коммит без push; чужие изменения сохранены.
+
 ## Блок 9.28 — формы Firewall (2026-09-30)
 
 - Создание/редактирование правил и address-list требует ok=true в ответе POST/PUT. При 403, пустом ответе и ok=false форма сохраняет ввод, показывает alert и допускает повтор. Новое открытие сбрасывает ошибку; успешный ответ закрывает форму.
diff --git a/docs/ux-ui-stage-9.md b/docs/ux-ui-stage-9.md
index 40a80cd5..45e0e4cc 100644
--- a/docs/ux-ui-stage-9.md
+++ b/docs/ux-ui-stage-9.md
@@ -153,3 +153,7 @@ PATCH требует ok=true, общий замок переключений п
 ## Блок 9.28 — формы Firewall (2026-09-30)
 
 POST/PUT правил и address-list требуют ok=true. Ошибка сохраняет форму/ввод, повтор и закрытие блокируются во время запроса. Все 21 E2E и TypeScript прошли, новых замечаний lint нет. Далее — перемещение Firewall; восстановление истории, перемещение и гонки загрузки ещё требуют общей защиты. Реальные устройства не проверены; последний build — 9.21.
+
+## Блок 9.29 — перемещение Firewall (2026-09-30)
+
+POST требует ok=true, ошибка возвращает исходный порядок. Общий mutationLock предотвращает конфликтующие операции до обновления списка. Все 23 E2E и TypeScript прошли, новых замечаний lint нет. Далее — общий замок восстановления истории и схема/гонки загрузки Firewall, затем Filters. Реальные устройства не проверены; последний build — 9.21.
diff --git a/tests/e2e/firewall-move.spec.ts b/tests/e2e/firewall-move.spec.ts
new file mode 100644
index 00000000..4338b93e
--- /dev/null
+++ b/tests/e2e/firewall-move.spec.ts
@@ -0,0 +1,79 @@
+import { test, expect } from "@playwright/test"
+import type { FirewallRule } from "../../lib/data"
+
+for (const direction of ["down", "up"] as const) {
+  test(`Firewall: перемещение ${direction} требует подтверждения и блокирует конфликты`, async ({ page }) => {
+    let rules: FirewallRule[] = Array.from({ length: 3 }, (_, i) => ({ id: `rule-${i + 1}`, rosId: `*${i + 1}`, serverId: "1", serverName: "Роутер", family: "ip", table: "filter", chain: "forward", action: "accept", proto: "tcp", src: "", dst: "", port: "443", iface: "", comment: `Правило ${i + 1}`, enabled: true, hits: 1 }))
+    let attempts = 0
+    let otherWrites = 0
+    let release: (() => void) | undefined
+    let releaseRead: (() => void) | undefined
+    const gate = new Promise<void>(resolve => { release = resolve })
+    const readGate = new Promise<void>(resolve => { releaseRead = resolve })
+    const id = direction === "down" ? "rule-1" : "rule-3"
+    await page.route("**/health", route => route.fulfill({ json: { ok: true } }))
+    await page.route("**/api/**", async route => {
+      const path = new URL(route.request().url()).pathname
+      if (path === "/api/firewall/rules/move") {
+        attempts++
+        expect(route.request().postDataJSON()).toEqual({ serverId: "1", family: "ip", table: "filter", rosId: direction === "down" ? "*1" : "*3", destinationRosId: direction === "down" ? "*3" : "*2" })
+        if (attempts === 1) { await gate; return route.fulfill({ status: 403, json: { error: "Перемещение запрещено тест" } }) }
+        if (attempts === 2) return route.fulfill({ json: {} })
+        if (attempts === 3) return route.fulfill({ json: { ok: false } })
+        rules = direction === "down" ? [rules[1], rules[0], rules[2]] : [rules[0], rules[2], rules[1]]
+        return route.fulfill({ json: { ok: true } })
+      }
+      if (route.request().method() !== "GET") otherWrites++
+      if (path === "/api/firewall/all" && attempts === 4) await readGate
+      return route.fulfill({ json: path === "/api/auth/config" ? { required: false }
+        : path === "/api/firewall/all" ? { rules, addressLists: [] }
+        : path === "/api/servers" ? [{ id: 1, name: "Роутер", host: "192.0.2.1", type: "exit-node", enabled: true, country: "RU", status: "online" }] : {} })
+    })
+    await page.goto("/firewall?server=1")
+    const rows = page.locator("tr[data-row-id]")
+    await expect(rows).toHaveCount(3)
+    const move = async () => {
+      const handle = page.locator(`tr[data-row-id="${id}"]`).getByRole("button", { name: "Перетащите для изменения порядка строк", exact: true })
+      await handle.focus()
+      await page.keyboard.press("Space")
+      await expect(handle).toHaveAttribute("aria-pressed", "true")
+      await page.keyboard.press(direction === "down" ? "ArrowDown" : "ArrowUp")
+      await expect(page.getByRole("status").filter({ hasText: "over droppable area rule-2" })).toBeVisible()
+      await page.keyboard.press("Space")
+    }
+    const originalOrder = ["rule-1", "rule-2", "rule-3"]
+    const order = () => rows.evaluateAll(elements => elements.map(e => e.getAttribute("data-row-id")))
+    await move()
+    await expect.poll(() => attempts).toBe(1)
+    const waiting = page.getByRole("status").filter({ hasText: "Ожидание перемещения правила" })
+    await expect(waiting).toBeVisible()
+    await expect(page.getByRole("button", { name: "Перетащите для изменения порядка строк", exact: true })).toHaveCount(0)
+    for (const toggle of await rows.getByRole("switch").all()) await expect(toggle).toBeDisabled()
+    await rows.first().getByRole("button", { name: "Действия: forward accept", exact: true }).click()
+    await expect(page.getByRole("menuitem", { name: "Удалить правило", exact: true })).toBeDisabled()
+    await expect(page.getByRole("menuitem", { name: "Отключить", exact: true })).toBeDisabled()
+    await page.keyboard.press("Escape")
+    await page.getByRole("button", { name: "Новое правило", exact: true }).click()
+    await expect(page.getByRole("dialog")).toHaveCount(0)
+    expect(attempts).toBe(1)
+    expect(otherWrites).toBe(0)
+    release!()
+    await expect(page.getByRole("alert").filter({ hasText: "Перемещение запрещено тест" })).toBeVisible()
+    await expect.poll(order).toEqual(originalOrder)
+    for (let i = 2; i <= 3; i++) {
+      await move()
+      await expect.poll(() => attempts).toBe(i)
+      await expect(page.getByRole("alert").filter({ hasText: "Сервер не подтвердил перемещение правила" })).toBeVisible()
+      await expect.poll(order).toEqual(originalOrder)
+    }
+    await move()
+    await expect.poll(() => attempts).toBe(4)
+    await expect(waiting).toBeVisible()
+    for (const toggle of await rows.getByRole("switch").all()) await expect(toggle).toBeDisabled()
+    releaseRead!()
+    await expect(waiting).toHaveCount(0)
+    await expect.poll(order).toEqual(direction === "down" ? ["rule-2", "rule-1", "rule-3"] : ["rule-1", "rule-3", "rule-2"])
+    await expect(page.getByRole("alert").filter({ hasText: "Сервер не подтвердил перемещение" })).toHaveCount(0)
+    expect(otherWrites).toBe(0)
+  })
+}