fix(ui): показывать свежесть срезов Firewall

app/(main)/firewall/page.tsx

@@ -22,6 +22,7 @@ import {
 } from "@/lib/data"
 import { useDataSource } from "@/lib/data-source"
 import { firewallResponseSchema, firewallServersSchema, mergeFirewallRows, type FirewallFailure, type FirewallBackendServer } from "@/lib/firewall-response"
+import { updateFirewallSliceTimes, firewallTimeRange, type FirewallSliceTime } from "@/lib/firewall-freshness"
 import { requestJson } from "@/shared/api/http-client"
 import { Frame, FramePanel } from "@/components/reui/frame"
 import { KpiStatGrid } from "@/components/reui-kit/kpi-stat-grid"
@@ -1935,6 +1936,7 @@ function FirewallPageInner() {
   const [dataLoading, setDataLoading] = useState(false)
   const [dataError, setDataError] = useState<string | null>(null)
   const [hasLoaded, setHasLoaded] = useState(false)
+  const [sliceTimes, setSliceTimes] = useState<FirewallSliceTime[]>([])
   const [failures, setFailures] = useState<FirewallFailure[]>([])
   const loadEpoch = useRef(0)
   useEffect(() => () => { loadEpoch.current += 1 }, [backendUrl, isLive])
@@ -1990,6 +1992,8 @@ function FirewallPageInner() {
       setLiveRules(previous => mergeFirewallRows(previous, firewall.data.rules, firewall.data.failures, enabledIds))
       setLiveAddrLists(previous => mergeFirewallRows(previous, firewall.data.addressLists, firewall.data.failures, enabledIds, true))
       setFailures(firewall.data.failures)
+      const receivedAt = new Date().toISOString()
+      setSliceTimes(previous => updateFirewallSliceTimes(previous, [...enabledIds], firewall.data.failures, receivedAt))
       setHasLoaded(true)
     } catch (e) {
       if (epoch !== loadEpoch.current) return
@@ -2054,6 +2058,7 @@ function FirewallPageInner() {
       setLiveRules([])
       setLiveAddrLists([])
       setHasLoaded(false)
+      setSliceTimes([])
       setFailures([])
       setDataError(null)
       setDataLoading(false)
@@ -2151,6 +2156,8 @@ function FirewallPageInner() {
 
   const scopedFailures = isLive ? failures.filter(f => (selectedServerId === ALL_SERVERS_ID || f.serverId === selectedServerId) && (!f.family || f.family === ipFamily)) : []
   const firewallIncomplete = scopedFailures.length > 0
+  const scopedSliceTimes = sliceTimes.filter(slice => (selectedServerId === ALL_SERVERS_ID || slice.serverId === selectedServerId) && slice.family === ipFamily)
+  const freshness = firewallTimeRange(scopedSliceTimes)
   const totalEnabled = familyRules.filter((r) => r.enabled).length
   const totalHits = familyRules.reduce((s, r) => s + r.hits, 0)
   const dropRules = familyRules.filter((r) => r.action === "drop" || r.action === "reject").length
@@ -2572,10 +2579,25 @@ function FirewallPageInner() {
             </span>
           </div>
 
+          {isLive && <div aria-label="Свежесть данных Firewall" className="text-xs text-muted-foreground">
+            {dataLoading && <p role="status">{hasLoaded ? "Обновление данных Firewall…" : "Загрузка данных Firewall…"}</p>}
+            <p title="Время получения данных в приложении; не время измерения на RouterOS">
+              {freshness.oldest ? <>Получено в приложении: <time dateTime={freshness.oldest}>{new Date(freshness.oldest).toLocaleString("ru-RU")}</time>
+                {freshness.newest !== freshness.oldest && <> — <time dateTime={freshness.newest}>{new Date(freshness.newest!).toLocaleString("ru-RU")}</time></>}
+              </> : hasLoaded && liveServers.every(server => !server.enabled) ? "Нет включённых устройств для опроса" : "Время получения срезов неизвестно"}
+              {freshness.unknown > 0 && <> · Не получено срезов: {freshness.unknown}</>}
+            </p>
+          </div>}
           {firewallIncomplete && <div role="alert" className="rounded-lg border border-warning/30 bg-warning/5 px-4 py-3 text-sm">
             <p className="font-medium">Не все срезы Firewall получены</p>
             <p>Сохранены последние данные недоступных срезов; их состояние неизвестно. Обновите данные перед изменениями.</p>
-            {scopedFailures.map((failure, index) => <p key={index}>{[failure.serverName || failure.serverId, failure.family, failure.table, failure.error].filter(Boolean).join(" · ")}</p>)}
+            {scopedFailures.map((failure, index) => {
+              const range = firewallTimeRange(scopedSliceTimes.filter(slice => slice.serverId === failure.serverId && (!failure.family || slice.family === failure.family) && (!failure.table || slice.table === failure.table)))
+              return <p key={index}>{[failure.serverName || failure.serverId, failure.family, failure.table, failure.error].filter(Boolean).join(" · ")} · Последние данные: {range.oldest
+                ? <><time dateTime={range.oldest}>{new Date(range.oldest).toLocaleString("ru-RU")}</time>
+                  {range.newest !== range.oldest && <> — <time dateTime={range.newest}>{new Date(range.newest!).toLocaleString("ru-RU")}</time></>}
+                </> : "ещё не получены"}{range.unknown > 0 && <> · Не получено срезов: {range.unknown}</>}</p>
+            })}
           </div>}
           {moveStatus && <p role="status" className="text-sm text-muted-foreground">{moveStatus}</p>}
           {moveError && <p role="alert" className="text-sm text-destructive">{moveError}</p>}

docs/ux-ui-plan.md

@@ -80,7 +80,7 @@ flowchart LR
 
 ## Текущая точка продолжения
 
-По журналу этапы 0–8 завершены в границах локальной приёмки; внешние ограничения сохраняются. Этап 9 начат (блоки 9.1–9.33 — IPsec/GRE/VXLAN и переключение Firewall); этапы 10–12 не начаты. Этап 11 разделён: 11А — пользователи, контейнеры, сертификаты, резервирование; 11Б — оповещения, сбор данных, интеграции, релизы, настройки.
+По журналу этапы 0–8 завершены в границах локальной приёмки; внешние ограничения сохраняются. Этап 9 начат (блоки 9.1–9.34 — IPsec/GRE/VXLAN и переключение Firewall); этапы 10–12 не начаты. Этап 11 разделён: 11А — пользователи, контейнеры, сертификаты, резервирование; 11Б — оповещения, сбор данных, интеграции, релизы, настройки.
 
 Подробные планы: [этап 6](ux-ui-stage-6.md), [этап 7](ux-ui-stage-7.md), [этап 8 и итоговая матрица](ux-ui-stage-8.md), [этап 9](ux-ui-stage-9.md).
 
@@ -88,7 +88,7 @@ flowchart LR
 
 Ближайший оставшийся объём:
 
-1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. В 9.30 восстановление истории подключено к общему замку, ручное обновление и открытие истории заблокированы во время записи. В 9.31 добавлены схемы ответа Firewall/серверов, сохранение последних данных при ошибке и поколение чтения с отменой применения при начале записи. В 9.32 backend сообщает частичные сбои по устройству/семейству/таблице, UI сохраняет недоступные срезы и блокирует изменения неполного среза. В 9.33 состояние изолировано по backend/режиму; поздние операции старого экрана не запускают чтение и не показывают уведомления в новом контексте. Далее — свежесть данных Firewall, затем Filters; ограничения счётчика, свежести и записи VXLAN остаются открытыми; загрузка данных IPsec и общая приёмка остаются открытыми.
+1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. В 9.30 восстановление истории подключено к общему замку, ручное обновление и открытие истории заблокированы во время записи. В 9.31 добавлены схемы ответа Firewall/серверов, сохранение последних данных при ошибке и поколение чтения с отменой применения при начале записи. В 9.32 backend сообщает частичные сбои по устройству/семейству/таблице, UI сохраняет недоступные срезы и блокирует изменения неполного среза. В 9.33 состояние изолировано по backend/режиму; поздние операции старого экрана не запускают чтение и не показывают уведомления в новом контексте. В 9.34 показано время получения срезов Firewall: успешные обновляются, недоступные сохраняют прежнее время или остаются неизвестными. Далее — операции Filters; ограничения счётчика, свежести и записи VXLAN остаются открытыми; загрузка данных IPsec Line truncated
 2. Сохранять контекст устройства, введённые значения при ошибке и подтверждать результат операций по API; локальные моки проверяют клиентские сценарии, реальные сетевые операции требуют тестового окружения.
 3. В этапе 12 выполнить полный аудит доступности (скринридер, контраст), производительности и сквозную регрессию. Ограничения этапа 8 — удалённые серверы месячного каталога, отсутствие экспорта и автоматического переподключения SSE — остаются явно зафиксированными, без заявления о реализации.
 

docs/ux-ui-progress.md

@@ -25,12 +25,21 @@
 | 6 | Навигация и дашборд | Завершён 2026-09-20 в границах локальной приёмки; ограничения ниже |
 | 7 | Серверы и мониторинг: детали, формы, URL-контекст, права | Завершён в границах локальной приёмки 2026-09-23; внешние ограничения ниже |
 | 8 | Трафик и статистика | Завершён 2026-09-28 в границах локальной приёмки; ограничения в блоке 8.13 |
-| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.33 — IPsec/GRE/VXLAN и переключение Firewall |
+| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.34 — IPsec/GRE/VXLAN и переключение Firewall |
 | 10 | Маршрутизация, диагностика, карта и терминал | Не начат |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Не начат |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Не начат |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
+## Блок 9.34 — свежесть данных Firewall (2026-09-30)
+
+- Время успешного получения хранится для каждого включённого устройства × IP-семейства × таблицы/address-list. Успешный пустой срез тоже обновляет время, недоступный сохраняет прежнее либо null. Отключённые устройства исключаются из набора; смена источника очищает времена вместе с данными.
+- Экран показывает диапазон времени выбранного устройства/семейства, количество ещё не полученных срезов и статус обновления. Предупреждение о сбое показывает время либо диапазон последних данных соответствующего среза/устройства. До первого успеха время неизвестно, при отсутствии включённых устройств сообщается отсутствие объектов для опроса.
+- Метка «Получено в приложении» — клиентское время после валидации ответа, а не timestamp измерения RouterOS. Время берётся из часов браузера и не сохраняется между перезагрузками; это явно отражено в подписи/title. HTTP-ошибка, повреждённый или устаревший ответ не меняют время.
+- Все 37 E2E Firewall прошли. Два новых сценария с управляемыми часами проверяют полный/частичный опрос, сохранение времени при HTTP/общем сбое, диапазон старых времён, неизвестный первоначальный срез и восстановление пустого среза. После уточнения диапазона общего сбоя два профильных теста повторно прошли. TypeScript прошёл; новые helper/тест lint-чистые, исходные 4 ошибки/2 предупреждения страницы не изменились. Diff-check проверен перед коммитом. Последние build: frontend — 9.31, backend — 9.32; повтор не выполнялся.
+- Следующий шаг — Filters: проверить и исправить подтверждение API сохранения/применения/копирования/переключения/удаления, сохранение формы при ошибке и общий замок. Сначала прочитать текущие обработчики/контракт и выбрать один проверяемый блок. Ограничения RouterOS/БД и подтверждения после ошибки снимка из 9.32 сохраняются; этап 9 открыт.
+- Квота: 50% пятичасовой/8% недельной на старте, 53%/8% после проверок. Локальный коммит без push; чужие изменения сохранены.
+
 ## Блок 9.33 — смена источника Firewall (2026-09-30)
 
 - FirewallSource создаёт отдельное состояние по паре mode/backendUrl. Формы, ошибки и замки старого источника не переносятся в новый. Проверка mounted после ответа записи исключает поздние уведомления и повторное чтение старого API; чтение правил/истории также не запускается после unmount. Удаление проверяет mounted дополнительно после обновления списка.

docs/ux-ui-stage-9.md

@@ -173,3 +173,7 @@ Backend сообщает failures по срезу, неполный snapshot о
 ## Блок 9.33 — смена источника Firewall (2026-09-30)
 
 Состояние пересоздаётся по backend/режиму, старое завершение записи не уведомляет новый экран и не запускает чтение. Прошли 39 E2E в двух прогонах, TypeScript и lint новых файлов; исходные замечания страницы сохранены. Контекстные тесты запускаются отдельно через playwright.firewall-context.config.ts. Далее — свежесть данных Firewall, затем Filters. Реальные устройства не проверены; frontend build — 9.31, backend — 9.32.
+
+## Блок 9.34 — свежесть Firewall (2026-09-30)
+
+Время получения сохраняется по срезам: успешные получают новое время, недоступные сохраняют прежнее или остаются неизвестными. Экран показывает диапазон, неизвестные срезы и время данных в предупреждении. Это время браузерного получения, не измерения RouterOS. Все 37 E2E и TypeScript прошли, два профильных теста диапазона повторены; новых замечаний lint нет. Далее — операции Filters. Реальные устройства не проверены; frontend build — 9.31, backend — 9.32.

lib/firewall-freshness.ts

@@ -0,0 +1,14 @@
+import { matchesFirewallFailure, type FirewallFailure } from "./firewall-response"
+
+export type FirewallSliceTime = { serverId: string; family: "ip" | "ip6"; table: string; receivedAt: string | null }
+export function updateFirewallSliceTimes(previous: FirewallSliceTime[], serverIds: string[], failures: FirewallFailure[], receivedAt: string): FirewallSliceTime[] {
+  return serverIds.flatMap(serverId => (["ip", "ip6"] as const).flatMap(family => ["filter", "nat", "mangle", "raw", "address-list"].map(table => {
+    const slice = { serverId, family, table }
+    const old = previous.find(row => row.serverId === serverId && row.family === family && row.table === table)
+    return { ...slice, receivedAt: failures.some(f => matchesFirewallFailure(f, slice)) ? old?.receivedAt ?? null : receivedAt }
+  })))
+}
+export function firewallTimeRange(slices: FirewallSliceTime[]) {
+  const times = slices.flatMap(slice => slice.receivedAt ? [slice.receivedAt] : []).sort()
+  return { oldest: times[0], newest: times.at(-1), unknown: slices.filter(slice => !slice.receivedAt).length }
+}

tests/e2e/firewall-freshness.spec.ts

@@ -0,0 +1,65 @@
+import { test, expect, type Page } from "@playwright/test"
+
+const first = "2026-09-30T03:00:00.000Z"
+const second = "2026-09-30T03:05:00.000Z"
+const third = "2026-09-30T03:10:00.000Z"
+const rule = { id: "rule-1", rosId: "*1", serverId: "1", serverName: "Роутер", family: "ip", table: "filter", chain: "forward", action: "accept", proto: "tcp", src: "", dst: "", port: "443", iface: "", comment: "Правило тест", enabled: true, hits: 1 }
+async function setup(page: Page) {
+  const control: { payload: unknown; fail: boolean } = { payload: { rules: [rule], addressLists: [] }, fail: false }
+  await page.clock.setFixedTime(new Date(first))
+  await page.route("**/health", route => route.fulfill({ json: { ok: true } }))
+  await page.route("**/api/**", route => {
+    const path = new URL(route.request().url()).pathname
+    if (path === "/api/firewall/all" && control.fail) return route.fulfill({ status: 503, json: { error: "Сбой обновления тест" } })
+    return route.fulfill({ json: path === "/api/auth/config" ? { required: false } : path === "/api/firewall/all" ? control.payload
+      : path === "/api/servers" ? [{ id: 1, name: "Роутер", host: "192.0.2.1", type: "exit-node", enabled: true, country: "RU", status: "online" }] : {} })
+  })
+  return control
+}
+
+test("Firewall: время успешного среза обновляется, недоступного сохраняется", async ({ page }) => {
+  const control = await setup(page)
+  await page.goto("/firewall?server=1")
+  const freshness = page.getByLabel("Свежесть данных Firewall")
+  await expect(freshness.locator("time")).toHaveAttribute("datetime", first)
+  await page.clock.setFixedTime(new Date(second))
+  control.payload = { rules: [], addressLists: [], failures: [{ serverId: "1", family: "ip", table: "filter", error: "Таблица недоступна тест" }] }
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  const warning = page.getByRole("alert").filter({ hasText: "Не все срезы" })
+  await expect(warning.locator("time")).toHaveAttribute("datetime", first)
+  await expect(freshness.locator("time").first()).toHaveAttribute("datetime", first)
+  await expect(freshness.locator("time").last()).toHaveAttribute("datetime", second)
+  await page.clock.setFixedTime(new Date(third))
+  control.fail = true
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  await expect(page.getByRole("alert").filter({ hasText: "Сбой обновления тест" })).toBeVisible()
+  await expect(freshness.locator("time").first()).toHaveAttribute("datetime", first)
+  await expect(freshness.locator("time").last()).toHaveAttribute("datetime", second)
+  control.fail = false
+  control.payload = { rules: [], addressLists: [], failures: [{ serverId: "1", error: "Устройство недоступно тест" }] }
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  await expect(warning.locator("time").first()).toHaveAttribute("datetime", first)
+  await expect(warning.locator("time").last()).toHaveAttribute("datetime", second)
+  control.payload = { rules: [], addressLists: [] }
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  await expect(freshness.locator("time")).toHaveCount(1)
+  await expect(freshness.locator("time")).toHaveAttribute("datetime", third)
+  await expect(warning).toHaveCount(0)
+  await expect(page.locator("tr[data-row-id]")).toHaveCount(0)
+})
+
+test("Firewall: первично недоступный срез не получает время успешного опроса", async ({ page }) => {
+  const control = await setup(page)
+  control.payload = { rules: [], addressLists: [], failures: [{ serverId: "1", error: "Устройство недоступно тест" }] }
+  await page.goto("/firewall?server=1")
+  const freshness = page.getByLabel("Свежесть данных Firewall")
+  await expect(freshness).toContainText("Время получения срезов неизвестно")
+  await expect(freshness).toContainText("Не получено срезов: 5")
+  await expect(freshness.locator("time")).toHaveCount(0)
+  await expect(page.getByRole("alert").filter({ hasText: "Не все срезы" })).toContainText("Последние данные: ещё не получены")
+  control.payload = { rules: [], addressLists: [] }
+  await page.clock.setFixedTime(new Date(second))
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  await expect(freshness.locator("time")).toHaveAttribute("datetime", second)
+  await expect(freshness).not.toContainText("Не получено срезов")
+})