fix(ui): сохранять данные Firewall при сбоях загрузки

app/(main)/firewall/page.tsx

@@ -21,6 +21,7 @@ import {
   type Server,
 } from "@/lib/data"
 import { useDataSource } from "@/lib/data-source"
+import { firewallResponseSchema, firewallServersSchema, type FirewallBackendServer } from "@/lib/firewall-response"
 import { requestJson } from "@/shared/api/http-client"
 import { Frame, FramePanel } from "@/components/reui/frame"
 import { KpiStatGrid } from "@/components/reui-kit/kpi-stat-grid"
@@ -1797,31 +1798,13 @@ function SimulatorTab({ rules: allRules }: { rules: FirewallRule[] }) {
 
 // ─── Live API ─────────────────────────────────────────────────────────────────
 
-interface BackendServer {
-  id: number
-  name: string
-  host: string
-  type: "jump-host" | "exit-node" | "home-router"
-  site: string
-  country: string
-  asn: string
-  enabled: boolean
-  status: "online" | "offline" | null
-  latency: number | null
-}
-
-interface FirewallAllResponse {
-  rules: FirewallRule[]
-  addressLists: AddressListEntry[]
-}
-
 function makeApiFetch(backendUrl: string) {
   return async function apiFetch<T>(path: string, init?: RequestInit): Promise<T> {
     return requestJson<T>(backendUrl, path, init)
   }
 }
 
-function mapBackendToServer(s: BackendServer): Server {
+function mapBackendToServer(s: FirewallBackendServer): Server {
   return {
     id: String(s.id),
     name: s.name || s.host,
@@ -1946,6 +1929,9 @@ function FirewallPageInner() {
   const [mockAddrLists, setMockAddrLists] = useState<AddressListEntry[]>(INIT_ADDRESS_LISTS)
   const [dataLoading, setDataLoading] = useState(false)
   const [dataError, setDataError] = useState<string | null>(null)
+  const [hasLoaded, setHasLoaded] = useState(false)
+  const loadEpoch = useRef(0)
+  useEffect(() => () => { loadEpoch.current += 1 }, [backendUrl, isLive])
   const [busy, setBusy] = useState(false)
   const [formError, setFormError] = useState<string | null>(null)
   const mutationLock = useRef(false)
@@ -1981,23 +1967,27 @@ function FirewallPageInner() {
 
   const loadLive = useCallback(async () => {
     if (!isLive) return
+    const epoch = ++loadEpoch.current
     setDataLoading(true)
     setDataError(null)
     try {
       const [backendServers, fw] = await Promise.all([
-        apiFetch<BackendServer[]>("/api/servers"),
-        apiFetch<FirewallAllResponse>("/api/firewall/all"),
+        apiFetch<unknown>("/api/servers"),
+        apiFetch<unknown>("/api/firewall/all"),
       ])
-      setLiveServers(backendServers.map(mapBackendToServer))
-      setLiveRules(fw.rules)
-      setLiveAddrLists(fw.addressLists)
+      if (epoch !== loadEpoch.current) return
+      const servers = firewallServersSchema.safeParse(backendServers)
+      const firewall = firewallResponseSchema.safeParse(fw)
+      if (!servers.success || !firewall.success) throw new Error("Сервер вернул некорректные данные Firewall")
+      setLiveServers(servers.data.map(mapBackendToServer))
+      setLiveRules(firewall.data.rules)
+      setLiveAddrLists(firewall.data.addressLists)
+      setHasLoaded(true)
     } catch (e) {
+      if (epoch !== loadEpoch.current) return
       setDataError(e instanceof Error ? e.message : "Ошибка загрузки")
-      setLiveServers([])
-      setLiveRules([])
-      setLiveAddrLists([])
     } finally {
-      setDataLoading(false)
+      if (epoch === loadEpoch.current) setDataLoading(false)
     }
   }, [isLive, apiFetch])
 
@@ -2028,6 +2018,8 @@ function FirewallPageInner() {
     if (!isLive || !historyServerId) throw new Error("Выберите устройство в режиме Live")
     if (mutationLock.current) throw new Error("Дождитесь завершения текущей операции Firewall")
     mutationLock.current = true
+    loadEpoch.current += 1
+    setDataLoading(false)
     setHistoryRestoring(true)
     try {
       const res = await apiFetch<{ ok: boolean }>(
@@ -2047,17 +2039,14 @@ function FirewallPageInner() {
   }, [isLive, historyServerId, apiFetch, loadLive, loadRevisions])
 
   useEffect(() => {
-    if (!isLive) {
-      queueMicrotask(() => {
-        setLiveServers([])
-        setLiveRules([])
-        setLiveAddrLists([])
-        setDataError(null)
-      })
-      return
-    }
     queueMicrotask(() => {
-      void loadLive()
+      setLiveServers([])
+      setLiveRules([])
+      setLiveAddrLists([])
+      setHasLoaded(false)
+      setDataError(null)
+      setDataLoading(false)
+      if (isLive) void loadLive()
     })
   }, [isLive, loadLive])
 
@@ -2167,6 +2156,8 @@ function FirewallPageInner() {
       const key = ruleKey(r)
       if (!key) return
       mutationLock.current = true
+      loadEpoch.current += 1
+      setDataLoading(false)
       setTogglePending(true)
       setToggleError(null)
       setToggleStatus(`Ожидание изменения правила ${r.comment || r.rosId || r.id}…`)
@@ -2199,6 +2190,8 @@ function FirewallPageInner() {
     if (!pendingDelete || mutationLock.current || busy || historyRestoring) return
     const target = pendingDelete
     mutationLock.current = true
+    loadEpoch.current += 1
+    setDataLoading(false)
     setDeletePending(true)
     setDeleteError(null)
     try {
@@ -2253,6 +2246,8 @@ function FirewallPageInner() {
     if (!dest) return
     const prev = source
     mutationLock.current = true
+    loadEpoch.current += 1
+    setDataLoading(false)
     setMovePending(true)
     setMoveError(null)
     setMoveStatus("Ожидание перемещения правила " + (active?.comment || active?.rosId || activeId) + "…")
@@ -2309,6 +2304,8 @@ function FirewallPageInner() {
 
     if (isLive) {
       mutationLock.current = true
+      loadEpoch.current += 1
+      setDataLoading(false)
       setBusy(true)
       setFormError(null)
       try {
@@ -2384,6 +2381,8 @@ function FirewallPageInner() {
       const key = addressKey(e)
       if (!key) return
       mutationLock.current = true
+      loadEpoch.current += 1
+      setDataLoading(false)
       setTogglePending(true)
       setToggleError(null)
       setToggleStatus(`Ожидание изменения адреса ${e.address} (${e.list})…`)
@@ -2424,6 +2423,8 @@ function FirewallPageInner() {
 
     if (isLive) {
       mutationLock.current = true
+      loadEpoch.current += 1
+      setDataLoading(false)
       setBusy(true)
       setFormError(null)
       try {
@@ -2529,8 +2530,9 @@ function FirewallPageInner() {
     >
         <div className="flex flex-col gap-5">
           {dataError && isLive && (
-            <div className="rounded-lg border border-destructive/30 bg-destructive/5 px-4 py-3 text-sm text-destructive">
+            <div role="alert" className="rounded-lg border border-destructive/30 bg-destructive/5 px-4 py-3 text-sm text-destructive">
               {dataError}
+              {hasLoaded && <span> Показаны последние успешно загруженные данные.</span>}
             </div>
           )}
 
@@ -2558,28 +2560,28 @@ function FirewallPageInner() {
               {
                 id: "rules",
                 label: "Всего правил",
-                value: familyRules.length,
+                value: isLive && !hasLoaded ? "—" : familyRules.length,
                 icon: <ShieldIcon className="size-4" />,
                 iconClassName: "text-muted-foreground",
               },
               {
                 id: "enabled",
                 label: "Активных",
-                value: totalEnabled,
+                value: isLive && !hasLoaded ? "—" : totalEnabled,
                 icon: <CheckCircleIcon className="size-4" />,
                 iconClassName: "text-success",
               },
               {
                 id: "drop",
                 label: "Блокирующих",
-                value: dropRules,
+                value: isLive && !hasLoaded ? "—" : dropRules,
                 icon: <ShieldOffIcon className="size-4" />,
                 iconClassName: "text-destructive",
               },
               {
                 id: "hits",
                 label: "Срабатываний",
-                value: fmtHits(totalHits),
+                value: isLive && !hasLoaded ? "—" : fmtHits(totalHits),
                 icon: <ListFilterIcon className="size-4" />,
                 iconClassName: "text-info",
               },
@@ -2610,7 +2612,9 @@ function FirewallPageInner() {
             ))}
           </div>
 
-          {chainGroup === "address-lists" ? (
+          {isLive && !hasLoaded ? (
+            <p role="status" className="text-sm text-muted-foreground">{dataLoading ? "Загрузка данных Firewall…" : "Данные Firewall пока недоступны. Повторите загрузку."}</p>
+          ) : chainGroup === "address-lists" ? (
             <AddressListsTab
               entries={familyAddrLists}
               mutationsDisabled={togglePending || deletePending || movePending || busy || historyRestoring}

docs/ux-ui-plan.md

@@ -80,7 +80,7 @@ flowchart LR
 
 ## Текущая точка продолжения
 
-По журналу этапы 0–8 завершены в границах локальной приёмки; внешние ограничения сохраняются. Этап 9 начат (блоки 9.1–9.30 — IPsec/GRE/VXLAN и переключение Firewall); этапы 10–12 не начаты. Этап 11 разделён: 11А — пользователи, контейнеры, сертификаты, резервирование; 11Б — оповещения, сбор данных, интеграции, релизы, настройки.
+По журналу этапы 0–8 завершены в границах локальной приёмки; внешние ограничения сохраняются. Этап 9 начат (блоки 9.1–9.31 — IPsec/GRE/VXLAN и переключение Firewall); этапы 10–12 не начаты. Этап 11 разделён: 11А — пользователи, контейнеры, сертификаты, резервирование; 11Б — оповещения, сбор данных, интеграции, релизы, настройки.
 
 Подробные планы: [этап 6](ux-ui-stage-6.md), [этап 7](ux-ui-stage-7.md), [этап 8 и итоговая матрица](ux-ui-stage-8.md), [этап 9](ux-ui-stage-9.md).
 
@@ -88,7 +88,7 @@ flowchart LR
 
 Ближайший оставшийся объём:
 
-1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. В 9.30 восстановление истории подключено к общему замку, ручное обновление и открытие истории заблокированы во время записи. Далее — схема/гонки загрузки Firewall, затем Filters; ограничения счётчика, свежести и записи VXLAN остаются открытыми; загрузка данных IPsec и общая приёмка остаются открытыми.
+1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. В 9.30 восстановление истории подключено к общему замку, ручное обновление и открытие истории заблокированы во время записи. В 9.31 добавлены схемы ответа Firewall/серверов, сохранение последних данных при ошибке и поколение чтения с отменой применения при начале записи. Далее — частичные сбои опроса Firewall на backend и сохранение данных по устройству, затем дополнительные проверки контекста и Filters; ограничения счётчика, свежести и записи VXLAN остаются открытыми; загрузка данных IPsec и общая приёмка остаются открытыми.
 2. Сохранять контекст устройства, введённые значения при ошибке и подтверждать результат операций по API; локальные моки проверяют клиентские сценарии, реальные сетевые операции требуют тестового окружения.
 3. В этапе 12 выполнить полный аудит доступности (скринридер, контраст), производительности и сквозную регрессию. Ограничения этапа 8 — удалённые серверы месячного каталога, отсутствие экспорта и автоматического переподключения SSE — остаются явно зафиксированными, без заявления о реализации.
 

docs/ux-ui-progress.md

@@ -25,12 +25,21 @@
 | 6 | Навигация и дашборд | Завершён 2026-09-20 в границах локальной приёмки; ограничения ниже |
 | 7 | Серверы и мониторинг: детали, формы, URL-контекст, права | Завершён в границах локальной приёмки 2026-09-23; внешние ограничения ниже |
 | 8 | Трафик и статистика | Завершён 2026-09-28 в границах локальной приёмки; ограничения в блоке 8.13 |
-| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.30 — IPsec/GRE/VXLAN и переключение Firewall |
+| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.31 — IPsec/GRE/VXLAN и переключение Firewall |
 | 10 | Маршрутизация, диагностика, карта и терминал | Не начат |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Не начат |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Не начат |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
+## Блок 9.31 — проверка и загрузка данных Firewall (2026-09-30)
+
+- Общие Zod-схемы проверяют контейнер, обязательные поля правил/address-list, IP-семейство, таблицу, boolean/числовые поля, ID устройств и дубли строк/серверов. Ответы обрабатываются как unknown до валидации; повреждённые данные не попадают в UI.
+- Ошибка HTTP/валидации сохраняет последний успешный список устройств, правил и address-list; alert сообщает о последних данных. До первого успеха KPI неизвестны («—»), вместо таблицы показана загрузка/недоступность. Успешный пустой ответ остаётся допустимым и показывает нули.
+- Поколение loadEpoch отменяет применение позднего ответа/ошибки и завершения старого чтения. Начало любой мутации инвалидирует ранее запущенное чтение. Смена backend/режима очищает данные и инвалидирует запросы; очистка при unmount также добавлена. Проверки смены backend/режима именно Firewall и позднего завершения самой мутации ещё не выполнены.
+- Все 32 E2E Firewall прошли: восемь новых сценариев повреждённых контейнера/правила/address-list/серверов/дублей, первого сбоя/повтора/повторного сбоя и позднего успеха/ошибки чтения после переключения; прежние 24 сценария прошли. TypeScript и production build прошли (34 страницы). Новые схема/тест lint-чистые; исходные 4 ошибки/2 предупреждения страницы не изменились относительно HEAD. Diff-check проверен перед коммитом.
+- Следующий точный шаг: backend/src/services/firewall-live.ts — устранить маскировку сбоев через safeGet и catch в listFirewallAll, вернуть failures по устройству/семейству/таблице и сохранять последние данные этих срезов в UI. Текущий backend при сбое может вернуть валидный пустой массив; схема не отличает его от настоящей пустой конфигурации. Timestamp свежести, дополнительные гонки контекста и реальные RouterOS/JWT остаются открытыми. Затем Filters; этап 9 не завершён.
+- Квота: 31% пятичасовой/5% недельной на старте, 37%/6% после проверок. Локальный коммит без push; чужие изменения сохранены.
+
 ## Блок 9.30 — общий замок истории Firewall (2026-09-30)
 
 - Восстановление истории захватывает mutationLock до ответа API, обновления правил и повторного чтения истории. Ошибка освобождает замок; при занятой операции обработчик отклоняет восстановление с понятным сообщением, не выдавая успешное завершение. Отсутствие Live/устройства также сообщает ошибку.

docs/ux-ui-stage-9.md

@@ -161,3 +161,7 @@ POST требует ok=true, ошибка возвращает исходный
 ## Блок 9.30 — общий замок истории Firewall (2026-09-30)
 
 Восстановление удерживает mutationLock до чтения правил и истории, ошибка освобождает замок. История/ручное обновление недоступны во время записи. Прошли 26 разных E2E в двух прогонах, TypeScript и lint тестов; исходные замечания страницы сохранены. Далее — схема/гонки загрузки Firewall, затем Filters. Реальные устройства не проверены; последний build — 9.21.
+
+## Блок 9.31 — данные Firewall (2026-09-30)
+
+Схемы отклоняют повреждённые ответы и дубли. Ошибка сохраняет последний список, первоначальные KPI неизвестны. Поколение запросов отменяет старое чтение при начале записи. Все 32 E2E, TypeScript и build (34 страницы) прошли; новых замечаний lint нет. Далее — частичные сбои опроса backend: safeGet/listFirewallAll всё ещё маскируют ошибку пустым списком. Свежесть, дополнительные гонки backend/режима/мутации и реальные устройства ещё не проверены.

lib/firewall-response.ts

@@ -0,0 +1,22 @@
+import { z } from "zod"
+
+const context = { id: z.string().min(1), rosId: z.string().min(1), serverId: z.string().min(1), serverName: z.string(), family: z.enum(["ip", "ip6"]) }
+export const firewallResponseSchema = z.object({
+  rules: z.array(z.object({
+    ...context, table: z.enum(["filter", "nat", "mangle", "raw"]), chain: z.string(), action: z.string(),
+    proto: z.string(), src: z.string(), dst: z.string(), port: z.string(), iface: z.string(),
+    comment: z.string(), enabled: z.boolean(), hits: z.number().int().nonnegative(),
+    log: z.boolean().optional(), logPrefix: z.string().optional(), tlsHost: z.string().optional(),
+    connRateLimit: z.string().optional(), layer7Proto: z.string().optional(), nfqueueId: z.number().int().nonnegative().optional(),
+  })).refine(rows => new Set(rows.map(row => row.id)).size === rows.length),
+  addressLists: z.array(z.object({ ...context, list: z.string(), address: z.string(), comment: z.string(), disabled: z.boolean(), timeout: z.string().optional() }))
+    .refine(rows => new Set(rows.map(row => row.id)).size === rows.length),
+})
+
+export const firewallServersSchema = z.array(z.object({
+  id: z.number().int().positive(), name: z.string(), host: z.string(), enabled: z.boolean(), country: z.string(),
+  type: z.enum(["jump-host", "exit-node", "home-router"]), site: z.string().default(""), asn: z.string().default(""),
+  status: z.enum(["online", "offline", "degraded"]).nullable().default(null), latency: z.number().finite().nullable().default(null),
+})).refine(rows => new Set(rows.map(row => row.id)).size === rows.length)
+
+export type FirewallBackendServer = z.infer<typeof firewallServersSchema>[number]

tests/e2e/firewall-data.spec.ts

@@ -0,0 +1,87 @@
+import { test, expect, type Page } from "@playwright/test"
+
+const rule = { id: "rule-1", rosId: "*R/1", serverId: "1", serverName: "Роутер", family: "ip", table: "filter", chain: "forward", action: "accept", proto: "tcp", src: "", dst: "", port: "443", iface: "", comment: "Правило тест", enabled: true, hits: 1 }
+const server = { id: 1, name: "Роутер", host: "192.0.2.1", type: "exit-node", enabled: true, country: "RU", status: "online" }
+async function setup(page: Page) {
+  const control: { payload: unknown; servers: unknown; fail: boolean } = { payload: { rules: [rule], addressLists: [] }, servers: [server], fail: false }
+  await page.route("**/health", route => route.fulfill({ json: { ok: true } }))
+  await page.route("**/api/**", route => {
+    const path = new URL(route.request().url()).pathname
+    if (path === "/api/firewall/all" && control.fail) return route.fulfill({ status: 503, json: { error: "Загрузка недоступна тест" } })
+    return route.fulfill({ json: path === "/api/auth/config" ? { required: false } : path === "/api/firewall/all" ? control.payload : path === "/api/servers" ? control.servers : {} })
+  })
+  return control
+}
+
+for (const invalid of ["container", "rule", "duplicate", "address", "servers"]) {
+  test(`Firewall: повреждённый ответ ${invalid} сохраняет последний список`, async ({ page }) => {
+    const control = await setup(page)
+    await page.goto("/firewall?server=1")
+    const rows = page.locator("tr[data-row-id]")
+    await expect(rows).toHaveCount(1)
+    if (invalid === "servers") control.servers = [{ ...server, enabled: "yes" }]
+    else control.payload = invalid === "container" ? { rules: {} } : invalid === "rule" ? { rules: [{ ...rule, enabled: "yes" }], addressLists: [] }
+      : invalid === "duplicate" ? { rules: [rule, rule], addressLists: [] } : { rules: [rule], addressLists: [{ id: "address-1", address: null }] }
+    await page.getByRole("button", { name: "Обновить", exact: true }).click()
+    await expect(page.getByRole("alert").filter({ hasText: "Сервер вернул некорректные данные Firewall" })).toBeVisible()
+    await expect(rows).toHaveCount(1)
+    await expect(page.getByText("Показаны последние успешно загруженные данные.", { exact: false })).toBeVisible()
+    control.payload = { rules: [], addressLists: [] }
+    control.servers = [server]
+    await page.getByRole("button", { name: "Обновить", exact: true }).click()
+    await expect(rows).toHaveCount(0)
+    await expect(page.getByRole("alert").filter({ hasText: "Сервер вернул" })).toHaveCount(0)
+    await expect(page.getByLabel("Сводка Firewall")).not.toContainText("—")
+  })
+}
+
+test("Firewall: первый сбой показывает неизвестные KPI, повтор загружает данные", async ({ page }) => {
+  const control = await setup(page)
+  control.fail = true
+  await page.goto("/firewall?server=1")
+  await expect(page.getByRole("alert").filter({ hasText: "Загрузка недоступна тест" })).toBeVisible()
+  await expect(page.getByLabel("Сводка Firewall")).toContainText("—")
+  await expect(page.getByRole("status").filter({ hasText: "Данные Firewall пока недоступны" })).toBeVisible()
+  control.fail = false
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  await expect(page.locator("tr[data-row-id]")).toHaveCount(1)
+  control.fail = true
+  await page.getByRole("button", { name: "Обновить", exact: true }).click()
+  await expect(page.getByRole("alert").filter({ hasText: "Загрузка недоступна тест" })).toBeVisible()
+  await expect(page.locator("tr[data-row-id]")).toHaveCount(1)
+})
+
+for (const fails of [false, true]) {
+  test(`Firewall: позднее чтение до мутации игнорируется ${fails}`, async ({ page }) => {
+    const control = await setup(page)
+    await page.goto("/firewall?server=1")
+    const rows = page.locator("tr[data-row-id]")
+    await expect(rows).toHaveCount(1)
+    let release: (() => void) | undefined
+    const gate = new Promise<void>(resolve => { release = resolve })
+    let reads = 0
+    await page.route("**/api/firewall/all", async route => {
+      reads++
+      if (reads !== 1) return route.fallback()
+      await gate
+      return route.fulfill(fails ? { status: 500, json: { error: "Поздняя ошибка тест" } } : { json: { rules: [], addressLists: [] } })
+    })
+    await page.route("**/api/firewall/rules", route => {
+      expect(route.request().method()).toBe("PATCH")
+      control.payload = { rules: [{ ...rule, enabled: false }], addressLists: [] }
+      return route.fulfill({ json: { ok: true } })
+    })
+    await page.getByRole("button", { name: "Обновить", exact: true }).click()
+    await expect.poll(() => reads).toBe(1)
+    await rows.getByRole("switch").click()
+    await expect(rows.getByRole("switch")).toHaveAttribute("aria-checked", "false")
+    await expect(rows.getByRole("switch")).toBeEnabled()
+    const response = page.waitForResponse(r => r.url().endsWith("/api/firewall/all"))
+    release!()
+    await (await response).finished()
+    await page.evaluate(() => new Promise<void>(resolve => requestAnimationFrame(() => requestAnimationFrame(() => resolve()))))
+    await expect(rows).toHaveCount(1)
+    await expect(rows.getByRole("switch")).toHaveAttribute("aria-checked", "false")
+    await expect(page.getByRole("alert").filter({ hasText: "Поздняя ошибка тест" })).toHaveCount(0)
+  })
+}