fix(network): защитить ключи WireGuard и режим просмотра операций

app/(main)/ipsec/page.tsx

@@ -320,7 +320,7 @@ function IpsecPage({ selectedServerId, setSelectedServerId, workspaceTab, setWor
   const failedServerIds = new Set(failures.map(f => f.serverId))
   const scopeUnknown = missingSelectedServer || isLive && (!hasLoaded || !!dataError || (effectiveServerId === ALL_SERVERS_ID ? failures.length > 0 : failedServerIds.has(effectiveServerId)))
 
-  const canManage = (serverId: string) => isLive && hasLoaded && !dataError && !inventoryError &&
+  const canManage = (serverId: string) => isLive && can("mm:network:write") && hasLoaded && !dataError && !inventoryError &&
     !loading && !busy && !historyRestoring && !failedServerIds.has(serverId) && liveServers.some(s => s.id === serverId)
   const assertDeviceReady = (serverId: string) => {
     if (operationLock.current || !canManage(serverId)) throw new Error("Сначала подтвердите актуальное состояние устройства: повторите опрос IPsec")
@@ -637,6 +637,7 @@ function IpsecPage({ selectedServerId, setSelectedServerId, workspaceTab, setWor
       showAll
       allCount={displayClients.length}
       loading={isLive && loading && displayServers.length === 0}
+      banner={isLive && !can("mm:network:write") ? <p role="status" className="border-b px-4 py-2 text-sm text-muted-foreground">Режим просмотра. Изменение конфигурации недоступно.</p> : undefined}
       header={
         <PageHeader
           crumbs={[{ label: "Управление" }, { label: "IPsec / IKEv2" }]}