fix(ipsec): подтвердить достоверность операций и приёмку раздела

2026-10-09 12:46:22 +07:00
1 parent e2d81f9657
commit f80d9b7637
@@ -1,6 +1,6 @@
 # UX/UI: протокол внешней приёмки 12.5

-Статус на2026-10-09: backend/frontend ux-vxlan76, backend healthy; раздел VXLAN76 принят в описанных границах. В12.5.67 исправленный Peer .conf принят как клиентский шаблон: API6/6, browser4/4, server endpoint и placeholders; настоящий RSC roundtrip через UI/native/handshake/Ping принят в12.5.68, .conf с явнымName/отказы400/409/сохранение формы приняты в70; поздний native rejection/подтверждённая компенсация/retry приняты в72; изолированный audit INSERT permission denial принят в74; остальные неизвестные исходы/DB faults открыты. Мобильная ширина WireGuard Sheets принята в12.5.64. Мобильная GRE форма и native сохранение на обоих CHR приняты в12.5.57. WireGuard handshake/короткий Ping/native API/read-only UI приняты в границах12.5.58; 12.5.59 воспроизвёл оставшиеся peers/IP; 12.5.60 развернул исправление и принял обычное удаление own WG интерфейса с peer/IPv4 адресом на обоих CHR. 12.5.62 принял полный WireGuard UI create/peer/disable/enable/Ping/delete на обоих CHR; устойчивое меню развёрнуто. Устойчивость меню GRE при live refresh на обоих CHR принята в12.5.55. GRE peer metadata и реальный lifecycle/API/UI/двусторонний Ping подтверждены в12.5.53. Browser retry/checkpoint на реальном HTTP/PG принят в границах12.5.43–45; Telegram sender responses подменены, реальная доставка не проверена. PG-1/2/3/4/5 приняты в описанных границах, PG-6 integrated для одного isolated instance, PG-7 real JWT/processcounts и browser restore passed. PG-8 real PG/native и browser unknown→history done приняты с fault injection после настоящего COMMIT. ROS-8/9 real API/SQL/native приняты в границах12.5.23; browser pair/duration change и delete приняты в12.5.24. ROS-2 authentication failure принят в12.5.25. PortalSSO, физический TCP disconnect, мультиэкземпляры и остальные ROS/Q/интеграции остаются открытыми. [Паспорт](ux-ui-test-server.md), [журнал](ux-ui-progress.md). VXLAN75: собственная native пара/Ping/catalog/URL/export приняты, create/delete API отсутствует; selected baseline восстановлен.
+Статус на2026-10-09: backend/frontend ux-ipsec77, backend healthy; основной блок IPsec77 и VXLAN76 приняты в описанных границах. В12.5.67 исправленный Peer .conf принят как клиентский шаблон: API6/6, browser4/4, server endpoint и placeholders; настоящий RSC roundtrip через UI/native/handshake/Ping принят в12.5.68, .conf с явнымName/отказы400/409/сохранение формы приняты в70; поздний native rejection/подтверждённая компенсация/retry приняты в72; изолированный audit INSERT permission denial принят в74; остальные неизвестные исходы/DB faults открыты. Мобильная ширина WireGuard Sheets принята в12.5.64. Мобильная GRE форма и native сохранение на обоих CHR приняты в12.5.57. WireGuard handshake/короткий Ping/native API/read-only UI приняты в границах12.5.58; 12.5.59 воспроизвёл оставшиеся peers/IP; 12.5.60 развернул исправление и принял обычное удаление own WG интерфейса с peer/IPv4 адресом на обоих CHR. 12.5.62 принял полный WireGuard UI create/peer/disable/enable/Ping/delete на обоих CHR; устойчивое меню развёрнуто. Устойчивость меню GRE при live refresh на обоих CHR принята в12.5.55. GRE peer metadata и реальный lifecycle/API/UI/двусторонний Ping подтверждены в12.5.53. Browser retry/checkpoint на реальном HTTP/PG принят в границах12.5.43–45; Telegram sender responses подменены, реальная доставка не проверена. PG-1/2/3/4/5 приняты в описанных границах, PG-6 integrated для одного isolated instance, PG-7 real JWT/processcounts и browser restore passed. PG-8 real PG/native и browser unknown→history done приняты с fault injection после настоящего COMMIT. ROS-8/9 real API/SQL/native приняты в границах12.5.23; browser pair/duration change и delete приняты в12.5.24. ROS-2 authentication failure принят в12.5.25. PortalSSO, физический TCP disconnect, мультиэкземпляры и остальные ROS/Q/интеграции остаются открытыми. [Паспорт](ux-ui-test-server.md), [журнал](ux-ui-progress.md). VXLAN75: собственная native пара/Ping/catalog/URL/export приняты, create/delete API отсутствует; selected baseline восстановлен.

 ## Паспорт стенда

@@ -681,3 +681,9 @@ flowchart LR
 ```

 Границы: app VXLAN API read-only, create/delete выполнены native REST только на собственных объектах. IPv6/bridge/FDB/throughput/RBAC/concurrency и произвольный терминальный .rsc import не приняты; динамический ARP/FDB baseline не сравнивался. Первый запуск Edge в sandbox завершился до страницы; повторный разрешённый запуск прошёл. Этап12.5 целиком не закрыт. Следующий раздел12.5.77 — IPsec; остаточные VXLAN/WireGuard ограничения остаются в протоколе.
+
+## 12.5.77 — основной блок IPsec (2026-10-09)
+
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.
+
+Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
@@ -1,12 +1,12 @@
 # План реализации UX/UI по пятичасовым окнам

-Актуальное продолжение 2026-10-09: 12.5.76 завершил укрупнённый раздел VXLAN: достоверный снимок/MTU, запрет опроса выключенных устройств, устойчивое меню, Docker deploy обеих частей и реальная приёмка двух CHR. Browser4/4, повторное применение экспортированного fragment с MTU1400 и Ping3/3 в обе стороны, probe0 и cleanup passed. Runtime backend/frontend ux-vxlan76, version1.0.0-test.vxlan76; происхождение сборки — base HEAD6b068ac плюс явный manifest13 файлов. Следующий12.5.77 — IPsec целиком: карта API/операций, собственная тестовая пара, профильные проверки и исправления, deployment/приёмка/cleanup, один локальный коммит. Этап12.5 открыт.
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.

 Общий план проекта MikrotikManager. Основан на согласованном плане из задачи; точка продолжения обновлена 2026-10-09. Источник фактического прогресса, проверок и ограничений — [журнал реализации](ux-ui-progress.md). Этот документ задаёт объём и критерии завершения, журнал фиксирует результат.

 ## Актуальная точка продолжения — 2026-10-09

-Актуальное продолжение 2026-10-09: 12.5.76 завершил укрупнённый раздел VXLAN: достоверный снимок/MTU, запрет опроса выключенных устройств, устойчивое меню, Docker deploy обеих частей и реальная приёмка двух CHR. Browser4/4, повторное применение экспортированного fragment с MTU1400 и Ping3/3 в обе стороны, probe0 и cleanup passed. Runtime backend/frontend ux-vxlan76, version1.0.0-test.vxlan76; происхождение сборки — base HEAD6b068ac плюс явный manifest13 файлов. Следующий12.5.77 — IPsec целиком: карта API/операций, собственная тестовая пара, профильные проверки и исправления, deployment/приёмка/cleanup, один локальный коммит. Этап12.5 открыт.
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.

 Этапы0–11 завершены в локальных границах журнала. История выполненных внешних блоков и доказательства сохранены в [журнале](ux-ui-stage-12.md) и [протоколе](ux-ui-external-acceptance.md). Реальная Telegram доставка, Portal SSO, multi-instance и оставшиеся профильные сетевые ограничения открыты.

@@ -368,3 +368,9 @@ flowchart LR
 ```

 Границы: app VXLAN API read-only, create/delete выполнены native REST только на собственных объектах. IPv6/bridge/FDB/throughput/RBAC/concurrency и произвольный терминальный .rsc import не приняты; динамический ARP/FDB baseline не сравнивался. Первый запуск Edge в sandbox завершился до страницы; повторный разрешённый запуск прошёл. Этап12.5 целиком не закрыт. Следующий раздел12.5.77 — IPsec; остаточные VXLAN/WireGuard ограничения остаются в протоколе.
+
+## 12.5.77 — основной блок IPsec (2026-10-09)
+
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.
+
+Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
@@ -1,6 +1,6 @@
 # UX/UI: журнал реализации

-Актуальное продолжение 2026-10-09: 12.5.76 завершил укрупнённый раздел VXLAN: достоверный снимок/MTU, запрет опроса выключенных устройств, устойчивое меню, Docker deploy обеих частей и реальная приёмка двух CHR. Browser4/4, повторное применение экспортированного fragment с MTU1400 и Ping3/3 в обе стороны, probe0 и cleanup passed. Runtime backend/frontend ux-vxlan76, version1.0.0-test.vxlan76; происхождение сборки — base HEAD6b068ac плюс явный manifest13 файлов. Следующий12.5.77 — IPsec целиком: карта API/операций, собственная тестовая пара, профильные проверки и исправления, deployment/приёмка/cleanup, один локальный коммит. Этап12.5 открыт.
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.

 Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).

@@ -36,7 +36,45 @@
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
-| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–76 и ограничения ниже. Runtime backend/frontend ux-vxlan76. |
+| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–77 и ограничения ниже. Runtime backend/frontend ux-ipsec77. |
+
+## 12.5.77 — IPsec: основной раздел, RouterOS7 и реальная профильная приёмка (2026-10-09)
+
+Укрупнённый блок включает backend/API/UI, тесты, production Docker build/deploy, собственные реальные объекты на обоих CHR и очистку. Один локальный коммит после блока, без push. Установленные ReUI/Frame/base-nova компоненты сохранены.
+
+**Достоверность и операции.** Чтение восьми коллекций IPsec больше не скрывает отказ RouterOS или некорректный контейнер/строки/ID пустым успешным списком. Агрегатор сохраняет успешные устройства и сообщает ошибку конкретного устройства; observed history не запускается для неудачного среза. Выключенный сервер исключён из чтения и операций, ID разбирается целиком. Init/User/Peer формы сохраняют поля при отказах по существующим шаблонам. Статический IPv4 проверяется до изменений; отсутствующий явный peer и дубликат клиента отклоняются. Зарезервированные имена mode-config учитываются в истории и очистке, поскольку RouterOS7.24.5 отклонил comment.
+
+**Совместимость RouterOS7.** Мастер создаёт сертификатную identity с digital-signature, certificate находится в identity; неподдерживаемые certificate/send-cert убраны из peer и restore body. Исправлены responder=yes для mode-config, доверие CA, неподдерживаемые profile/mode-config comment и identity place-before. Из генерации убраны DH1024/1536 и SHA1. Сертификатная роль учитывает identity references. Plain PSK remote ID при создании превращается в key-id. Отображаемое имя сертификатного клиента хранится в identity, подписанный CN/ключ/имя сертификата сохраняются.
+
+**Выбор объекта и удаление.** Клиенты используют явные rosId namespace identity:/cert:; совпадение ID разных RouterOS меню больше не выбирает чужой объект. Неоднозначный legacy ID даёт409 с предложением обновить список; CA не является клиентом. Удаление сервера заранее читает весь объём, сохраняет стандартный/чужой policy template, не скрывает ошибки и удаляет CA после leaf сертификатов. Чужие identity/policy и сертификат, подписанный управляемым CA, блокируют удаление до первой записи. Общий/чужой mode-config сохраняется при удалении клиента. Это проверки перечисленных ссылок, не гарантия учёта всех внешних потребителей PKI.
+
+**Контекст и интерфейс.** URL сохраняет server и tab при reload; неизвестное устройство остаётся отдельным срезом с ошибкой и заблокированным созданием клиента. Сохранена цель мастера при переключении контекста. Форма peer больше не предлагает сертификат, относящийся к identity. Реальный browser выявил возврат вкладки после закрытия Sheet; локальные query-state обновления переведены на History API без отдельного RSC перехода. [Next.js API](https://nextjs.org/docs/app/guides/single-page-applications). Тестовые PNG сохраняются в каталог конкретного запуска после ошибки записи общего файла Windows.
+
+**Проверки.** npm backend test:ipsec:67 новых проверок + config tests, entity-snapshots passed; backend/scoped frontend TypeScript и ESLint passed. Итоговый профильный набор30/30 (включает связанные GRE cases), context-race6/6. Реальный browser4/4: оба CHR ×1280/320px, готовность, peer/client формы, URL/tab/reload и отсутствие page overflow; без HTTP mocks. [Browser protocol](ux-ui/acceptance/browser-ipsec-section-2026-10-09.json). Полная регрессия проекта не повторялась.
+
+**Реальная схема.** На194.226.121.150 и104.165.244.7 выполнены HTTP init без NAT, создание/disable/enable/duplicate PSK клиента,400 на неверный IP,404 на отсутствующий peer, выпуск сертификатов, проверка .p12 через OpenSSL и сохранение CN при переименовании. Для сетевой проверки native REST создал собственные profile/proposal/peer/identity/policy/GRE и198.18.255.249/30↔.250/30; IPsec encrypt/require защищал GRE между публичными /32, без изменения firewall/default route. PSK, затем digital-signature с реальным экспортированным клиентским ключом: Ping3/3 в обе стороны, ph2-state established и ненулевые SA bytes. В импортированной цепочке CA/leaf получили одинаковое имя от RouterOS; тест назначает им уникальные имена по ID. Сертификатная роль задана явно: CHR1 responder, CHR2 initiator. Это native site-to-site проверка криптографии/экспорта; выдача road-warrior lease и импорт через приложение не объявляются проверенными.
+
+**Ошибки чтения и выключенные устройства.** Две собственные временные DB записи home-router/exit-node указывали на HTTP probe. Выключенные GET сообщали disabled, операции404, native calls0. Включение только fake endpoint вернуло настоящий upstream401: не было ложной успешной пустой сводки, два исправных CHR сохранились в частичном результате;16 probe calls на два чтения. Все fake записи удалены. [Native protocol](ux-ui/acceptance/ipsec-section-2026-10-09.json).
+
+**Развёртывание и состояние.** Образы backend/frontend ux-ipsec77/version1.0.0-test.ipsec77 собраны и развёрнуты;3 services running, backend/PG healthy, frontend проверен HTTP/browser. Source: архив базового HEAD e2d81f9 +14 явных working-file overrides, SHA256 e0a034a855eb2d07696a1849c9baed738890e7c84108d5a3d6dbe652188bee9e; [manifest](ux-ui/acceptance/ipsec-section-source-manifest-2026-10-09.json). Это не архив одного уже закоммиченного revision. Приватный pre-deploy PG backup2510309 bytes/0600, pg_restore --list passed; .env/прежние VXLAN образы сохранены на сервере. DB после: servers2/speedHistory9/retention14/migrations9. Пароли не менялись; оба CHR/SSH доступны, единичный401 CHR2 при контрольном чтении не повторился. [Deployment](ux-ui/acceptance/deploy-ipsec-section-2026-10-09.json), [smoke8 страниц](ux-ui/acceptance/deploy-browser-ipsec-section-2026-10-09.json).
+
+Очистка последнего цикла сравнила IPsec/PKI/GRE/IP/routes/IPv4 firewall/file metadata на обоих CHR: все проверки true. При восстановлении раннего цикла широкий отбор отклонила автоматическая проверка: выполнены инвентаризация и preflight17 точных ID/атрибутов собственного запуска, затем их разрешённая очистка. Удаление каталога flash наCHR2 отклонено отдельно: системное имя/пустота не доказывают ownership; каталог сохранён. Приватные .p12/.pass/.pem теста удалены, ключи не включены в отчёт/Git.
+
+| Референс | Схема и реальные экраны |
+| --- | --- |
+| [Data Grid Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Устройство/URL → достоверный срез → клиент; [ПК](ux-ui/screens/ipsec-real-clients-server1-1280-2026-10-09.png), [телефон](ux-ui/screens/ipsec-real-clients-server2-320-2026-10-09.png) |
+| [Sheet8](https://reui.io/preview/base/sheet-8?ref=mcp), [Tabs API/preview](https://reui.io/components/tabs?ref=mcp) | Peer/клиент → сохранение ввода → подтверждение API → возврат в тот же срез |
+
+```mermaid
+flowchart LR
+    A[Устройство и вкладка в URL] --> B{Достоверный срез?}
+    B -->|Нет| C[Ошибка и последние данные]
+    B -->|Да| D[Peer или клиент с явным ID]
+    D --> E[Форма и подтверждение API]
+    E --> F[Native проверка и возврат]
+```
+
+Остаточные границы: online/active-peer корреляция, настоящая выдача mode-config, NAT/интернет, IPv6, Windows/macOS/iOS/Android подключения, late failure receipts/DB/transport, history restore, многопроцессность, IPsec-specific live JWT/RBAC и throughput не приняты этим блоком. Основной раздел внедрён и принят в перечисленных сценариях; этап12.5 и эти профильные ограничения остаются открытыми.

 ## 12.5.76 — VXLAN: достоверность, экспорт и полная профильная приёмка (2026-10-09)

@@ -1,6 +1,6 @@
 # Этап 12: итоговая приёмка UX/UI

-Актуальное продолжение 2026-10-09: 12.5.76 завершил укрупнённый раздел VXLAN: достоверный снимок/MTU, запрет опроса выключенных устройств, устойчивое меню, Docker deploy обеих частей и реальная приёмка двух CHR. Browser4/4, повторное применение экспортированного fragment с MTU1400 и Ping3/3 в обе стороны, probe0 и cleanup passed. Runtime backend/frontend ux-vxlan76, version1.0.0-test.vxlan76; происхождение сборки — base HEAD6b068ac плюс явный manifest13 файлов. Следующий12.5.77 — IPsec целиком: карта API/операций, собственная тестовая пара, профильные проверки и исправления, deployment/приёмка/cleanup, один локальный коммит. Этап12.5 открыт.
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.

 План: [ux-ui-plan.md](ux-ui-plan.md). Фактические результаты: [ux-ui-progress.md](ux-ui-progress.md). Подготовлен после сводных проверок 11Б; завершение каждого блока требует локального коммита без push.

@@ -1846,3 +1846,41 @@ flowchart LR
 ```

 Границы: app VXLAN API read-only, create/delete выполнены native REST только на собственных объектах. IPv6/bridge/FDB/throughput/RBAC/concurrency и произвольный терминальный .rsc import не приняты; динамический ARP/FDB baseline не сравнивался. Первый запуск Edge в sandbox завершился до страницы; повторный разрешённый запуск прошёл. Этап12.5 целиком не закрыт. Следующий раздел12.5.77 — IPsec; остаточные VXLAN/WireGuard ограничения остаются в протоколе.
+
+## 12.5.77 — IPsec: основной раздел, RouterOS7 и реальная профильная приёмка (2026-10-09)
+
+Укрупнённый блок включает backend/API/UI, тесты, production Docker build/deploy, собственные реальные объекты на обоих CHR и очистку. Один локальный коммит после блока, без push. Установленные ReUI/Frame/base-nova компоненты сохранены.
+
+**Достоверность и операции.** Чтение восьми коллекций IPsec больше не скрывает отказ RouterOS или некорректный контейнер/строки/ID пустым успешным списком. Агрегатор сохраняет успешные устройства и сообщает ошибку конкретного устройства; observed history не запускается для неудачного среза. Выключенный сервер исключён из чтения и операций, ID разбирается целиком. Init/User/Peer формы сохраняют поля при отказах по существующим шаблонам. Статический IPv4 проверяется до изменений; отсутствующий явный peer и дубликат клиента отклоняются. Зарезервированные имена mode-config учитываются в истории и очистке, поскольку RouterOS7.24.5 отклонил comment.
+
+**Совместимость RouterOS7.** Мастер создаёт сертификатную identity с digital-signature, certificate находится в identity; неподдерживаемые certificate/send-cert убраны из peer и restore body. Исправлены responder=yes для mode-config, доверие CA, неподдерживаемые profile/mode-config comment и identity place-before. Из генерации убраны DH1024/1536 и SHA1. Сертификатная роль учитывает identity references. Plain PSK remote ID при создании превращается в key-id. Отображаемое имя сертификатного клиента хранится в identity, подписанный CN/ключ/имя сертификата сохраняются.
+
+**Выбор объекта и удаление.** Клиенты используют явные rosId namespace identity:/cert:; совпадение ID разных RouterOS меню больше не выбирает чужой объект. Неоднозначный legacy ID даёт409 с предложением обновить список; CA не является клиентом. Удаление сервера заранее читает весь объём, сохраняет стандартный/чужой policy template, не скрывает ошибки и удаляет CA после leaf сертификатов. Чужие identity/policy и сертификат, подписанный управляемым CA, блокируют удаление до первой записи. Общий/чужой mode-config сохраняется при удалении клиента. Это проверки перечисленных ссылок, не гарантия учёта всех внешних потребителей PKI.
+
+**Контекст и интерфейс.** URL сохраняет server и tab при reload; неизвестное устройство остаётся отдельным срезом с ошибкой и заблокированным созданием клиента. Сохранена цель мастера при переключении контекста. Форма peer больше не предлагает сертификат, относящийся к identity. Реальный browser выявил возврат вкладки после закрытия Sheet; локальные query-state обновления переведены на History API без отдельного RSC перехода. [Next.js API](https://nextjs.org/docs/app/guides/single-page-applications). Тестовые PNG сохраняются в каталог конкретного запуска после ошибки записи общего файла Windows.
+
+**Проверки.** npm backend test:ipsec:67 новых проверок + config tests, entity-snapshots passed; backend/scoped frontend TypeScript и ESLint passed. Итоговый профильный набор30/30 (включает связанные GRE cases), context-race6/6. Реальный browser4/4: оба CHR ×1280/320px, готовность, peer/client формы, URL/tab/reload и отсутствие page overflow; без HTTP mocks. [Browser protocol](ux-ui/acceptance/browser-ipsec-section-2026-10-09.json). Полная регрессия проекта не повторялась.
+
+**Реальная схема.** На194.226.121.150 и104.165.244.7 выполнены HTTP init без NAT, создание/disable/enable/duplicate PSK клиента,400 на неверный IP,404 на отсутствующий peer, выпуск сертификатов, проверка .p12 через OpenSSL и сохранение CN при переименовании. Для сетевой проверки native REST создал собственные profile/proposal/peer/identity/policy/GRE и198.18.255.249/30↔.250/30; IPsec encrypt/require защищал GRE между публичными /32, без изменения firewall/default route. PSK, затем digital-signature с реальным экспортированным клиентским ключом: Ping3/3 в обе стороны, ph2-state established и ненулевые SA bytes. В импортированной цепочке CA/leaf получили одинаковое имя от RouterOS; тест назначает им уникальные имена по ID. Сертификатная роль задана явно: CHR1 responder, CHR2 initiator. Это native site-to-site проверка криптографии/экспорта; выдача road-warrior lease и импорт через приложение не объявляются проверенными.
+
+**Ошибки чтения и выключенные устройства.** Две собственные временные DB записи home-router/exit-node указывали на HTTP probe. Выключенные GET сообщали disabled, операции404, native calls0. Включение только fake endpoint вернуло настоящий upstream401: не было ложной успешной пустой сводки, два исправных CHR сохранились в частичном результате;16 probe calls на два чтения. Все fake записи удалены. [Native protocol](ux-ui/acceptance/ipsec-section-2026-10-09.json).
+
+**Развёртывание и состояние.** Образы backend/frontend ux-ipsec77/version1.0.0-test.ipsec77 собраны и развёрнуты;3 services running, backend/PG healthy, frontend проверен HTTP/browser. Source: архив базового HEAD e2d81f9 +14 явных working-file overrides, SHA256 e0a034a855eb2d07696a1849c9baed738890e7c84108d5a3d6dbe652188bee9e; [manifest](ux-ui/acceptance/ipsec-section-source-manifest-2026-10-09.json). Это не архив одного уже закоммиченного revision. Приватный pre-deploy PG backup2510309 bytes/0600, pg_restore --list passed; .env/прежние VXLAN образы сохранены на сервере. DB после: servers2/speedHistory9/retention14/migrations9. Пароли не менялись; оба CHR/SSH доступны, единичный401 CHR2 при контрольном чтении не повторился. [Deployment](ux-ui/acceptance/deploy-ipsec-section-2026-10-09.json), [smoke8 страниц](ux-ui/acceptance/deploy-browser-ipsec-section-2026-10-09.json).
+
+Очистка последнего цикла сравнила IPsec/PKI/GRE/IP/routes/IPv4 firewall/file metadata на обоих CHR: все проверки true. При восстановлении раннего цикла широкий отбор отклонила автоматическая проверка: выполнены инвентаризация и preflight17 точных ID/атрибутов собственного запуска, затем их разрешённая очистка. Удаление каталога flash наCHR2 отклонено отдельно: системное имя/пустота не доказывают ownership; каталог сохранён. Приватные .p12/.pass/.pem теста удалены, ключи не включены в отчёт/Git.
+
+| Референс | Схема и реальные экраны |
+| --- | --- |
+| [Data Grid Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Устройство/URL → достоверный срез → клиент; [ПК](ux-ui/screens/ipsec-real-clients-server1-1280-2026-10-09.png), [телефон](ux-ui/screens/ipsec-real-clients-server2-320-2026-10-09.png) |
+| [Sheet8](https://reui.io/preview/base/sheet-8?ref=mcp), [Tabs API/preview](https://reui.io/components/tabs?ref=mcp) | Peer/клиент → сохранение ввода → подтверждение API → возврат в тот же срез |
+
+```mermaid
+flowchart LR
+    A[Устройство и вкладка в URL] --> B{Достоверный срез?}
+    B -->|Нет| C[Ошибка и последние данные]
+    B -->|Да| D[Peer или клиент с явным ID]
+    D --> E[Форма и подтверждение API]
+    E --> F[Native проверка и возврат]
+```
+
+Остаточные границы: online/active-peer корреляция, настоящая выдача mode-config, NAT/интернет, IPv6, Windows/macOS/iOS/Android подключения, late failure receipts/DB/transport, history restore, многопроцессность, IPsec-specific live JWT/RBAC и throughput не приняты этим блоком. Основной раздел внедрён и принят в перечисленных сценариях; этап12.5 и эти профильные ограничения остаются открытыми.
@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-09

-Сервер161.104.46.222 предоставлен для временного тестирования. Backend/frontend ux-vxlan76, version1.0.0-test.vxlan76; backend/PostgreSQL healthy. SSH и оба CHR доступны с прежними доступами. Раздел VXLAN76 принят в описанных ниже границах; собственные объекты и временные выключенные DB записи удалены, selected baseline восстановлен.
+Сервер161.104.46.222 предоставлен для временного тестирования. Backend/frontend ux-ipsec77/version1.0.0-test.ipsec77; backend/PG healthy, frontend HTTP/browser passed. Основной блок IPsec77 принят в границах журнала, own fixtures/fake DB rows удалены; каталог flash CHR2 сохранён из-за неподтверждённого ownership. SSH/оба CHR доступны, пароли прежние.

 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -14,7 +14,7 @@
 | PostgreSQL | postgres:18-alpine,18.6;mmapp-test-postgres healthy;SELECT version() passed |
 | Данные | Отдельный Compose project mmapp-test,том mmapp-test_mmapp-pgdata и каталог ./data |
 | Доступ | PostgreSQL не публикуется;frontend3000/backend8000 привязаны к127.0.0.1 после запуска |
-| Образы приложения | mmapp-test/backend:ux-vxlan76 и mmapp-test/frontend:ux-vxlan76; запущены |
+| Образы приложения | mmapp-test/backend:ux-ipsec77 и mmapp-test/frontend:ux-ipsec77; запущены |

 Compose SHA256:3052bd6ab5d9865f97605cebfb5ff27a4410cd3357b81153a65a87fb7c92582f. OptionalBACKEND_IMAGE_TAG позволяетобновлятьbackendотдельно. Локальный и удалённый файлы совпали. Шаблоны: [Compose](../deploy/docker-compose.test.yml), [env без секретов](../deploy/env.test.example).

@@ -689,3 +689,9 @@ flowchart LR
 ```

 Границы: app VXLAN API read-only, create/delete выполнены native REST только на собственных объектах. IPv6/bridge/FDB/throughput/RBAC/concurrency и произвольный терминальный .rsc import не приняты; динамический ARP/FDB baseline не сравнивался. Первый запуск Edge в sandbox завершился до страницы; повторный разрешённый запуск прошёл. Этап12.5 целиком не закрыт. Следующий раздел12.5.77 — IPsec; остаточные VXLAN/WireGuard ограничения остаются в протоколе.
+
+## 12.5.77 — основной блок IPsec (2026-10-09)
+
+Актуальное продолжение 2026-10-09: 12.5.77 завершил укрупнённый основной блок IPsec: достоверное чтение, запрет опроса выключенных устройств, совместимый RouterOS7 мастер, раздельные ID клиентов, безопаснее удаление, URL устройства/вкладки, Docker обеих частей и реальная приёмка. Local30/30 + context6/6 + backend67, live browser4/4, PSK и сертификатный защищённый GRE/Ping3/3 на двух CHR; cleanup/DB controls passed. Runtime backend/frontend ux-ipsec77, version1.0.0-test.ipsec77. Следующий12.5.78 — остаточная профильная приёмка IPsec: сопоставление active-peer/online, выдача mode-config, поздние ошибки операций и история восстановления; затем маршрутизация. Этап12.5 открыт.
+
+Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
@@ -0,0 +1,45 @@
+{
+  "date": "2026-10-09",
+  "runtime": "ipsec77",
+  "httpMocks": false,
+  "cases": [
+    {
+      "serverId": 1,
+      "width": 1280,
+      "ready": true,
+      "serverAndTabUrlPreserved": true,
+      "peerPropertiesOnly": true,
+      "clientFormFits": true,
+      "noPageOverflow": true
+    },
+    {
+      "serverId": 1,
+      "width": 320,
+      "ready": true,
+      "serverAndTabUrlPreserved": true,
+      "peerPropertiesOnly": true,
+      "clientFormFits": true,
+      "noPageOverflow": true
+    },
+    {
+      "serverId": 2,
+      "width": 1280,
+      "ready": true,
+      "serverAndTabUrlPreserved": true,
+      "peerPropertiesOnly": true,
+      "clientFormFits": true,
+      "noPageOverflow": true
+    },
+    {
+      "serverId": 2,
+      "width": 320,
+      "ready": true,
+      "serverAndTabUrlPreserved": true,
+      "peerPropertiesOnly": true,
+      "clientFormFits": true,
+      "noPageOverflow": true
+    }
+  ],
+  "pageErrors": [],
+  "scope": "Real catalog, readiness, peer/client forms and URL reload; writes independently exercised through production HTTP/native checks"
+}
@@ -0,0 +1,50 @@
+{
+  "date": "2026-10-09",
+  "backendSource": "ipsec77",
+  "frontendSource": "ipsec77",
+  "httpMocks": false,
+  "pages": [
+    {
+      "path": "/dashboard",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/servers",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/uptime?tab=speed",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/settings",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/filters",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/wireguard",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/vxlan",
+      "status": 200,
+      "mobileFits": true
+    },
+    {
+      "path": "/ipsec",
+      "status": 200,
+      "mobileFits": true
+    }
+  ],
+  "pageErrors": [],
+  "badApiResponses": []
+}
@@ -0,0 +1,39 @@
+{
+  "date": "2026-10-09",
+  "version": "1.0.0-test.ipsec77",
+  "source": {
+    "baseHead": "e2d81f9",
+    "workingFileOverrides": 14,
+    "archiveSha256": "e0a034a855eb2d07696a1849c9baed738890e7c84108d5a3d6dbe652188bee9e",
+    "revisionLabel": "ipsec77"
+  },
+  "images": {
+    "backend": "sha256:a4a730666c4690d5147e92f6afcb7bb5ef35132a4a1b92d291738477b9aada443",
+    "frontend": "sha256:452b015751c5c26bc5492cdade76149140ef9e776cbad6927a151c6eead8f028"
+  },
+  "productionBuildsPassed": true,
+  "services": {
+    "running": 3,
+    "backend": "healthy",
+    "postgres": "healthy",
+    "frontend": "no healthcheck; HTTP/browser passed"
+  },
+  "backup": {
+    "bytes": 2510309,
+    "mode": "0600",
+    "pgRestoreListPassed": true,
+    "privateEnvPreserved": true
+  },
+  "databaseAfter": {
+    "servers": 2,
+    "speedHistory": 9,
+    "retentionDays": 14,
+    "migrations": 9
+  },
+  "previousVxlanImagesRetained": true,
+  "retainedMetadata": {
+    "serverId": 2,
+    "name": "flash",
+    "reason": "Automatic review rejected deletion without demonstrated ownership"
+  }
+}
@@ -0,0 +1,372 @@
+{
+  "date": "2026-10-09",
+  "runtime": "ipsec77",
+  "realRouterOs": true,
+  "name": "mm-ipsec-1791524379334",
+  "apiOperations": [
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=17",
+      "status": 200
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 404
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/peers/:id",
+      "status": 404
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/server/17",
+      "status": 404
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=18",
+      "status": 200
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 404
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/peers/:id",
+      "status": 404
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/server/18",
+      "status": 404
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=17",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec",
+      "status": 200
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/server/init",
+      "status": 201
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 201
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 409
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 400
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 404
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 201
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/server/init",
+      "status": 201
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 201
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 409
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 400
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 404
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "POST",
+      "path": "/ipsec/users",
+      "status": 201
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/peers/:id",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/peers/:id",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/peers/:id",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/peers/:id",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=1",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=1",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=2",
+      "status": 200
+    },
+    {
+      "method": "PATCH",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=2",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=1",
+      "status": 200
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/server/1",
+      "status": 200
+    },
+    {
+      "method": "GET",
+      "path": "/ipsec?serverId=2",
+      "status": 200
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/users/:id",
+      "status": 200
+    },
+    {
+      "method": "DELETE",
+      "path": "/ipsec/server/2",
+      "status": 200
+    }
+  ],
+  "cleanup": [
+    {
+      "serverId": 1,
+      "/ip/ipsec/identity": true,
+      "/ip/ipsec/peer": true,
+      "/ip/ipsec/policy": true,
+      "/ip/ipsec/profile": true,
+      "/ip/ipsec/proposal": true,
+      "/ip/ipsec/mode-config": true,
+      "/ip/pool": true,
+      "/ip/firewall/nat": true,
+      "/certificate": true,
+      "/interface/gre": true,
+      "/ip/address": true,
+      "/ip/route": true,
+      "/ip/firewall/filter": true,
+      "/ip/firewall/mangle": true,
+      "/file": true
+    },
+    {
+      "serverId": 2,
+      "/ip/ipsec/identity": true,
+      "/ip/ipsec/peer": true,
+      "/ip/ipsec/policy": true,
+      "/ip/ipsec/profile": true,
+      "/ip/ipsec/proposal": true,
+      "/ip/ipsec/mode-config": true,
+      "/ip/pool": true,
+      "/ip/firewall/nat": true,
+      "/certificate": true,
+      "/interface/gre": true,
+      "/ip/address": true,
+      "/ip/route": true,
+      "/ip/firewall/filter": true,
+      "/ip/firewall/mangle": true,
+      "/file": true
+    }
+  ],
+  "disabledChecks": [
+    {
+      "type": "home-router",
+      "readFailure": "disabled",
+      "mutationsStatus": 404,
+      "noNativeRequests": true
+    },
+    {
+      "type": "exit-node",
+      "readFailure": "disabled",
+      "mutationsStatus": 404,
+      "noNativeRequests": true
+    }
+  ],
+  "disabledNativeProbeCalls": 0,
+  "realReadFailure": {
+    "status": 401,
+    "noFalseEmptySummary": true,
+    "partialSuccessfulServers": 2,
+    "probeCalls": 16
+  },
+  "fakeRecordsRemoved": true,
+  "init": [
+    {
+      "serverId": 1,
+      "initialized": true,
+      "identityAuth": "digital-signature",
+      "certificateRole": "server"
+    },
+    {
+      "serverId": 2,
+      "initialized": true,
+      "identityAuth": "digital-signature",
+      "certificateRole": "server"
+    }
+  ],
+  "clientChecks": [
+    {
+      "serverId": 1,
+      "pskCreateToggleDuplicate": true,
+      "invalidIp400": true,
+      "missingPeer404": true,
+      "certificateIssued": true,
+      "pkcs12Validated": true,
+      "secretInPublicReport": false
+    },
+    {
+      "serverId": 2,
+      "pskCreateToggleDuplicate": true,
+      "invalidIp400": true,
+      "missingPeer404": true,
+      "certificateIssued": true,
+      "pkcs12Validated": true,
+      "secretInPublicReport": false
+    }
+  ],
+  "encryptedPings": [
+    {
+      "serverId": 1,
+      "received": 3,
+      "policyState": "established",
+      "installedSaCount": 2,
+      "nonzeroSaBytes": true
+    },
+    {
+      "serverId": 2,
+      "received": 3,
+      "policyState": "established",
+      "installedSaCount": 2,
+      "nonzeroSaBytes": true
+    }
+  ],
+  "importedCertificateNamesUnique": true,
+  "certificatePings": [
+    {
+      "serverId": 1,
+      "received": 3,
+      "policyState": "established",
+      "digitalSignatureConfigured": true,
+      "exportedClientCertificateUsed": true,
+      "nonzeroSaBytes": true
+    },
+    {
+      "serverId": 2,
+      "received": 3,
+      "policyState": "established",
+      "digitalSignatureConfigured": true,
+      "exportedClientCertificateUsed": true,
+      "nonzeroSaBytes": true
+    }
+  ],
+  "activePeerEvidence": [
+    {
+      "serverId": 1,
+      "active": []
+    },
+    {
+      "serverId": 2,
+      "active": []
+    }
+  ]
+}
@@ -0,0 +1,58 @@
+[
+  {
+    "path": "backend/package.json",
+    "sha256": "a257772b6dfa4a5789e8052050cfe108b6f17abcab60652b2d103e338352ce9e"
+  },
+  {
+    "path": "backend/src/routes/ipsec.ts",
+    "sha256": "0f659b83e1a6659fce430674c012b4b802d84c305e0c7cb2121e542e27ec5c05"
+  },
+  {
+    "path": "backend/src/services/entity-snapshots.ts",
+    "sha256": "3bfc9ec79b766bba78822f8cd0cb52c6a0f9275cce103230a8461fb4568d02c6"
+  },
+  {
+    "path": "backend/src/services/ipsec-ca.ts",
+    "sha256": "62d6dc31e825e72b5bb97fdbca148ed4a961b83f40c2fd26dae2ad02ca6e2499"
+  },
+  {
+    "path": "backend/src/services/ipsec-config.test.ts",
+    "sha256": "2b440b45d0e34badcbbb47805652c068edea1cf510e4800c8c2f34f9ac573c3f"
+  },
+  {
+    "path": "backend/src/services/ipsec-config.ts",
+    "sha256": "0211752033b34d9ab2b78ff7c211caac8a7785e68ecd32b155ed997eccb66c1d"
+  },
+  {
+    "path": "backend/src/services/ipsec-live.ts",
+    "sha256": "870c56d23ef7444588a9a95ea023426308da220675a86d426b86732ae2f4dd5c"
+  },
+  {
+    "path": "backend/src/services/ipsec-ros.ts",
+    "sha256": "f52dd291f916d20578614789825134882ce1669605225879459f6f92b0c1872b"
+  },
+  {
+    "path": "backend/src/services/ipsec-cleanup.ts",
+    "sha256": "08ffa7ad0ca1c9315720d80f1281279da0ccd4264c33abce9dda49df35050624"
+  },
+  {
+    "path": "backend/src/services/ipsec-state.test.ts",
+    "sha256": "bc81e603e94d947596fb2c8a1cd23ab06efdd0a2b2a4ffaee607b1a36b512385"
+  },
+  {
+    "path": "app/(main)/ipsec/page.tsx",
+    "sha256": "d1edad870a79161313c9718b2c448953dfa7a4e0e1ee7de4e5e478c8800fd558"
+  },
+  {
+    "path": "components/ipsec/ipsec-peer-sheet.tsx",
+    "sha256": "3cd72d864dc6fd34077f279e82fc3a1ee4e437e8c42b993957120f60a1419324"
+  },
+  {
+    "path": "tests/e2e/ipsec-links.spec.ts",
+    "sha256": "86909015ed7746047e5cb0d64f53d238fede520144dfb97fe2f537188964318f"
+  },
+  {
+    "path": "tests/e2e/ipsec-layout.spec.ts",
+    "sha256": "7c4fac163b0a26e175d60d63809724d4857f3672d05b1328049bf8a21ca4dc99"
+  }
+]