fix(routes): читать рекурсивные маршруты с незаданными свойствами

.gitea/workflows/docker.yml

@@ -57,16 +57,31 @@ jobs:
         run: |
           set -euo pipefail
           NAME="mm-pg-${{ gitea.run_id }}-${{ gitea.run_attempt }}"
-          docker rm -f "$NAME" mm-pg 2>/dev/null || true
+          docker rm -f "$NAME" 2>/dev/null || true
-          HOST_PORT=$(python3 -c 'import socket; s=socket.socket(); s.bind(("127.0.0.1", 0)); print(s.getsockname()[1]); s.close()')
+          # Docker-backed Gitea runners execute this step in a separate container.
+          # Join its network; a published host loopback port is not reachable here.
+          NETWORKS=$(docker inspect --format '{{range $name, $network := .NetworkSettings.Networks}}{{println $name}}{{end}}' "$(cat /etc/hostname)" 2>/dev/null || true)
+          if [ -n "$NETWORKS" ]; then
+            test "$(printf '%s\n' "$NETWORKS" | wc -l)" -eq 1
+            NETWORK_ARGS=(--network "$NETWORKS" --network-alias "$NAME")
+            PG_HOST="$NAME"
+            PG_PORT=5432
+          else
+            # Host-based runners can use a Docker-assigned ephemeral host port.
+            NETWORK_ARGS=(-p 127.0.0.1::5432)
+            PG_HOST=127.0.0.1
+          fi
           docker run -d --name "$NAME" --rm \
             -e POSTGRES_USER=mmapp \
             -e POSTGRES_PASSWORD=mmapp \
             -e POSTGRES_DB=mmapp \
-            -p "127.0.0.1:${HOST_PORT}:5432" \
+            "${NETWORK_ARGS[@]}" \
             postgres:18-alpine
           echo "PG_CONTAINER=$NAME" >> "${GITHUB_ENV}"
-          echo "DATABASE_URL=postgres://mmapp:mmapp@127.0.0.1:${HOST_PORT}/mmapp" >> "${GITHUB_ENV}"
+          if [ "$PG_HOST" = 127.0.0.1 ]; then
+            PG_PORT=$(docker port "$NAME" 5432/tcp | awk -F: '{print $NF}')
+          fi
+          echo "DATABASE_URL=postgres://mmapp:mmapp@${PG_HOST}:${PG_PORT}/mmapp" >> "${GITHUB_ENV}"
           for i in $(seq 1 40); do
             if docker exec "$NAME" pg_isready -U mmapp -d mmapp; then
               exit 0
@@ -79,15 +94,27 @@ jobs:
 
       - name: Install and test backend
         shell: bash
+        env:
+          REQUIRE_TEST_POSTGRES: "1"
         run: |
           set -euo pipefail
           npm ci
+          node --input-type=module <<'NODE'
+          import pg from 'pg';
+          const pool = new pg.Pool({ connectionString: process.env.DATABASE_URL, connectionTimeoutMillis: 8000 });
+          try {
+            await pool.query('SELECT 1');
+            console.log('PostgreSQL reachable from the test process');
+          } finally {
+            await pool.end();
+          }
+          NODE
           npm run test --prefix backend
 
       - name: Stop PostgreSQL
         if: always()
         shell: bash
-        run: docker rm -f "${PG_CONTAINER:-}" mm-pg 2>/dev/null || true
+        run: docker rm -f "${PG_CONTAINER:-}" 2>/dev/null || true
 
   backend-image:
     needs:

app/(main)/filters/page.tsx

@@ -1676,11 +1676,17 @@ function FiltersPage() {
   }
   const openEdit = (rule: FilterRule) => {
     if (mutationsLocked || applyLock.current) return
+    // The observed catalog can have new DB IDs after refresh. Recover only an
+    // explicit recursive reference, never reinterpret a named GRE interface.
+    const routes = recRoutesByServer[selectedServerId] ?? []
+    const recursive = isRecursiveGatewayRef(rule.gatewayTunnelId)
+      ? routes.find(r => r.id === rule.gatewayTunnelId.slice(4)) ?? pickRecursiveRouteByGatewayHop(routes, rule.gateway)
+      : undefined
     setSheetInitial({
       action:          rule.action ?? "route",
       community:       rule.community,
       gateway:         rule.gateway,
-      gatewayTunnelId: rule.gatewayTunnelId,
+      gatewayTunnelId: recursive ? `rec:${recursive.id}` : rule.gatewayTunnelId,
       gatewayKind:     isRecursiveGatewayRef(rule.gatewayTunnelId) ? "recursive" : "gre",
       description:     rule.description,
     })

app/(main)/network-map/page.tsx

@@ -11,6 +11,7 @@ import {Dialog,DialogContent,DialogHeader,DialogTitle,DialogDescription} from "@
 import {usePrefersReducedMotion} from "@/hooks/use-prefers-reduced-motion"
 import {toast} from "sonner"
 import { PageHeader } from "@/components/page-header"
+import { NetworkMapLegend } from "@/components/network-map-legend"
 import {
   servers as mockServers,
   greTunnels as mockGreTunnels,
@@ -556,7 +557,7 @@ function GreEdgeMetricBadge({
     "Клик — панель справа."
   return (
     <g
-      role="button" aria-label={"Метрики "+(outerSummary??"связи")} tabIndex={0} className="focus-visible:outline-2 focus-visible:outline-ring"
+      role="button" aria-label={"Метрики "+(outerSummary??"связи")} tabIndex={0} className="network-map-focusable"
       onKeyDown={e=>{if(e.key==="Enter"||e.key===" "){e.preventDefault();e.stopPropagation();onOpen(e)}}}
       transform={`translate(${mx},${my})`}
       style={{ cursor: "pointer" }}
@@ -564,6 +565,7 @@ function GreEdgeMetricBadge({
       onClick={(e) => { e.stopPropagation(); onOpen(e) }}
     >
       <title>{hint}</title>
+      <rect className="network-map-focus-ring" x={-bw / 2 - 4} y={-bh / 2 - 4} width={bw + 8} height={bh + 8} rx="9" fill="none" stroke="var(--ring)" strokeWidth="2" />
       <rect
         x={-bw / 2}
         y={-bh / 2}
@@ -607,7 +609,7 @@ function NetflowRateBadge({
   const bh = showDir ? 32 : 20
   return (
     <g
-      role={onOpen?"button":undefined} aria-label={onOpen?"Поток NetFlow между узлами":undefined} tabIndex={onOpen?0:undefined} className="focus-visible:outline-2 focus-visible:outline-ring"
+      role={onOpen?"button":undefined} aria-label={onOpen?"Поток NetFlow между узлами":undefined} tabIndex={onOpen?0:undefined} className="network-map-focusable"
       onKeyDown={e=>{if(onOpen&&(e.key==="Enter"||e.key===" ")){e.preventDefault();e.stopPropagation();onOpen(e)}}}
       transform={`translate(${mx},${my})`}
       style={{ cursor: onOpen ? "pointer" : "default" }}
@@ -617,6 +619,7 @@ function NetflowRateBadge({
       <title>
         Поток NetFlow между узлами (как в «Трафик»: 5 мин, без overlay/mesh). Скорость канала — отдельно.
       </title>
+      <rect className="network-map-focus-ring" x={-bw / 2 - 4} y={-bh / 2 - 4} width={bw + 8} height={bh + 8} rx="9" fill="none" stroke="var(--ring)" strokeWidth="2" />
       <rect
         x={-bw / 2}
         y={-bh / 2}
@@ -687,7 +690,7 @@ function ServerNode({ labelScale = 1, n, isSel, isVis, isDragged, hideCatalogLat
   const ts = TYPE_STYLE[n.type]
 
   return (
-    <g className="focus-visible:outline-2 focus-visible:outline-ring" role="button" aria-label={"Устройство "+n.name} aria-pressed={isSel} tabIndex={isVis?0:-1}
+    <g className="network-map-focusable" role="button" aria-label={"Устройство "+n.name} aria-pressed={isSel} tabIndex={isVis?0:-1}
       onKeyDown={e=>{if(e.key==="Enter"||e.key===" "){e.preventDefault();e.stopPropagation();onClick()}}}
       transform={`translate(${n.x},${n.y})`}
       style={{ cursor: isDragged ? "grabbing" : "grab", transition: isDragged ? "none" : "opacity 0.25s" }}
@@ -699,6 +702,7 @@ function ServerNode({ labelScale = 1, n, isSel, isVis, isDragged, hideCatalogLat
       onMouseEnter={() => onHoverChange(true)}
       onMouseLeave={() => onHoverChange(false)}
     >
+      <circle className="network-map-focus-ring" r={ts.r + 6} fill="none" stroke="var(--ring)" strokeWidth="2" />
       {n.status === "online" && isVis && (
         <circle r={ts.r + 14} fill={ss.glow} opacity="0.7">
         </circle>
@@ -707,7 +711,7 @@ function ServerNode({ labelScale = 1, n, isSel, isVis, isDragged, hideCatalogLat
         <circle r={ts.r + 12} fill={ss.glow} />
       )}
       {isSel && (
-        <circle r={ts.r + 10} fill="none" stroke="var(--foreground)" strokeWidth="1.5" strokeDasharray="4 3" />
+        <circle r={ts.r + 10} fill="none" stroke="var(--foreground)" strokeWidth="1.5" strokeDasharray="4 3" opacity="0.45" />
       )}
       <circle r={ts.r} fill={ss.fill} stroke={ss.stroke} strokeWidth={isSel ? 2.5 : 1.8} />
       <g transform={`translate(${ts.r - 10},-${ts.r - 10})`}>
@@ -807,7 +811,7 @@ function ServiceNode({
   const bh = MAP_SERVICE_NODE_H
   const flagIso = destMode === "countries" && iso && iso !== "Прочее" ? iso : ""
   return (
-    <g role="button" aria-label={(destMode==="countries"?"Страна ":"Сервис ")+label} aria-pressed={isSel} tabIndex={isVis?0:-1} className="focus-visible:outline-2 focus-visible:outline-ring"
+    <g role="button" aria-label={(destMode==="countries"?"Страна ":"Сервис ")+label} aria-pressed={isSel} tabIndex={isVis?0:-1} className="network-map-focusable"
       onKeyDown={e=>{if(e.key==="Enter"||e.key===" "){e.preventDefault();e.stopPropagation();onClick()}}}
       transform={`translate(${x},${y})`}
       style={{ cursor: isDragged ? "grabbing" : "grab", transition: isDragged ? "none" : "opacity 0.25s" }}
@@ -816,6 +820,7 @@ function ServiceNode({
       onClick={(e) => { e.stopPropagation(); onClick() }}
     >
       <title>{`${label} · ${serviceSharePct(share)} ${shareLabel ?? "payload окна"}`}</title>
+      <rect className="network-map-focus-ring" x={-bw / 2 - 3} y={-bh / 2 - 3} width={bw + 6} height={bh + 6} rx="9" fill="none" stroke="var(--ring)" strokeWidth="2" />
       {isSel && (
         <rect
           x={-bw / 2 - 6}
@@ -925,12 +930,13 @@ function WanSatNode({ x, y, wan, color, active, isSel, isDragged, onSelect, onPo
 }) {
   const r = 18
   return (
-    <g role="button" aria-label={"Аплинк "+wan.name} aria-pressed={isSel} tabIndex={0} className="focus-visible:outline-2 focus-visible:outline-ring"
+    <g role="button" aria-label={"Аплинк "+wan.name} aria-pressed={isSel} tabIndex={0} className="network-map-focusable"
       onKeyDown={e=>{if(e.key==="Enter"||e.key===" "){e.preventDefault();e.stopPropagation();onSelect()}}}
       transform={`translate(${x},${y})`}
       style={{ cursor: isDragged ? "grabbing" : "grab" }}
       onPointerDown={e => { e.stopPropagation(); onPointerDown(e) }}
       onClick={e => { e.stopPropagation(); onSelect() }}>
+      <circle className="network-map-focus-ring" r={r + 4} fill="none" stroke="var(--ring)" strokeWidth="2" />
       {active && (
         <circle r={r + 6} fill={color} opacity="0.12">
         </circle>
@@ -1718,6 +1724,7 @@ function NetworkMapContent() {
     if (!svg) return
     // Clone with full viewBox (reset pan/zoom)
     const clone = svg.cloneNode(true) as SVGSVGElement
+    clone.querySelectorAll(".network-map-focus-ring").forEach(ring => ring.remove())
     clone.setAttribute("viewBox", `0 0 ${W} ${H}`)
     clone.setAttribute("width", String(W))
     clone.setAttribute("height", String(H))
@@ -2252,10 +2259,7 @@ function NetworkMapContent() {
 
         {/* ── Canvas ── */}
         <div ref={canvasRef} className={cn("flex-1 min-h-0 min-w-0 relative overflow-hidden bg-background select-none", (selected || selectedGreEdge || selectedService) && "hidden lg:block")}>
-          <details className="absolute top-3 left-3 z-20 rounded-md border bg-popover p-2 text-xs shadow-sm">
+          <NetworkMapLegend />
-            <summary className="cursor-pointer focus-visible:outline-2 focus-visible:outline-ring">Обозначения карты</summary>
-            <div className="mt-2 space-y-1"><p>HR · домашний роутер</p><p>JH · промежуточный узел</p><p>EN · выходной узел</p><p>Круг · устройство / WAN</p><p>Прямоугольник · сервис / страна</p><p>Пунктир WAN → JH · модель связности</p><p>Цвет · статус; неизвестно ≠ оффлайн</p></div>
-          </details>
           <p id="network-map-help" className="sr-only">Стрелки перемещают карту, плюс и минус меняют масштаб, F вписывает объекты. Tab выбирает объект, Enter открывает детали.</p>
           <svg
             ref={svgRef} role="group" aria-label="Интерактивная карта сети" tabIndex={0} aria-describedby="network-map-help"

app/globals.css

@@ -2,6 +2,18 @@
 @import "tw-animate-css";
 @import "shadcn/tailwind.css";
 
+/* SVG focus follows the object shape, never the text/foreignObject bounding box. */
+.network-map-focusable {
+  outline: none;
+}
+.network-map-focus-ring {
+  opacity: 0;
+  pointer-events: none;
+}
+.network-map-focusable:focus-visible > .network-map-focus-ring {
+  opacity: 1;
+}
+
 @custom-variant dark (&:is(.dark *));
 
 @theme inline {

backend/drizzle/0013_scheduler_retention_index.sql

@@ -0,0 +1,4 @@
+-- Retention runs after each scheduler receipt; avoid scanning the complete history.
+-- On a busy existing installation, pre-create this same index CONCURRENTLY
+-- outside a transaction before deploying (deploy/PRODUCTION-RETENTION-INDEX.md).
+CREATE INDEX IF NOT EXISTS idx_scheduler_runs_finished_at ON scheduler_runs (finished_at);

backend/package.json

@@ -22,8 +22,8 @@
     "test:traffic-rate": "tsx src/services/traffic-rate.test.ts && tsx src/services/traffic-observation.test.ts && tsx src/services/traffic-freshness.test.ts && tsx src/services/traffic-live.test.ts && tsx src/services/traffic-observation-sql.test.ts && tsx src/services/traffic-history-sql.test.ts && tsx src/services/traffic-live-sql.test.ts && tsx src/services/traffic-volume-sql.test.ts && tsx src/services/traffic-binding-status.test.ts && tsx src/services/traffic-status-sql.test.ts && tsx src/services/traffic-gap.test.ts && tsx src/services/traffic-identity.test.ts && tsx src/services/traffic-membership.test.ts && tsx src/services/traffic-aggregate-peak.test.ts && tsx src/services/traffic-users-cache.test.ts && tsx src/services/traffic-collection-lock.test.ts && tsx src/services/traffic-concurrency-sql.test.ts",
     "test:traffic-flow": "tsx src/routes/traffic-flow-query.test.ts && tsx src/services/traffic-flow-month.test.ts && tsx src/services/traffic-flow-parse.test.ts && tsx src/services/traffic-flow-ipv6-pipeline.test.ts && tsx src/services/traffic-flow-map-exporter.test.ts && tsx src/services/traffic-flow-ifaces.test.ts && tsx src/services/traffic-flow-ifindex.test.ts && tsx src/services/traffic-flow-dedup.test.ts && tsx src/services/traffic-flow-planes.test.ts && tsx src/services/traffic-flow-ip.test.ts && tsx src/services/traffic-flow-dest.test.ts && tsx src/services/traffic-flow-classify.test.ts && tsx src/services/traffic-flow-ripe.test.ts && tsx src/services/traffic-flow-brands.test.ts && tsx src/services/traffic-flow-ingest.test.ts && tsx src/services/traffic-flow-analytics.test.ts && tsx src/services/traffic-flow-map-hops.test.ts && tsx src/services/traffic-flow-purge.test.ts && tsx src/services/geoip-download.test.ts && tsx src/services/traffic-flow-geoip.test.ts && tsx src/services/traffic-flow-facts.test.ts && tsx src/services/traffic-flow-facts-filter.test.ts && tsx src/services/traffic-flow-facts-rebuild.test.ts && tsx src/services/statistics-aggregate.test.ts",
     "test:users": "tsx src/modules/users/iface-type.test.ts && tsx src/modules/users/bindings.test.ts && tsx src/modules/users/interface-inventory.test.ts && tsx src/routes/users-catalog.test.ts",
-    "test:pg": "tsx src/db/pg-pool.test.ts && tsx src/db/sql-bind.test.ts && tsx src/db/sqlite-json.test.ts && tsx src/db/traffic-flags.test.ts && tsx src/db/pg-schema.test.ts && tsx src/services/config-revisions.test.ts",
+    "test:pg": "tsx src/db/pg-pool.test.ts && tsx src/db/sql-bind.test.ts && tsx src/db/sqlite-json.test.ts && tsx src/db/traffic-flags.test.ts && tsx src/db/pg-schema.test.ts && tsx src/db/scheduler-retention-index.test.ts && tsx src/services/config-revisions.test.ts",
-    "test:recursive-routes": "tsx src/routes/recursive-routes.test.ts && tsx src/services/recursive-route-catalog.test.ts && tsx src/services/recursive-apply.test.ts",
+    "test:recursive-routes": "tsx src/routes/recursive-routes.test.ts && tsx src/services/recursive-route-catalog.test.ts && tsx src/services/recursive-effective-properties.test.ts && tsx src/services/recursive-apply.test.ts",
     "test:config-sync": "tsx src/utils/server-id.test.ts && tsx src/services/config-apply-plan.test.ts && tsx src/services/entity-snapshots.test.ts && tsx src/services/gre-native-identity.test.ts && tsx src/services/gre-ipv6.test.ts && tsx src/routes/gre-ipv6-validation.test.ts && tsx src/services/network-disabled-server.test.ts",
     "test:ros-file": "tsx src/services/ros-file-contents.test.ts && tsx src/services/mikrotik-response.test.ts",
     "test:scheduler": "tsx src/services/scheduler-running.test.ts && tsx src/services/scheduler-recorded-run.test.ts && tsx src/routes/scheduler.test.ts",

backend/src/db/scheduler-retention-index.test.ts

@@ -0,0 +1,33 @@
+import assert from "node:assert/strict"
+import { readFileSync } from "node:fs"
+import pg from "pg"
+import { env } from "../config.js"
+
+// No bootstrap/migrations against public tables: this test needs only a connection.
+const pool = new pg.Pool({ connectionString: env.DATABASE_URL, connectionTimeoutMillis: 8000, statement_timeout: 10000 })
+try {
+  const client = await pool.connect()
+  try {
+    await client.query("BEGIN")
+    // Temporary shadow table: public scheduler history is never changed.
+    await client.query("CREATE TEMP TABLE scheduler_runs(id integer PRIMARY KEY, finished_at timestamptz NOT NULL) ON COMMIT DROP")
+    await client.query(`INSERT INTO scheduler_runs SELECT i, now() - CASE WHEN i=1 THEN interval '60 days' ELSE i * interval '1 second' END FROM generate_series(1,20000) AS i`)
+    await client.query("ANALYZE scheduler_runs")
+    const cutoff = new Date(Date.now() - 30 * 86400_000).toISOString()
+    const plan = async () => JSON.stringify((await client.query("EXPLAIN (FORMAT JSON) SELECT id FROM scheduler_runs WHERE finished_at < $1", [cutoff])).rows)
+    assert.match(await plan(), /Seq Scan/)
+    const migration = readFileSync(new URL("../../drizzle/0013_scheduler_retention_index.sql", import.meta.url), "utf8")
+    await client.query(migration)
+    await client.query(migration)
+    assert.match(await plan(), /Index Scan|Bitmap Index Scan/)
+    assert.deepEqual((await client.query("SELECT id FROM scheduler_runs WHERE finished_at < $1", [cutoff])).rows, [{ id: 1 }])
+    const index = (await client.query("SELECT indisvalid FROM pg_index WHERE indrelid = 'pg_temp.scheduler_runs'::regclass AND indexrelid::regclass::text LIKE '%idx_scheduler_runs_finished_at'")).rows
+    assert.deepEqual(index, [{ indisvalid: true }])
+    console.log("Scheduler retention: actual migration/idempotence/valid index/selective plan/result preservation passed on 20,000 temporary rows")
+  } finally {
+    await client.query("ROLLBACK")
+    client.release()
+  }
+} finally {
+  await pool.end()
+}

backend/src/db/schema.ts

@@ -649,6 +649,7 @@ export const schedulerRuns = pgTable("scheduler_runs", {
   resultJson:  jsonb("result_json"),
 }, (t) => [
   index("idx_scheduler_runs_job_time").on(t.jobKey, t.startedAt),
+  index("idx_scheduler_runs_finished_at").on(t.finishedAt),
 ])
 
 export const events = pgTable("events", {

backend/src/routes/recursive-routes.test.ts

@@ -9,6 +9,7 @@ let rawReads = 0, lateReadFailure = false, applyError: Error | undefined
 let lookup = 0, writes = 0, revisions = 0, fail = false, stored = [row], payload: unknown = [row], revisionServer = 1, section = "recursive-routes"
 const observed = { ".id": "*1", static: "true", "dst-address": row.dstAddress, gateway: row.gateway, distance: "0", scope: "0", "target-scope": "0", "routing-table": "main", "check-gateway": "ping", disabled: "false", comment: "MikrotikManager:recursive Тест" }
 let rawPayload: unknown = [observed], rawFailure = false, savedSnapshots = 0
+let propertyFailure = false, propertyReads = 0
 const applied: Array<{ rows: typeof row[]; source: string }> = []
 const app = Fastify()
 app.setValidatorCompiler(validatorCompiler); app.setSerializerCompiler(serializerCompiler)
@@ -16,6 +17,7 @@ await app.register(createRecursiveRoutes({
  getServer: async id => { lookup++; return id === 1 ? server : undefined },
  getRoutes: async () => { if (lateReadFailure) throw Error("Сбой чтения после применения"); return stored },
  readRaw: async () => { rawReads++; if (rawFailure) throw new Error("Тест опроса"); return rawPayload },
+ readProperty: async (_server, _id, property) => { propertyReads++; if (propertyFailure) throw Error("Свойство недоступно"); return property === "disabled" ? { ret: "false" } : [] },
  saveObserved: async (_id, rows) => { savedSnapshots++; stored = rows as typeof row[] },
  apply: async (device, rows, source) => {
   assert.equal(device.id, 1); writes++; applied.push({ rows: rows as typeof row[], source })
@@ -85,6 +87,14 @@ rawFailure=true
 assert.equal((await app.inject({method:"GET",url:"/api/recursive-routes/catalog?serverId=1"})).statusCode,503)
 rawFailure=false;rawPayload=[]
 assert.deepEqual((await app.inject({method:"GET",url:"/api/recursive-routes/catalog?serverId=1"})).json(),{serverId:1,routes:[],live:true,stale:false})
+rawPayload=[{...observed,disabled:undefined,"check-gateway":undefined}]
+const recovered=await app.inject({method:"GET",url:"/api/recursive-routes/catalog?serverId=1"})
+assert.equal(recovered.statusCode,200);assert.equal(recovered.json().routes[0].disabled,false);assert.equal(recovered.json().routes[0].checkGateway,"none");assert.equal(propertyReads,2)
+propertyFailure=true
+const beforePropertyFailure=savedSnapshots
+const failedProperty=await app.inject({method:"GET",url:"/api/recursive-routes/catalog?serverId=1"})
+assert.equal(failedProperty.statusCode,503);assert.equal(failedProperty.json().routes,undefined);assert.equal(savedSnapshots,beforePropertyFailure)
+propertyFailure=false
 rawPayload=[{".id":"one",gateway:"192.0.2.1"}]
 assert.equal((await app.inject({method:"GET",url:"/api/recursive-routes/gateways/catalog?serverId=1"})).json().gateways[0].status,"unknown")
 for (const type of ["home-router", "exit-node"] as const) {

backend/src/routes/recursive-routes.ts

@@ -1,5 +1,5 @@
 import { recursiveApplyBodySchema, recursiveTargetSchema, recursiveInputRowsSchema } from '../services/recursive-route-validation.js'
-import { parseRecursiveCatalog, parseRecursiveGatewayCatalog } from "../services/recursive-route-catalog.js"
+import { parseRecursiveCatalog, parseRecursiveGatewayCatalog, readRecursiveEffectiveProperties, type RecursiveObservedProperty } from "../services/recursive-route-catalog.js"
 import { executeRecursiveApply, RecursiveApplyError } from "../services/recursive-apply.js"
 import { asc, eq } from "drizzle-orm"
 import { z } from "zod"
@@ -176,7 +176,8 @@ function recursiveFailureReceipt(error: unknown, result?: { pushed: number; dele
 
 export interface RecursiveRouteDependencies {
   getServer: (id: number) => Promise<ServerRow | undefined>
-  readRaw: (server: ServerRow) => Promise<unknown>
+  readRaw: (server: ServerRow, purpose?: "routes" | "gateways") => Promise<unknown>
+  readProperty: (server: ServerRow, id: string, property: RecursiveObservedProperty) => Promise<unknown>
   saveObserved: (serverId: number, routes: RecursiveRouteDto[]) => Promise<void>
   getRoutes: typeof mapDbRoutes
   apply: typeof applyRecursiveToServer
@@ -187,7 +188,15 @@ export function createRecursiveRoutes(overrides: Partial<RecursiveRouteDependenc
   const deps: RecursiveRouteDependencies = {
     getServer: async id => (await db.select().from(servers).where(eq(servers.id, id)).limit(1))[0],
     getRoutes: mapDbRoutes, apply: applyRecursiveToServer, getRevision: getRevisionById,
-    readRaw: server => MikrotikClient.fromServer(server).get<unknown>("/ip/route"),
+    readRaw: (server, purpose) => {
+      const client = MikrotikClient.fromServer(server)
+      // Every ownership marker is a comment. Keep all commented rows, including
+      // unsupported ones that must block an unsafe replacement of the managed set.
+      return purpose === "gateways"
+        ? client.get<unknown>("/ip/route?.proplist=.id,gateway,active")
+        : client.post<unknown>("/ip/route/print", { ".query": ["comment"] })
+    },
+    readProperty: (server, id, property) => MikrotikClient.fromServer(server).post("/ip/route/get", { ".id": id, "value-name": property }),
     saveObserved: async (serverId, routes) => {
       await replaceDbRoutes(serverId, routes)
       await appendRevisionIfChanged({ serverId, section: "recursive-routes", source: "observed", payload: canonicalRecursiveRoutes(routes) })
@@ -203,7 +212,8 @@ export function createRecursiveRoutes(overrides: Partial<RecursiveRouteDependenc
     if (!server) return reply.status(404).send({ error: "Server not found" })
     if (!server.enabled) return reply.status(409).send({ error: "Устройство отключено: опрос и применение маршрутов недоступны" })
     try {
-      const routes = mergeCachedCountry(parseRecursiveCatalog(await deps.readRaw(server)), await deps.getRoutes(serverId))
+      const observed = await readRecursiveEffectiveProperties(await deps.readRaw(server), (id, property) => deps.readProperty(server, id, property))
+      const routes = mergeCachedCountry(parseRecursiveCatalog(observed), await deps.getRoutes(serverId))
       await deps.saveObserved(serverId, routes)
       return reply.send({ serverId, routes, live: true, stale: false })
     } catch (error) {
@@ -217,7 +227,7 @@ export function createRecursiveRoutes(overrides: Partial<RecursiveRouteDependenc
     if (!server) return reply.status(404).send({ error: "Server not found" })
     if (!server.enabled) return reply.status(409).send({ error: "Устройство отключено: опрос и применение маршрутов недоступны" })
     try {
-      return reply.send({ serverId, gateways: parseRecursiveGatewayCatalog(await deps.readRaw(server)) })
+      return reply.send({ serverId, gateways: parseRecursiveGatewayCatalog(await deps.readRaw(server, "gateways")) })
     } catch (error) {
       return reply.status(503).send({ error: error instanceof Error ? error.message : "Не удалось прочитать шлюзы" })
     }

backend/src/services/mikrotik-response.test.ts

@@ -3,6 +3,27 @@ import assert from "node:assert/strict"
 import { createServer } from "node:http"
 import { MikrotikClient } from "./mikrotik.js"
 
+test("RouterOS print preserves native query arrays and property selection", async () => {
+  let received: unknown, target = "", method = ""
+  const server = createServer(async (req, res) => {
+    target = req.url ?? ""; method = req.method ?? ""
+    let body = ""; for await (const chunk of req) body += chunk.toString()
+    received = JSON.parse(body)
+    res.setHeader("content-type", "application/json"); res.end(JSON.stringify([{ ".id": "*1" }]))
+  })
+  await new Promise<void>(resolve => server.listen(0, "127.0.0.1", resolve))
+  const address = server.address(); assert(address && typeof address !== "string")
+  const client = new MikrotikClient({ host: "127.0.0.1", port: address.port, useSsl: false, verifySsl: false, username: "fixture", password: "fixture" })
+  try {
+    const result = await client.post("/ip/route/print", { ".query": ["comment"], ".proplist": [".id", "gateway"] })
+    assert.deepEqual(received, { ".query": ["comment"], ".proplist": [".id", "gateway"] })
+    assert.equal(target, "/rest/ip/route/print"); assert.equal(method, "POST")
+    assert.deepEqual(result, [{ ".id": "*1" }])
+  } finally {
+    await new Promise<void>((resolve, reject) => server.close(error => error ? reject(error) : resolve()))
+  }
+})
+
 test("RouterOS shared REST pool bounds logins across client instances and closes idle sockets", async () => {
   let active=0,peak=0,requests=0
   const connections=new Set<import("node:net").Socket>()

backend/src/services/mikrotik.ts

@@ -104,7 +104,7 @@ function rosRequest(
 function rosPost(
   params: MikrotikConnectParams,
   path: string,
-  body: Record<string, string>,
+  body: Record<string, string | string[]>,
   timeoutMs: number,
   externalSignal?: AbortSignal,
 ): Promise<unknown> {
@@ -595,7 +595,7 @@ export class MikrotikClient {
     return rosRequest(this.params, path, timeoutMs) as Promise<T>
   }
 
-  async post<T>(path: string, body: Record<string, string>, timeoutMs = 15_000, signal?: AbortSignal): Promise<T> {
+  async post<T>(path: string, body: Record<string, string | string[]>, timeoutMs = 15_000, signal?: AbortSignal): Promise<T> {
     return rosPost(this.params, path, body, timeoutMs, signal) as Promise<T>
   }
 

backend/src/services/recursive-effective-properties.test.ts

@@ -0,0 +1,44 @@
+import assert from "node:assert/strict"
+import { readRecursiveEffectiveProperties, parseRecursiveCatalog } from "./recursive-route-catalog.js"
+
+const row = { ".id": "*1", static: "true", "dst-address": "10.9.9.2/32", gateway: "192.0.2.1%gre-test", distance: "1", scope: "30", "target-scope": "10", "routing-table": "main", comment: "MikrotikManager:recursive Тест" }
+const calls: string[] = []
+const result = await readRecursiveEffectiveProperties([row], async (id, property) => {
+ calls.push(id + ":" + property)
+ return property === "disabled" ? { ret: "false" } : []
+})
+assert.equal(parseRecursiveCatalog(result)[0].disabled, false)
+assert.equal(parseRecursiveCatalog(result)[0].checkGateway, "none")
+assert.deepEqual(calls.sort(), ["*1:check-gateway", "*1:disabled"])
+assert.equal("disabled" in row, false)
+
+let reads = 0
+const complete = { ...row, disabled: "true", "check-gateway": "ping" }
+assert.deepEqual(await readRecursiveEffectiveProperties([complete, { ".id": "*other", comment: "user-owned" }], async () => { reads++; return null }), [complete, { ".id": "*other", comment: "user-owned" }])
+assert.equal(reads, 0)
+for (const payload of [null, {}, [null], [{ ...row, ".id": "" }], [row, row]]) {
+ await assert.rejects(readRecursiveEffectiveProperties(payload, async () => { reads++; return null }))
+ assert.equal(reads, 0)
+}
+for (const property of ["disabled", "check-gateway"] as const) {
+ for (const response of [null, {}, { ret: false }, { ret: "" }, { ret: "unknown" }, [{}], ...(property === "disabled" ? [[]] : [])]) {
+  const input = { ...complete }; delete (input as Record<string, unknown>)[property]
+  await assert.rejects(readRecursiveEffectiveProperties([input], async () => response), /Не подтверждён/)
+ }
+}
+await assert.rejects(readRecursiveEffectiveProperties([row], async () => { throw Error("RouterOS недоступен") }), /недоступен/)
+const explicit = await readRecursiveEffectiveProperties([row], async (_id, property) => ({ ret: property === "disabled" ? "true" : "bfd" }))
+assert.equal(parseRecursiveCatalog(explicit)[0].disabled, true)
+assert.equal(parseRecursiveCatalog(explicit)[0].checkGateway, "bfd")
+// Explicit invalid values are not replaced with defaults or re-read.
+const invalid = { ...complete, disabled: "unknown" }
+const untouched = await readRecursiveEffectiveProperties([invalid], async () => { throw Error("unexpected read") })
+assert.throws(() => parseRecursiveCatalog(untouched))
+let active = 0, maximum = 0
+await readRecursiveEffectiveProperties(Array.from({ length: 12 }, (_, i) => ({ ...row, ".id": "*" + i })), async (_id, property) => {
+ maximum = Math.max(maximum, ++active)
+ await new Promise(resolve => setTimeout(resolve, 1)); active--
+ return { ret: property === "disabled" ? "false" : "arp" }
+})
+assert.equal(maximum, 2)
+console.log("Recursive effective properties: omitted flags/unset check, strict envelopes, ownership, no mutation, errors and bounded reads passed")

backend/src/services/recursive-route-catalog.ts

@@ -13,6 +13,44 @@ function rawRows(payload: unknown): Array<Record<string, unknown>> {
 }
 function rosText(value: unknown): string | undefined { return typeof value === "string" ? value : undefined }
 function text(value: unknown): string | null { return typeof value === "string" && value.trim() ? value.trim() : null }
+export type RecursiveObservedProperty = "disabled" | "check-gateway"
+
+/** RouterOS print can omit unset properties. Ask get for the effective value,
+ * rather than interpreting an incomplete snapshot as enabled/no-check. */
+export async function readRecursiveEffectiveProperties(
+ payload: unknown,
+ readProperty: (id: string, property: RecursiveObservedProperty) => Promise<unknown>,
+): Promise<Array<Record<string, unknown>>> {
+ const rows = rawRows(payload).map(row => ({ ...row }))
+ const tasks: Array<{ row: Record<string, unknown>; property: RecursiveObservedProperty }> = []
+ for (const row of rows) {
+  if (typeof row.comment !== "string" || !isOwnedRecursiveComment(row.comment)) continue
+  for (const property of ["disabled", "check-gateway"] as const) {
+   if (row[property] === undefined) tasks.push({ row, property })
+  }
+ }
+ let cursor = 0, failed = false
+ await Promise.all(Array.from({ length: Math.min(2, tasks.length) }, async () => {
+  while (!failed && cursor < tasks.length) {
+   const { row, property } = tasks[cursor++]!
+   try {
+    const response = await readProperty(String(row[".id"]), property)
+    // An empty successful /get reply means the optional check is unset.
+    // Do not treat null, malformed envelopes or failed reads as defaults.
+    const unset = property === "check-gateway" && Array.isArray(response) && response.length === 0
+    const value = response && typeof response === "object" && !Array.isArray(response) && "ret" in response ? response.ret : undefined
+    if (property === "disabled") {
+     if (typeof value !== "string" || observedBoolean(value) === null) throw new Error("Не подтверждён disabled маршрута " + row[".id"])
+     row.disabled = observedBoolean(value) ? "true" : "false"
+    } else {
+     if (!unset && (typeof value !== "string" || !["none", "arp", "ping", "bfd"].includes(value))) throw new Error("Не подтверждён check-gateway маршрута " + row[".id"])
+     row[property] = unset ? "none" : value
+    }
+   } catch (error) { failed = true; throw error }
+  }
+ }))
+ return rows
+}
 export function parseRecursiveCatalog(payload: unknown): MappedRecursiveRoute[] {
  return rawRows(payload).filter(row => typeof row.comment === "string" && isOwnedRecursiveComment(row.comment)).map(row => {
   const id = String(row[".id"])

backend/src/test/pg.ts

@@ -10,6 +10,7 @@ export function withPgOrSkip(): Promise<boolean> {
         await initDatabase()
         return true
       } catch (err) {
+        if (process.env.REQUIRE_TEST_POSTGRES === "1") throw err
         console.warn(
           "skip: PostgreSQL недоступен",
           err instanceof Error ? err.message : err,

components/data-grids/filters-data-grid.tsx

@@ -77,7 +77,7 @@ function FilterGatewayCell({
     ? recursiveRoutes.find((r) => r.id === rule.gatewayTunnelId.slice(4))
     : undefined
   const recRowByHop =
-    !isBlackhole && !(rule.gatewayTunnelId ?? "").trim() && rule.gateway.trim()
+    !isBlackhole && !recRowByRef && (isRecRef || !(rule.gatewayTunnelId ?? "").trim()) && rule.gateway.trim()
       ? pickRecursiveRouteByGatewayHop(recursiveRoutes, rule.gateway)
       : undefined
   const recRow = recRowByRef ?? recRowByHop

components/network-map-legend.tsx

@@ -0,0 +1,47 @@
+"use client"
+
+import { useEffect, useRef } from "react"
+import { Badge } from "@/components/ui/badge"
+
+export function NetworkMapLegend() {
+  const details = useRef<HTMLDetailsElement>(null)
+  useEffect(() => {
+    if (window.matchMedia("(max-width: 767px)").matches && details.current) details.current.open = false
+  }, [])
+  return (
+    <details ref={details} open data-map-legend className="absolute left-3 top-3 z-20 max-w-[calc(100%-1.5rem)] rounded-lg border bg-popover text-popover-foreground shadow-sm">
+      <summary className="cursor-pointer px-3 py-2 text-xs font-semibold focus-visible:outline-2 focus-visible:outline-ring">Легенда карты</summary>
+      <div role="region" aria-label="Легенда карты" className="flex max-h-[42vh] w-44 max-w-full flex-col gap-2 overflow-y-auto border-t px-3 py-2 text-[11px]">
+        <div>
+          <p className="mb-1.5 font-medium text-muted-foreground">Статус устройства</p>
+          <div className="grid grid-cols-2 gap-x-2 gap-y-1.5">
+            {[["var(--status-online)", "Онлайн"], ["var(--status-degraded)", "Внимание"], ["var(--status-offline)", "Оффлайн"], ["var(--muted-foreground)", "Неизвестно"]].map(([color, label]) => (
+              <span key={label} className="flex items-center gap-1.5"><span aria-hidden className="size-2 shrink-0 rounded-full" style={{ background: color }} />{label}</span>
+            ))}
+          </div>
+        </div>
+        <div className="flex flex-col gap-1.5">
+          <p className="font-medium text-muted-foreground">Тип узла</p>
+          {[["JH", "JumpHost", "var(--chart-1)"], ["EN", "Exit Node", "var(--chart-3)"], ["HR", "Home Router", "var(--chart-2)"]].map(([label, name, color]) => (
+            <span key={label} className="flex items-center gap-2"><Badge variant="secondary" style={{ color }} className="min-w-8 justify-center text-[10px]">{label}</Badge><span>{name}</span></span>
+          ))}
+          <span className="flex items-center gap-2"><span aria-hidden className="mx-1 size-3 rounded-full border border-current" />WAN · аплинк</span>
+          <span className="flex items-center gap-2"><span aria-hidden className="mx-1 size-3 rounded border border-current" />Сервис / страна</span>
+        </div>
+        <div className="flex flex-col gap-1.5">
+          <p className="font-medium text-muted-foreground">Связи и измерения</p>
+          {[
+            ["GRE", "var(--status-online)", undefined],
+            ["GRE + IPsec", "var(--status-online)", "7 4"],
+            ["Поток NetFlow", "var(--chart-4)", "6 5"],
+            ["WAN → JH · модель", "var(--muted-foreground)", "5 4"],
+          ].map(([label, color, dash]) => (
+            <span key={label} className="flex items-center gap-2"><svg aria-hidden width="28" height="12" className="shrink-0"><line x1="0" y1="6" x2="28" y2="6" stroke={color} strokeWidth="2" strokeDasharray={dash} /></svg>{label}</span>
+          ))}
+          <p className="text-muted-foreground">RTT · задержка пробы. «—» · нет измерения.</p>
+          <p className="text-muted-foreground">NetFlow · трафик за 5 минут, не пропускная способность канала.</p>
+        </div>
+      </div>
+    </details>
+  )
+}

deploy/PRODUCTION-FRONTEND-269.md

@@ -0,0 +1,32 @@
+# Production frontend v2.0.1 — 2026-10-15
+
+Владелец отдельно разрешил обновить только frontend и проверить карту. До обновления публичный release-manifest и OCI labels работающего контейнера подтверждали2.0.0/72bf648c. Релиз2.0.1/042407f0 опубликован CI2467 успешно; публикация образа не обновила работающий frontend автоматически. Причина отсутствия узлов в старой версии — отклонение PostgreSQL polledAt (блок265).
+
+На production прочитаны настройки Compose только для сервиса frontend: проект cdn-mm, файл /opt/cdn-mm/docker-compose.yml, образ git.shx.one/denozord/mikrotikmanager-frontend:latest. Учётные данные/полная конфигурация не выводились.
+
+Проверенный образ:
+
+```text
+git.shx.one/denozord/mikrotikmanager-frontend@sha256:73ac48979084c0c93b77e75308a9e2f002481586704d0c03fd9a7b5e39511647
+version=2.0.1
+revision=042407f03ed935d26576cbd31dbaaca0e24d8a84
+```
+
+После pull по digest и проверки OCI revision выполнен локальный tag этого образа в frontend:latest, затем:
+
+```bash
+docker compose -p cdn-mm -f /opt/cdn-mm/docker-compose.yml up -d --no-deps --pull never frontend
+```
+
+Frontend started2026-10-15T16:22:46.626507761Z (23:22:46 Новосибирск), healthy. Публичный manifest200/version2.0.1. Backend/PostgreSQL сохранили container ID и StartedAt, не перезапускались; Compose-файл, БД, права и маршрутизаторы не менялись. Пересоздание frontend заняло около1,3с по Compose, это не измерение полной пользовательской загрузки.
+
+В браузере после reload подтверждены4 узла (3JH/1EN),4online,25 загруженных GRE; нарисованы3/25 связи. Ошибка первоначальной валидации исчезла, выбор устройства и экспорт доступны. Осталось ограничение read-only: POST network/resolve-hosts запрещён mm:network:write; связи по неразрешённым FQDN не подтверждены. Права не расширялись, все25 туннелей не объявляются подтверждёнными линиями. API до обновления: servers171мс, GRE498мс, speed-probes56мс; исправленная схема принимает4/25/0. Это разовый замер, не гарантия всех задержек.
+
+Старый образ оставлен локально для отката; автоматический prune не запускался. При отдельно согласованном откате:
+
+```bash
+docker tag sha256:59afb59c6b7322f339cc1b5cca9a0c9ae725fd04a45a135bf023ed81c6e528a2 git.shx.one/denozord/mikrotikmanager-frontend:latest
+docker compose -p cdn-mm -f /opt/cdn-mm/docker-compose.yml up -d --no-deps --pull never frontend
+```
+
+Откат возвращает и дефект карты. Исправление Filters0f0d3aa0 в образ2.0.1 не входит и остаётся локальным. Скриншот с production-данными сохранён приватно в игнорируемом tmp/prod-map269.jpg, в Git не включён.

deploy/PRODUCTION-RETENTION-INDEX.md

@@ -0,0 +1,50 @@
+# Индекс истории планировщика — 2026-10-15
+
+Диагностика production: scheduler_runs около1.06M строк/853МБ, retention DELETE после каждого задания, индекса finished_at нет. Наблюдалось ожидание IO/AioIoCompletion; EXPLAIN эквивалентного SELECT показал полный скан. Это подтверждает лишнюю нагрузку БД, но не доказывает причину каждого тайм-аута RouterOS.
+
+Миграция0013 создаёт индекс для новых установок и последующего старта backend. Для работающей установки ниже приведён отдельный online-вариант. **На production выполнен 2026-10-15, запуск в14:55:45 UTC, после разрешения владельца только на индекс и проверку нагрузки.** Создание индекса изменяет БД и временно добавляет нагрузку на CPU/диск.
+
+Подключение psql к текущему mmapp-postgres, без вывода пароля:
+
+```bash
+docker exec -it mmapp-postgres sh -c 'exec psql -X -v ON_ERROR_STOP=1 -U "$POSTGRES_USER" -d "$POSTGRES_DB"'
+```
+
+Сначала проверить, что имя не занято другим или невалидным индексом:
+
+```sql
+SELECT indexrelid::regclass, indisvalid, indisready, pg_get_indexdef(indexrelid)
+FROM pg_index WHERE indexrelid = to_regclass('public.idx_scheduler_runs_finished_at');
+```
+
+Если индекс отсутствует, выполнить **вне BEGIN/транзакции**:
+
+```sql
+SET lock_timeout = '5s';
+SET statement_timeout = '10min';
+CREATE INDEX CONCURRENTLY idx_scheduler_runs_finished_at
+ON public.scheduler_runs (finished_at);
+RESET statement_timeout;
+RESET lock_timeout;
+```
+
+При прерывании concurrent build не повторять вслепую с IF NOT EXISTS: сначала проверить indisvalid/indisready. Если остался невалидный индекс, отдельно согласовать его удаление и повторное построение.
+
+После успеха повторить проверку определения и валидности индекса, снять EXPLAIN условия retention и сравнить CPU/IO в нескольких окнах. При очень большой доле устаревших строк PostgreSQL может обоснованно выбрать Seq Scan; не отключать его принудительно. Срок хранения30 дней и код удаления не меняются. Индекс не удаляет записи и не требует перезапуска контейнеров.
+
+Удаление индекса, перезапуски и изменение ресурсов не входят в эту процедуру. Исправление карты — отдельный frontend-патч и само этим SQL не разворачивается.
+
+## Результат применения (2026-10-15)
+
+CREATE INDEX CONCURRENTLY завершён успешно; indisvalid/indisready=true. Повторная проверка в15:01:30 UTC:23МБ,697 использований индекса. EXPLAIN эквивалентного SELECT retention: Bitmap Heap Scan → Bitmap Index Scan idx_scheduler_runs_finished_at вместо Parallel Seq Scan. EXPLAIN ANALYZE DELETE не запускался.
+
+| Измерение | До индекса | После,14:56 UTC | После,15:00 UTC |
+| --- | --- | --- | --- |
+| CPU контейнера PostgreSQL, docker stats | 66,51% | 0,16% | 0,13% |
+| CPU idle сервера, секундные vmstat | 0% | 74–94% | 94–97% |
+| CPU iowait сервера, секундные vmstat | 29–34% | 0–5% | 0–1% |
+| IO pressure some avg10 | 63,67% | 1,70% | 0,48% |
+
+Первая строка vmstat (среднее с загрузки ОС) исключена из сравнения. Замеры показывают устойчивое улучшение в пределах нескольких минут обычной работы, а не нагрузочную приёмку или гарантию отсутствия всех тайм-аутов. PostgreSQL/контейнеры не перезапускались; ручное удаление данных, изменение retention и параметров приложения не выполнялись. Действующий штатный retention продолжал работать.
+
+Автоматическая проверка фактического SQL миграции выполнена на отдельном тестовом Debian в контейнере mmapp-test-backend:20тыс. временных строк, повторный запуск, валидность индекса, смена плана и сохранение результата выборки. Тест не запускает bootstrap и не изменяет public-таблицы. Backend build и scoped ESLint прошли. [Структурированный протокол](../docs/ux-ui/acceptance/prod266-retention.json).

docs/ux-ui-progress.md

@@ -1,6 +1,8 @@
 # UX/UI: журнал реализации
 
-Актуальное состояние 2026-10-15: 264 — лабораторная приёмка основного UX/UI-плана завершена в документированных границах стенда. Приняты1396 основных UI и221 отдельных context-сценарий;120 live default states30 экранов. Runtime backend258/frontend261. Непроверенные внешние группы сохранены в итоговом акте. Публикация main/2.0.0 отдельно разрешена владельцем; [описание релиза](releases/2.0.0.md).
+Актуальное состояние 2026-10-16: Production271 — подготовлено исправление чтения рекурсивных маршрутов JH, подтверждено native чтением всех3 JH. Локальные Filters268, визуальная карта270 и backend271 ещё не опубликованы; production frontend2.0.1 из269. Подробности и проверки ниже.
+
+Предыдущее состояние 2026-10-15: Production269 — по отдельному разрешению обновлён production frontend до2.0.1; в браузере подтверждены3JH/1EN и25GRE в данных. Filters268 остаётся локальным;6 профильных E2E/TypeScript passed. Карта и миграция retention опубликованы в main; исправлен CI PostgreSQL, backend-test2467/8417 success. Карта принята в production с ограничением read-only DNS; Filters ещё не развёрнут. Online-индекс266 применён отдельно с разрешения владельца; нагрузка БД снизилась в двух повторных замерах. Проверка трафика и причин остальных тайм-аутов продолжается отдельно. Лабораторная приёмка264 завершена в документированных границах стенда:1396 основных UI и221 context-сценарий;120 live default states30 экранов. Runtime стенда backend258/frontend261. Непроверенные внешние группы сохранены в итоговом акте. Production v2.0.0 подтверждён через UI; [описание релиза](releases/2.0.0.md).
 
 Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).
 
@@ -38,6 +40,52 @@
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Завершён2026-10-15 в границах предоставленного стенда:1396 UI/221 context,120 live states30 экранов, production builds/ReUI checklist и реальные интеграции. Ограничения — в [акте](ux-ui-acceptance-candidate.md); production-выпуск не выполнялся. |
 
+## Production271 — чтение рекурсивных маршрутов JH (2026-10-16)
+
+Production GET /recursive-routes/catalog на двух московских JH возвращал503 «Не подтверждены параметры управляемого маршрута», на новосибирском наблюдался отдельный10с timeout. Проверка native RouterOS чтением: список и GET конкретной строки не содержат disabled/check-gateway; /ip/route/get подтверждает disabled=false, незаданный check-gateway возвращает[]. Строгий parser сохранён; добавлено дочитывание отсутствующих полей только для собственных маршрутов, максимум2 запроса одновременно. Только успешный пустой get check-gateway означает none; null/неверный envelope/ошибка не становятся defaults. Explicit invalid значения не заменяются.
+
+Нагрузка чтения: полные таблицы12441/24864/12451 строк занимали2,4/8,0/2,1с. Каталог теперь использует штатный POST print с .query=[comment] (все комментарии, включая старые метки и неподдерживаемые owned строки), а не static-only фильтр, который мог бы скрыть неподдерживаемый объект. Отбор вернул12/13/7 строк за0,5/1,7/0,5с. Каталог шлюзов сохраняет все маршруты, но запрашивает только .id/gateway/active. Тип POST body расширен под штатные строковые массивы query/proplist, сериализация проверена настоящим локальным HTTP.
+
+Новый код в отдельном процессе на production проверен только чтением, без замены работающего backend:4/3/5 собственных маршрутов успешно разобраны за1,026/3,225/0,643с с7/4/3 дочитываниями. RouterOS-конфигурация не менялась, saveObserved/применение не вызывались. Это замер чтения/разбора, не всего UI; отдельная загрузка шлюзов в него не включена. Большой первоначальный tool input отклонён автоматической проверкой по размеру; читаемый скомпилированный скрипт передан частями через stdin, без файлов/секретов на сервере.
+
+Проверки:4 backend scripts recursive-routes passed;11 HTTP client tests passed;15 page E2E passed; backend build/scoped ESLint/diff check passed. В HTTP tests подтверждены восстановление omitted fields и503 без записи cache при ошибке get. [Анонимизированный протокол](ux-ui/acceptance/prod271-recursive.json), [официальный REST API](https://manual.mikrotik.com/docs/developer-guides/rest-api/). Изменение локальное, без push/deploy. Следующий шаг — согласовать публикацию готовых268/270/271 и обновление backend/frontend; текущая production-страница до этого сохраняет прежнюю ошибку. Остальные задержки/тайм-ауты не объявляются устранёнными.
+
+## Production270 — легенда и контуры фокуса карты (2026-10-15)
+
+По замечанию владельца выполнено сравнение с последним доступным тегом v1.42.0. Там легенда была раскрытой графической панелью, а выбранный узел имел полупрозрачный пунктирный круг. Текущий свёрнутый текстовый details заменён компонентом NetworkMapLegend: образцы статусов, JH/EN/HR, формы WAN/сервисов, GRE/IPsec/NetFlow/модель WAN→JH, пояснения RTT/неизвестных значений и различия потока и ёмкости. На ПК раскрыта, на телефоне изначально свёрнута, содержимое ограничено высотой со скроллом.
+
+Прямоугольный outline по SVG bounding box заменён на focus-visible контур по форме устройства/WAN/сервиса/метрики. Мышь его не показывает, Tab/Enter работают; выделение узла сохранено с opacity0.45 как в1.42. Контуры фокуса удаляются из клона при экспорте SVG, чтобы CSS-зависимое скрытие не создавало лишние обводки в файле. ReUI-примитивы не перерабатывались; Badge используется штатный, цвета — существующие semantic tokens.
+
+Проверки:13 прежних data E2E и4 новых UI E2E passed (legend desktop/mobile, pointer/keyboard focus, экспорт). TypeScript и scoped ESLint passed. Первый прогон выявил неточность текстового locator вокруг Badge; подпись выделена отдельным span и сценарий повторно прошёл. Скриншоты ПК/телефона просмотрены, после просмотра мобильная легенда сделана свёрнутой. Превью tmp/map270-desktop.png и tmp/map270-mobile.png вне Git. Финальная семантическая правка цвета образца GRE не меняет геометрию/поведение. Изменения локальные, без push/deploy; production остаётся2.0.1 из269. Следующий шаг — публикация подготовленных Filters268 и визуального патча270 после разрешения владельца; отдельно остаются read-only DNS и трафик.
+
+## Production269 — фактическое обновление frontend и узлы карты (2026-10-15)
+
+По повторной жалобе подтверждено: работающий frontend всё ещё2.0.0/72bf648c, хотя все jobs CI2467 завершились success и2.0.1 опубликован. API принимает исправленная схема4servers/25GRE/0probes, разовые задержки171/498/56мс. После отдельного разрешения владельца обновлён только frontend по проверенному digest2.0.1/042407f0; новый контейнер healthy, backend/PostgreSQL ID и StartedAt сохранены. Публичный manifest2.0.1 и браузер подтвердили4 узла (3JH/1EN),25GRE в данных и3 отображённые связи. Ошибка первичной валидации исчезла. Права read-only блокируют DNS resolve-hosts (mm:network:write), поэтому все линии/FQDN ещё не подтверждены; права не менялись. [Процедура и откат](../deploy/PRODUCTION-FRONTEND-269.md), приватный скриншот tmp/prod-map269.jpg вне Git. Блок268 Filters остаётся локальным и в этом обновлении отсутствует. Следующее действие — отдельная проверка read-only разрешения DNS и продолжение трафика; готовый Filters-патч требует публикации.
+
+## Production268 — рекурсивные шлюзы Filters после обновления каталога (2026-10-15)
+
+По production-скриншоту Filters показывает «рекурсивный маршрут (нет строки в списке)», хотя каталог формы содержит шлюз. Найден механизм: legacy GET /recursive-routes пересоздаёт строки recursive_routes, а правила могут сохранять прежние rec:id; таблица допускала поиск по hop только при пустой ссылке. Для явной рекурсивной ссылки с отсутствующим ID теперь используется уже имеющийся выбор активного маршрута по dst-address/hop и минимальной distance в каталоге выбранного устройства. Редактирование восстанавливает актуальный rec:id и выделение карточки. Именованный GRE не переопределяется по совпавшему IP; при реальном отсутствии маршрута предупреждение сохранено. Точная ссылка по ID сохраняет приоритет.
+
+6 E2E passed: две новые регрессии и существующие проверки gateway failure/save. Новый сценарий проверяет отображение, выделение, отсутствие записи до подтверждения и payload с новым rec:id; второй — настоящий orphan и GRE с совпавшим IP. TypeScript passed; scoped ESLint0 errors/11 прежних unused-import warnings в filters/page.tsx. Непривилегированный первый запуск E2E не поднял доступный локальный сервер и остановлен; проверки выполнены повторно с разрешением запуска локального сервера/браузера. Backend и production-конфигурация не менялись; механизм пересоздания cache ID этим frontend-патчем не перерабатывается. Исправление сохранено локально, без push/deploy. Следующий шаг — опубликовать этот патч и проверить production Filters после обновления frontend.
+
+## Production267 — подключение PostgreSQL в CI (2026-10-15)
+
+После push main backend-test2466/8410 завершился ECONNREFUSED: PostgreSQL публиковался на loopback Docker-хоста, но тестовый процесс работал в отдельном контейнере Gitea runner. Прежние SQL-тесты пропускали подключение; новый обязательный retention-тест выявил проблему. PostgreSQL теперь присоединяется к сети контейнера задания и доступен по уникальному DNS alias; для host runner сохранён вариант с назначенным Docker портом. Удаление общего mm-pg исключено, cleanup затрагивает только контейнер текущего запуска. Перед тестами выполняется SELECT1 из процесса задания; REQUIRE_TEST_POSTGRES=1 запрещает скрытый skip при недоступности/ошибке bootstrap.
+
+Workflow YAML/scoped ESLint/diff check прошли. Проверены оба режима helper на недоступном localhost-порту: локально false/skip, в обязательном режиме исходная ошибка подключения выходит наружу. После push042407f0 [backend-test2467/8417](https://git.shx.one/denozord/MikrotikManager/actions/runs/2467/jobs/8417) завершён success, включая retention20тыс. строк; обязательное подключение из тестового процесса подтверждено. Production этим блоком напрямую не изменялся.
+
+## Production266 — online-индекс retention и проверка нагрузки (2026-10-15)
+
+После прямого разрешения владельца только на индекс и проверку нагрузки в14:55:45 UTC запущен CREATE INDEX CONCURRENTLY idx_scheduler_runs_finished_at ON public.scheduler_runs(finished_at). Завершён успешно, indisvalid/indisready=true. В15:01:30 UTC индекс23МБ,697 использований; план эквивалентного SELECT сменился с Parallel Seq Scan на Bitmap Index Scan. PostgreSQL CPU66,51% →0,16% →0,13%; секундные vmstat iowait29–34% →0–5% →0–1%, CPU idle0% →74–94% →94–97%. Наблюдения ограничены несколькими минутами обычной нагрузки и не доказывают устранение каждого тайм-аута RouterOS.
+
+Добавлены миграция0013 и индекс в Drizzle schema, автоматический SQL-тест в test:pg, [процедура](../deploy/PRODUCTION-RETENTION-INDEX.md) и [протокол](ux-ui/acceptance/prod266-retention.json). Фактический тест выполнен на отдельном тестовом Debian:20тыс. временных строк, повторный запуск миграции, валидный индекс, смена плана, сохранение результата; fixture откатан. Bootstrap/public-таблицы тест не меняет. Backend build/scoped ESLint passed. Production-контейнеры не перезапускались; ручного удаления данных и изменения срока retention не было. Приложение не развёртывалось, push отсутствует. Следующее действие: завершить независимую проверку расчётов трафика и подготовить обновление REST history; применение frontend-патчей к production требует отдельного разрешения.
+
+## Production265 — исчезновение узлов карты и первичная диагностика (2026-10-15)
+
+Через выданный read-only аккаунт подтверждён production v2.0.0. Карта отклоняет все4 устройства: API polledAt имеет штатный PostgreSQL timestamptz string (+00), frontend требует ISO. В локальной ветке исправлена только нормализация явного offset; отсутствующая зона и невозможная дата по-прежнему отклоняются. Сохранённый приватный ответ production теперь проходит:4 servers/25 GRE/0 probes. Регрессия сначала воспроизведена новым unit test; после исправления6 unit и13 map E2E прошли, TypeScript/scoped ESLint passed. Production не обновлялся; push этого исправления не выполнялся.
+
+SSH только чтением:1 vCPU/1973MiB/no swap, PostgreSQL нагружает CPU/IO. Дважды наблюдался retention DELETE по scheduler_runs.finished_at: около1.06M live rows,853MB, нет индекса по этому столбцу. Исходник выполняет cleanup после каждого задания; EXPLAIN эквивалентного SELECT показывает Parallel Seq Scan. TCP443 из backend до4 устройств сейчас3–50ms; TLS/REST этим не приняты. Причинность всех10s тайм-аутов не установлена; очередь shared maxSockets2 входит в deadline. Трафик: live SSE актуален, REST history/list не обновляются автоматически; вычисления требуют отдельной проверки. [Анонимизированный протокол](ux-ui/acceptance/prod265-diagnostics.json). Приватные сырые ответы и учётные данные в Git не включаются. Следующее действие — подготовить и проверить индекс retention, продолжить трафик; применение DDL и развёртывание production требуют отдельного разрешения владельца, предоставившего доступ для чтения.
+
 ## Подготовка версии 2.0.0 (2026-10-15)
 
 По прямому поручению владельца публикация main/2.0 заменяет прежний режим только локальных коммитов. Добавлен major bump для breaking subject со scope/без scope и двух стандартных footer; CI запускает10 integration cases перед вычислением версии. Package.json и теги вручную не меняются. В выпуск включены накопленные изменения ReUI skills/portable MCP config и сохранённые снимки; локальные PID/cache и приватные fixtures не публикуются. Проверена новая история на известные приватные Portal credentials и шаблоны внешних токенов: совпадений0. [Состав и ограничения релиза](releases/2.0.0.md). Отправка main запускает существующую публикацию образов/релиза и настроенный deploy webhook. Фактический результат сборок определяется Gitea Actions. Первый запуск2464 отклонён валидатором Gitea28.1 до jobs: job-level secrets в if больше не принимается. После подтверждения причины read-only ViewPost по официальному handler условие перенесено в step if по job env; side effects webhook не расширены.

docs/ux-ui/acceptance/prod265-diagnostics.json

@@ -0,0 +1,78 @@
+{
+  "date": "2026-10-15",
+  "scope": "Production diagnosis using a read-only application account and read-only SSH/system/PostgreSQL inspection. No production deployment or configuration changes.",
+  "productionVersion": "2.0.0",
+  "map": {
+    "cause": "PostgreSQL polledAt text with explicit offset is rejected by the ISO-only map validator; the whole topology snapshot is discarded.",
+    "before": {
+      "serverValidationErrors": 4,
+      "field": "polledAt",
+      "error": "invalid_format"
+    },
+    "localFix": {
+      "preservesExplicitTimeZone": true,
+      "rejectsMissingZoneAndInvalidCalendarDate": true,
+      "exactPrivateResponseAccepted": {
+        "servers": 4,
+        "tunnels": 25,
+        "probes": 0
+      }
+    },
+    "checks": {
+      "unitPassed": 6,
+      "e2ePassed": 13,
+      "typescript": "passed",
+      "scopedEslint": "passed"
+    },
+    "deployed": false
+  },
+  "traffic": {
+    "confirmed": "REST history/list/detail load once per scope/retry; live SSE keeps updating separately. History can become stale while live rate is current.",
+    "calculationNotYetFullyAccepted": true,
+    "rawResponsesPrivate": true
+  },
+  "performance": {
+    "host": {
+      "vcpu": 1,
+      "memoryMiB": 1973,
+      "swapMiB": 0,
+      "loadAverage": [
+        4.62,
+        4.87,
+        5.09
+      ],
+      "rootUsedPercent": 46
+    },
+    "sample": {
+      "postgresCpuPercent": 66.51,
+      "postgresMemory": "642.6MiB",
+      "backendCpuPercent": 3.26,
+      "cpuIdlePercent": 0,
+      "ioWaitPercent": [
+        34,
+        29
+      ]
+    },
+    "schedulerRuns": {
+      "estimatedLiveRows": 1064090,
+      "tableSize": "853 MB",
+      "indexes": "primary key and (job_key, started_at), no finished_at index",
+      "observedActiveQuery": "DELETE FROM scheduler_runs WHERE finished_at < $1",
+      "wait": "IO/AioIoCompletion",
+      "retention": "30 days after every recorded scheduler job",
+      "explainEquivalentSelect": "Gather / Parallel Seq Scan"
+    },
+    "tcpConnectMsByAnonymousServerId": {
+      "1": 36,
+      "2": 3,
+      "3": 50,
+      "4": 6
+    },
+    "limits": [
+      "TCP connect success does not prove TLS/REST authentication or rule out previous failures.",
+      "The native HTTP client timeout also includes time queued in maxSockets=2; actual queue delay has not been measured.",
+      "Database temp-byte and deadlock counters are cumulative with an unknown reset epoch; not attributed to this release.",
+      "No proof that database pressure alone caused every REST timeout."
+    ]
+  }
+}

docs/ux-ui/acceptance/prod266-retention.json

@@ -0,0 +1,40 @@
+{
+  "date": "2026-10-15",
+  "authorization": "Only the retention index and load verification in production",
+  "productionAction": {
+    "startedAt": "2026-10-15T14:55:45Z",
+    "statement": "CREATE INDEX CONCURRENTLY idx_scheduler_runs_finished_at ON public.scheduler_runs (finished_at)",
+    "result": "success",
+    "valid": true,
+    "ready": true,
+    "verifiedAt": "2026-10-15T15:01:30Z",
+    "size": "23 MB",
+    "indexScans": 697,
+    "planBefore": "Parallel Seq Scan",
+    "planAfter": "Bitmap Heap Scan / Bitmap Index Scan idx_scheduler_runs_finished_at",
+    "restarts": false,
+    "manualDataDeletion": false,
+    "retentionPeriodChanged": false,
+    "applicationDeployed": false
+  },
+  "observations": [
+    { "period": "before", "postgresCpuPercent": 66.51, "hostIdlePercent": [0, 0], "hostIoWaitPercent": [29, 34], "ioPressureSomeAvg10Percent": 63.67 },
+    { "period": "2026-10-15T14:56Z", "postgresCpuPercent": 0.16, "hostIdlePercent": [74, 94], "hostIoWaitPercent": [0, 5], "ioPressureSomeAvg10Percent": 1.70 },
+    { "period": "2026-10-15T15:00Z", "postgresCpuPercent": 0.13, "hostIdlePercent": [94, 97], "hostIoWaitPercent": [0, 1], "ioPressureSomeAvg10Percent": 0.48 }
+  ],
+  "checks": {
+    "actualMigrationTest": "passed on separate test Debian; bundled from committed TypeScript source",
+    "temporaryRows": 20000,
+    "migrationIdempotence": "passed",
+    "selectivePlanAndResultPreservation": "passed",
+    "temporaryFixtureRolledBack": true,
+    "testBootstrapExecuted": false,
+    "backendBuild": "passed",
+    "scopedEslint": "passed"
+  },
+  "limitations": [
+    "Several-minute observations under ordinary workload, not a capacity benchmark",
+    "Not proof that every RouterOS timeout or interface stall has been resolved",
+    "Map fix remains local; traffic history refresh and numerical validation remain separate work"
+  ]
+}

docs/ux-ui/acceptance/prod271-recursive.json

@@ -0,0 +1,44 @@
+{
+  "date": "2026-10-16",
+  "scope": "Local backend fix plus read-only verification against production JH; no application deployment or RouterOS configuration writes",
+  "causes": [
+    "RouterOS list omitted disabled and check-gateway; strict catalog parser returned 503",
+    "The page loaded full 12k-25k routing tables; an observed 8-second read approached the 10-second timeout"
+  ],
+  "nativeObservations": {
+    "disabledGet": { "ret": "false" },
+    "unsetCheckGatewayGet": [],
+    "configurationWrites": 0
+  },
+  "fix": {
+    "routeList": "POST /ip/route/print with .query=[comment]; includes all ownership markers and unsupported commented rows",
+    "gatewayList": "GET /ip/route with .proplist=.id,gateway,active; retains all routes",
+    "missingProperties": "Read disabled/check-gateway via /ip/route/get only for owned rows with absent fields",
+    "maximumPropertyConcurrency": 2,
+    "emptySuccessfulCheckGet": "none",
+    "malformedAndFailedReads": "rejected, no successful empty snapshot or cache update"
+  },
+  "readOnlyVerification": [
+    { "serverId": 2, "fullRows": 12441, "fullReadMs": 2394, "commentedRows": 12, "commentedReadMs": 500, "parsedOwnedRows": 4, "effectivePropertyReads": 7, "combinedReadAndParseMs": 1026 },
+    { "serverId": 3, "fullRows": 24864, "fullReadMs": 7986, "commentedRows": 13, "commentedReadMs": 1697, "parsedOwnedRows": 3, "effectivePropertyReads": 4, "combinedReadAndParseMs": 3225 },
+    { "serverId": 4, "fullRows": 12451, "fullReadMs": 2106, "commentedRows": 7, "commentedReadMs": 488, "parsedOwnedRows": 5, "effectivePropertyReads": 3, "combinedReadAndParseMs": 643 }
+  ],
+  "checks": {
+    "recursiveBackendProfile": "4 scripts passed, including new effective-property tests and HTTP failure/no-cache coverage",
+    "routerOsHttpClient": "11 tests passed, including native query array serialization",
+    "recursivePageE2E": "15 passed",
+    "backendBuild": "passed",
+    "scopedEslint": "passed",
+    "gitDiffCheck": "passed"
+  },
+  "limitations": [
+    "Read-only native checks, not acceptance of a deployed HTTP/UI fix",
+    "One-off timings; gateway inventory remains a separate request and is not included in combinedReadAndParseMs",
+    "No broader timeout/connection-pool redesign or changes to native route application rules",
+    "Existing cache ID replacement behavior remains separate from this fix"
+  ],
+  "sources": [
+    "https://manual.mikrotik.com/docs/developer-guides/rest-api/",
+    "https://manual.mikrotik.com/docs/cli-reference/ip/route/"
+  ]
+}

lib/network-map-response.test.ts

@@ -2,6 +2,18 @@ import {test} from "node:test"
 import assert from "node:assert/strict"
 import {validateNetworkMapSnapshot} from "./network-map-response"
 const server={id:1,name:"Router",host:"192.0.2.1",type:"home-router",country:"RU",enabled:true,status:null,latency:0}
+test("network map retains jump and exit nodes with PostgreSQL timestamps",()=>{
+ const timestamps=["2026-10-15 13:46:40.855+00","2026-10-15 20:46:40.855+07","2026-10-15T13:46:40.855Z",null]
+ const rows=timestamps.map((polledAt,index)=>({...server,id:index+1,type:index===0?"exit-node":"jump-host",polledAt}))
+ const snapshot=validateNetworkMapSnapshot(rows,{tunnels:[],failures:[]},{probes:[]})
+ assert.equal(snapshot.servers.length,4)
+ assert.equal(snapshot.servers[0].type,"exit-node")
+ assert.equal(Date.parse(snapshot.servers[0].polledAt!),Date.parse(snapshot.servers[1].polledAt!))
+ assert.equal(snapshot.servers[3].polledAt,null)
+ for(const polledAt of ["2026-10-15 13:46:40.855","2026-02-30 13:46:40+00","not-a-date",42]) {
+  assert.throws(()=>validateNetworkMapSnapshot([{...server,polledAt}],{tunnels:[],failures:[]},{probes:[]}))
+ }
+})
 test("network map retains configured GRE IPsec without key material",()=>{
  const tunnel={id:"*1",serverId:"1",name:"own210",localAddress:"192.0.2.1",remoteAddress:"192.0.2.2",localInnerIp:"10.0.0.1/30",remoteInnerIp:"10.0.0.2/30",poolId:"",ipsec:{secret:""},mtu:1476,keepaliveInterval:60,keepaliveRetries:3,dscp:"inherit",clampTcpMss:true,allowFastPath:false,comment:"",enabled:true,status:"up"}
  const result=validateNetworkMapSnapshot([server],{tunnels:[tunnel],failures:[]},{probes:[]})

lib/network-map-response.ts

@@ -2,12 +2,18 @@ import {z} from "zod"
 import {optimizerServersSchema,optimizerProbesSchema} from "./route-optimizer-response"
 import {filtersGreResponseSchema} from "./filters-response"
 import {greResponseSchema} from "./gre-response"
+// Drizzle's string-mode timestamptz is returned as PostgreSQL text (+00),
+// while test/other API adapters may already return ISO. Preserve the explicit
+// offset and validate the resulting calendar date; never infer a missing zone.
+const mapObservedTime=z.preprocess(value=>typeof value==="string"
+ ?value.replace(/^(\d{4}-\d{2}-\d{2}) /,"$1T").replace(/([+-]\d{2})$/,"$1:00")
+ :value,z.string().datetime({offset:true}))
 export const networkMapServersSchema=z.array(optimizerServersSchema.element.extend({
  status:z.enum(["online","offline","degraded"]).nullable(),
  asn:z.string().optional(),comment:z.string().optional(),lanSubnet:z.string().optional(),os:z.string().nullable().optional(),
  sessions:z.number().int().nonnegative().nullable().optional(),uptime:z.string().nullable().optional(),
  cpuLoad:z.number().finite().min(0).max(100).nullable().optional(),freeMemory:z.number().int().nonnegative().nullable().optional(),totalMemory:z.number().int().nonnegative().nullable().optional(),
- polledAt:z.string().datetime({offset:true}).nullable().optional(),
+ polledAt:mapObservedTime.nullable().optional(),
 })).refine(rows=>new Set(rows.map(row=>row.id)).size===rows.length && rows.every(row=>row.freeMemory==null||row.totalMemory==null||row.freeMemory<=row.totalMemory))
 export type NetworkMapServerRow=z.infer<typeof networkMapServersSchema>[number]
 const mapGreSchema=z.object({tunnels:z.array(filtersGreResponseSchema.shape.tunnels.element).refine(rows=>new Set(rows.map(row=>JSON.stringify([row.serverId,row.id]))).size===rows.length),failures:greResponseSchema.shape.failures}).refine(data=>new Set(data.failures.map(row=>row.serverId)).size===data.failures.length&&!data.tunnels.some(tunnel=>data.failures.some(failure=>failure.serverId===tunnel.serverId)))

tests/e2e/filters-recursive-reference.spec.ts

@@ -0,0 +1,58 @@
+import { test, expect } from "@playwright/test"
+
+test("Filters: обновлённый ID рекурсивного маршрута не скрывает шлюз и выбор в форме", async ({ page }) => {
+  const rule = { id: "rule-1", community: "65001:120", gateway: "10.9.9.2", gatewayTunnelId: "rec:42", action: "route", description: "Маршрут" }
+  let writes = 0
+  let savedGatewayRef: string | undefined
+  await page.route("**/health", r => r.fulfill({ json: { ok: true } }))
+  await page.route("**/api/**", r => {
+    const path = new URL(r.request().url()).pathname
+    if (r.request().method() !== "GET") {
+      writes++
+      const payload = r.request().postDataJSON()
+      savedGatewayRef = payload.rules[0].gatewayTunnelId
+      return r.fulfill({ json: { ok: true, rules: payload.rules } })
+    }
+    return r.fulfill({ json: path === "/api/filters/rules" ? { rulesets: [{ serverId: "1", rules: [rule] }], live: true }
+      : path === "/api/servers" ? [{ id: 1, name: "Роутер", host: "192.0.2.1", type: "jump-host", enabled: true, country: "RU", status: "online", latency: 1 }]
+      : path === "/api/filters/gre-tunnels" ? { tunnels: [] }
+      : path === "/api/recursive-routes" ? { routes: [{ id: "99", dstAddress: "10.9.9.2/32", gateway: "192.0.2.2%gre-test", distance: 1, routingTable: "main", comment: "Рекурсивный тест", disabled: false }], stale: false }
+      : path === "/api/auth/config" ? { required: false } : {} })
+  })
+  await page.goto("/filters")
+  const row = page.locator("tr[data-row-id]").first()
+  await expect(row).toContainText("10.9.9.2/32")
+  await expect(row).not.toContainText("нет строки в списке")
+  await row.getByRole("button", { name: "Редактировать правило", exact: true }).click()
+  const dialog = page.getByRole("dialog")
+  await expect(dialog).toBeVisible()
+  await expect(dialog.getByRole("tab", { name: /Рекурсив/ })).toHaveAttribute("aria-selected", "true")
+  await expect(dialog.getByRole("button", { name: /10\.9\.9\.2\/32/ })).toHaveClass(/border-primary/)
+  await expect(dialog.getByText("Выберите рекурсивный маршрут", { exact: true })).toHaveCount(0)
+  expect(writes).toBe(0)
+  await dialog.getByRole("button", { name: "Сохранить", exact: true }).click()
+  await expect(dialog).toHaveCount(0)
+  expect(writes).toBe(1)
+  expect(savedGatewayRef).toBe("rec:99")
+})
+
+test("Filters: отсутствующий маршрут и именованный GRE не подменяются по совпавшему IP", async ({ page }) => {
+  const rules = [
+    { id: "orphan", community: "65001:120", gateway: "10.9.9.3", gatewayTunnelId: "rec:42", action: "route", description: "Нет маршрута" },
+    { id: "gre", community: "65001:130", gateway: "10.9.9.2", gatewayTunnelId: "gre-test", action: "route", description: "Это GRE" },
+  ]
+  await page.route("**/health", r => r.fulfill({ json: { ok: true } }))
+  await page.route("**/api/**", r => {
+    const path = new URL(r.request().url()).pathname
+    return r.fulfill({ json: path === "/api/filters/rules" ? { rulesets: [{ serverId: "1", rules }], live: true }
+      : path === "/api/servers" ? [{ id: 1, name: "Роутер", host: "192.0.2.1", type: "jump-host", enabled: true, country: "RU", status: "online", latency: 1 }]
+      : path === "/api/filters/gre-tunnels" ? { tunnels: [] }
+      : path === "/api/recursive-routes" ? { routes: [{ id: "99", dstAddress: "10.9.9.2/32", gateway: "192.0.2.2", distance: 1, routingTable: "main", comment: "", disabled: false }], stale: false }
+      : path === "/api/auth/config" ? { required: false } : {} })
+  })
+  await page.goto("/filters")
+  const rows = page.locator("tr[data-row-id]")
+  await expect(rows).toHaveCount(2)
+  await expect(rows.nth(0)).toContainText("нет строки в списке")
+  await expect(rows.nth(1)).not.toContainText("recursive")
+})

tests/e2e/network-map-data.spec.ts

@@ -1,6 +1,17 @@
 import {test,expect} from "@playwright/test"
 const paths={servers:"/api/servers",gre:"/api/filters/gre-tunnels",probes:"/api/uptime/speed-probes"} as const
 const body=(path:string,name="Роутер")=>path===paths.servers?[{id:1,name,host:"192.0.2.1",type:"home-router",country:"RU",enabled:true,status:"online",latency:0}]:path===paths.gre?{tunnels:[],failures:[]}:path===paths.probes?{probes:[]}:path==="/api/auth/config"?{required:false}:{}
+test("Карта: PostgreSQL даты не скрывают JumpHost и Exit Node",async({page})=>{
+ await page.route("**/health",r=>r.fulfill({json:{ok:true}}))
+ const rows=[{id:1,name:"Узел JH",host:"192.0.2.1",type:"jump-host",country:"RU",enabled:true,status:"online",polledAt:"2026-10-15 13:46:40.855+00"},{id:2,name:"Узел EN",host:"192.0.2.2",type:"exit-node",country:"SE",enabled:true,status:"online",polledAt:"2026-10-15 20:46:40.855+07"}]
+ await page.route("**/api/**",r=>{const p=new URL(r.request().url()).pathname;return r.fulfill({json:p===paths.servers?rows:body(p)})})
+ await page.goto("/network-map")
+ const map=page.getByRole("group",{name:"Интерактивная карта сети"})
+ await expect(map.getByText("Узел JH",{exact:true})).toBeVisible()
+ await expect(map.getByText("Узел EN",{exact:true})).toBeVisible()
+ await expect(page.getByRole("combobox",{name:"Устройство на карте"})).toBeEnabled()
+ await expect(page.getByRole("alert").filter({hasText:"Первоначальная загрузка карты"})).toHaveCount(0)
+})
 for(const part of ["servers","gre","probes"] as const)for(const malformed of [false,true])test("Карта: первоначальный отказ и повтор "+part+"/"+malformed,async({page})=>{
  let failing=true
  await page.route("**/health",r=>r.fulfill({json:{ok:true}}))

tests/e2e/network-map-legend.spec.ts

@@ -0,0 +1,74 @@
+import { test, expect } from "@playwright/test"
+const emptyFlow = { hops: [], live: false, rangeMinutes: 5, windowSec: 300, totalBytes: 0, namedBytes: 0, unclassifiedBytes: 0, asnLoaded: false, countryLoaded: false, services: [], serviceEdges: [], servicePaths: [], countries: [], countryEdges: [], countryPaths: [], countryServiceGroups: [], mapServiceMinSharePct: 5, dedupApplied: false, excludeMeshApplied: false, excludeOverlayApplied: false }
+
+test.beforeEach(async ({ page }) => {
+  await page.route("**/health", r => r.fulfill({ json: { ok: true } }))
+  await page.route("**/api/**", r => {
+    const path = new URL(r.request().url()).pathname
+    return r.fulfill({ json: path === "/api/servers" ? [
+      { id: 1, name: "Тест JH", host: "192.0.2.1", type: "jump-host", country: "RU", enabled: true, status: "online" },
+      { id: 2, name: "Тест EN", host: "192.0.2.2", type: "exit-node", country: "SE", enabled: true, status: "online" },
+    ] : path === "/api/filters/gre-tunnels" ? { tunnels: [], failures: [] }
+      : path === "/api/uptime/speed-probes" ? { probes: [] }
+      : path === "/api/traffic/flow/map-hops" ? emptyFlow
+      : path === "/api/auth/config" ? { required: false } : {} })
+  })
+})
+
+test("Карта: раскрытая легенда объясняет статусы, типы, линии и неизвестные измерения", async ({ page }) => {
+  await page.goto("/network-map")
+  const legend = page.getByRole("region", { name: "Легенда карты" })
+  await expect(legend).toBeVisible()
+  for (const text of ["Онлайн", "Внимание", "Оффлайн", "Неизвестно", "JumpHost", "Exit Node", "Home Router", "GRE + IPsec", "Поток NetFlow"]) await expect(legend.getByText(text, { exact: true })).toBeVisible()
+  await expect(legend).toContainText("нет измерения")
+  await expect(legend).toContainText("не пропускная способность канала")
+  await page.locator("[data-map-legend] summary").click()
+  await expect(legend).not.toBeVisible()
+  await page.locator("[data-map-legend] summary").press("Enter")
+  await expect(legend).toBeVisible()
+  await legend.getByText("Онлайн", { exact: true }).click()
+  await page.screenshot({ path: "tmp/map270-desktop.png" })
+})
+
+test("Карта: мышь не рисует прямоугольную рамку, клавиатурный фокус остаётся видимым", async ({ page }) => {
+  await page.goto("/network-map")
+  const node = page.getByRole("button", { name: "Устройство Тест JH", exact: true })
+  await expect(node).toBeVisible()
+  await node.click()
+  await expect(node).toHaveCSS("outline-style", "none")
+  await expect(node.locator(":scope > .network-map-focus-ring")).toHaveCSS("opacity", "0")
+  // Return to this object through real keyboard navigation, not programmatic focus.
+  await node.press("Shift+Tab")
+  await page.keyboard.press("Tab")
+  await expect(node).toBeFocused()
+  await expect(node.locator(":scope > .network-map-focus-ring")).toHaveCSS("opacity", "1")
+  await node.press("Enter")
+  await expect(node).toHaveAttribute("aria-pressed", "false")
+})
+
+test("Карта: легенда помещается на телефоне и сворачивается", async ({ page }) => {
+  await page.setViewportSize({ width: 390, height: 844 })
+  await page.goto("/network-map")
+  const legend = page.getByRole("region", { name: "Легенда карты" })
+  await expect(page.locator("[data-map-legend]")).not.toHaveAttribute("open", "")
+  await page.screenshot({ path: "tmp/map270-mobile.png" })
+  await page.locator("[data-map-legend] summary").click()
+  await expect(legend).toBeVisible()
+  const bounds = await legend.boundingBox()
+  expect(bounds!.x).toBeGreaterThanOrEqual(0)
+  expect(bounds!.x + bounds!.width).toBeLessThanOrEqual(390)
+  await page.locator("[data-map-legend] summary").click()
+  await expect(legend).not.toBeVisible()
+})
+
+test("Карта: экспорт не добавляет клавиатурные контуры всем объектам", async ({ page }) => {
+  await page.goto("/network-map")
+  await expect(page.getByRole("button", { name: "Устройство Тест JH", exact: true })).toBeVisible()
+  const download = page.waitForEvent("download")
+  await page.getByRole("button", { name: "Экспорт SVG", exact: true }).click()
+  const stream = await (await download).createReadStream()
+  let svg = ""
+  for await (const chunk of stream!) svg += chunk.toString()
+  expect(svg).not.toContain("network-map-focus-ring")
+  expect(svg).toContain("Тест JH")
+})