diff --git a/modify_resources/README.md b/modify_resources/README.md
new file mode 100644
index 0000000..c8eda22
--- /dev/null
+++ b/modify_resources/README.md
@@ -0,0 +1,45 @@
+# Ресурсы-модификаторы: аллокация IP на орге + SNAT на шлюзе
+
+Пример показывает два ресурса, которые выполняют операции `modify` над **уже существующими**
+услугами (создаются один раз вручную в ЛК):
+
+| Ресурс | Что делает | Параметр операции |
+|---|---|---|
+| `nubes_vc_org_ip_allocation` | выделяет внешние IP на организации Cloud Director | `vIPConfigure` (replace массива) |
+| `nubes_vc_nsxt_snat` | включает/выключает SNAT на сетевом шлюзе периметра | `ipSpaceName` (`no-needed` = выключено) |
+
+## Зачем они нужны
+
+В схеме ресурсов-инстансов (`nubes_vc_org`, `nubes_vc_nsxt`) эти параметры есть только в операции
+`modify`, а `create` их не отправляет. Поэтому «одним ресурсом» цепочку не собрать: отдельные
+ресурсы нужны, чтобы всё поднималось **в одном `apply`** и в правильном порядке.
+
+## Что нужно заполнить
+
+| Переменная | Где брать |
+|---|---|
+| `api_token` | ЛК → Профиль → Токены → «Технический» |
+| `org_uid` | UUID услуги «Организация в Cloud Director» (из URL карточки услуги в ЛК) |
+| `nsxt_uid` | UUID услуги «Сетевой шлюз периметра (Edge)» |
+| `ip_space_name` | Имя ipSpace, доступное организации (например `internet-ipv4-v1`) |
+| `ip_count` | Сколько внешних IP выделить (например `3`) |
+
+## Порядок и зависимости
+
+`nubes_vc_nsxt_snat` **обязан** зависеть от `nubes_vc_org_ip_allocation`: имя ipSpace берётся из
+аллокации организации. В примере это явный `depends_on`.
+
+## Удаление (destroy)
+
+- `nubes_vc_org_ip_allocation` — отправляет обратный `modify` с `count=0` (квота обнуляется);
+- `nubes_vc_nsxt_snat` — отправляет `ipSpaceName = "no-needed"` (SNAT выключается).
+
+Если снимать не нужно — поставь `keep_on_destroy = true`.
+
+## Запуск
+
+```bash
+terraform init
+terraform plan
+terraform apply
+```
diff --git a/modify_resources/main.tf b/modify_resources/main.tf
new file mode 100644
index 0000000..fa9034b
--- /dev/null
+++ b/modify_resources/main.tf
@@ -0,0 +1,83 @@
+terraform {
+  required_providers {
+    nubes = {
+      source  = "tf-registry.containerk8s.services.ngcloud.ru/nubes-dev/nubes"
+      version = "2.0.13"
+    }
+  }
+}
+
+provider "nubes" {
+  api_token    = var.api_token
+  api_endpoint = "https://lk-api-gateway-dev.ngcloud.ru/api/v1/svc"
+}
+
+variable "api_token" {
+  type        = string
+  sensitive   = true
+  description = "Nubes API token"
+}
+
+# Организация и шлюз создаются один раз вручную в ЛК и адресуются по uid.
+variable "org_uid" {
+  type        = string
+  description = "UUID услуги «Организация в Cloud Director»"
+}
+
+variable "nsxt_uid" {
+  type        = string
+  description = "UUID услуги «Сетевой шлюз периметра (Edge)»"
+}
+
+variable "ip_space_name" {
+  type        = string
+  description = "Имя ipSpace для внешнего IP (SNAT)"
+}
+
+variable "ip_count" {
+  type        = string
+  default     = "3"
+  description = "Сколько внешних IP выделить на организации"
+}
+
+# =============================================================================
+# 1. Аллокация внешних IP на организации (modify: vIPConfigure)
+#
+# Значение replace-семантики: массив перезаписывается ЦЕЛИКОМ, поэтому этот ресурс
+# владеет всей аллокацией, а не отдельным элементом.
+# =============================================================================
+
+resource "nubes_vc_org_ip_allocation" "this" {
+  org_uid = var.org_uid
+
+  vip_configure = jsonencode([
+    {
+      name  = var.ip_space_name
+      count = var.ip_count
+    }
+  ])
+
+  # Не снимать квоту при destroy (по умолчанию false — снимается: count=0).
+  keep_on_destroy = false
+}
+
+# =============================================================================
+# 2. SNAT на шлюзе периметра (modify: ipSpaceName)
+#
+# Зависит от аллокации: имя ipSpace должно быть выделено на организации.
+# Значение "no-needed" выключает SNAT.
+# =============================================================================
+
+resource "nubes_vc_nsxt_snat" "this" {
+  nsxt_uid      = var.nsxt_uid
+  ip_space_name = var.ip_space_name
+
+  keep_on_destroy = false
+
+  depends_on = [nubes_vc_org_ip_allocation.this]
+}
+
+output "allocated_ip_space" {
+  value       = var.ip_space_name
+  description = "ipSpace, выделенный на организации"
+}
diff --git a/modify_resources/terraform.tfvars.example b/modify_resources/terraform.tfvars.example
new file mode 100644
index 0000000..e78ddf3
--- /dev/null
+++ b/modify_resources/terraform.tfvars.example
@@ -0,0 +1,8 @@
+# Скопировать в terraform.tfvars и заполнить.
+
+api_token = "eyJ..."                                        # ЛК → Профиль → Токены → «Технический»
+org_uid   = "df5ec5f2-0000-0000-0000-000000000000"          # UUID услуги «Организация в Cloud Director»
+nsxt_uid  = "ad0ab577-0000-0000-0000-000000000000"          # UUID услуги «Сетевой шлюз периметра (Edge)»
+
+ip_space_name = "internet-ipv4-v1"
+ip_count      = "3"