fix(ipsec): исправить статус клиента с полным DN сертификата

backend/src/services/ipsec-certificate-dn.ts

@@ -0,0 +1,18 @@
+/** RouterOS active-peers.id uses the certificate subject in this field order.
+ * Values are printed verbatim, including commas/plus signs, so parsing the ID
+ * or matching a CN substring would misidentify subjects. Compare the complete
+ * rendered subject and reject collisions in the caller instead.
+ */
+export function routerOsCertificateDn(cert: Record<string, string | undefined>): string | undefined {
+  const fields = [["C", "country"], ["S", "state"], ["L", "locality"],
+    ["O", "organization"], ["OU", "unit"], ["CN", "common-name"]] as const
+  if (!cert["common-name"]) return undefined
+  const parts: string[] = []
+  for (const [attribute, field] of fields) {
+    const value = cert[field]
+    if (value === undefined || value === "") continue
+    if (typeof value !== "string" || /[\u0000\r\n]/.test(value)) return undefined
+    parts.push(`${attribute}=${value}`)
+  }
+  return parts.join(", ")
+}

backend/src/services/ipsec-live.ts

@@ -28,6 +28,7 @@ import {
   selectSharedIke2Identity,
 } from "./ipsec-config.js"
 import { certificateRole, type CertificateRoleContext } from "./certificate-parse.js"
+import { routerOsCertificateDn } from "./ipsec-certificate-dn.js"
 import {
   canonicalIpsecSnapshot,
   type IpsecLiveIdentity,
@@ -248,10 +249,24 @@ export function mapClients(state: IpsecServerState): IpsecClientDto[] {
   const sharedRosId = shared?.[".id"] ? String(shared[".id"]) : undefined
 
   const activeByRemote = new Map<string, RosIpsecActivePeer>()
+  const ambiguousRemoteIds = new Set<string>()
   for (const a of state.active) {
     if (a.state !== "established") continue
     const rid = String(a.id ?? a["remote-id"] ?? "").trim()
-    if (rid) activeByRemote.set(rid, a)
+    if (rid) {
+      if (activeByRemote.has(rid)) ambiguousRemoteIds.add(rid)
+      else activeByRemote.set(rid, a)
+    }
+  }
+  for (const rid of ambiguousRemoteIds) activeByRemote.delete(rid)
+
+  const subjectCounts = new Map<string, number>()
+  const cnCounts = new Map<string, number>()
+  for (const cert of state.certs) {
+    const subject = routerOsCertificateDn(cert)
+    if (subject) subjectCounts.set(subject, (subjectCounts.get(subject) ?? 0) + 1)
+    const cn = cert["common-name"]
+    if (cn) cnCounts.set(cn, (cnCounts.get(cn) ?? 0) + 1)
   }
 
   // RouterOS 7 active-peers.id contains the received value without its configured type prefix.
@@ -286,10 +301,10 @@ export function mapClients(state: IpsecServerState): IpsecClientDto[] {
     const comment = identity?.comment ?? ""
     const mcName = (identity?.["mode-config"] ?? "").trim()
     const cn = String(cert["common-name"] ?? "").trim()
-    // Our issued certificates have a single CN subject; match the whole DN, never a CN substring.
-    const singleCn = cn && !/[,+=<>;\\"\u0000]/.test(cn) && state.certs.filter(c => c["common-name"] === cn).length === 1
-      ? activeByRemote.get(`CN=${cn}`) : undefined
-    const active = (cn ? findActive(cn) : undefined) ?? singleCn
+    const subject = routerOsCertificateDn(cert)
+    const bySubject = subject && subjectCounts.get(subject) === 1 ? activeByRemote.get(subject) : undefined
+    const uniqueCn = cn && cnCounts.get(cn) === 1
+    const active = (uniqueCn ? findActive(cn) : undefined) ?? bySubject
       ?? (identity?.["remote-id"] ? findActive(String(identity["remote-id"]).trim()) : undefined)
     out.push({
       id: `${server.id}:${identity ? "identity" : "cert"}:${String(identity?.[".id"] ?? cert[".id"] ?? certName)}`,

backend/src/services/ipsec-state.test.ts

@@ -99,4 +99,34 @@ assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false
 state.active[0]!.id = "CN=Original CN"
 state.certs.push({ ".id": "*DUPCN", name: "duplicate-cn", "common-name": "Original CN", ca: "ca", "key-usage": "tls-client" })
 assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false); checks++
+state.certs = state.certs.filter(c => c[".id"] !== "*DUPCN")
+const certificate = state.certs.find(c => c.name === "client")!
+Object.assign(certificate, { country: "US", organization: "Example, Ltd", unit: "QA+Operations", "common-name": 'QA, Team+VPN="client"\\Lab' })
+state.active[0]!.id = 'C=US, O=Example, Ltd, OU=QA+Operations, CN=QA, Team+VPN="client"\\Lab'
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, true); checks++
+assert.equal(mapClients(state).find(c => c.certName === "client")?.activeAddress, "198.18.79.250"); checks++
+state.active[0]!.id += ", O=Other"
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false); checks++
+state.active[0]!.id = 'C=US, O=Example, Ltd, OU=QA+Operations, CN=QA, Team+VPN="client"\\Lab'
+// An exact duplicate subject must never be attributed to either certificate.
+state.certs.push({ ...certificate, ".id": "*DUPSUBJECT", name: "duplicate-subject" })
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false); checks++
+state.certs = state.certs.filter(c => c[".id"] !== "*DUPSUBJECT")
+// Different attribute tuples can have the same unescaped RouterOS rendering.
+Object.assign(certificate, { organization: "Example, OU=QA", unit: "Ops" })
+state.active[0]!.id = 'C=US, O=Example, OU=QA, OU=Ops, CN=QA, Team+VPN="client"\\Lab'
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, true); checks++
+state.certs.push({ ...certificate, ".id": "*AMBIGUOUS", name: "ambiguous-subject", organization: "Example", unit: "QA, OU=Ops" })
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false); checks++
+state.certs = state.certs.filter(c => c[".id"] !== "*AMBIGUOUS")
+Object.assign(certificate, { organization: "Example, Ltd", unit: "QA+Operations" })
+state.active[0]!.id = 'C=US, O=Example, Ltd, OU=QA+Operations, CN=QA, Team+VPN="client"\\Lab'
+state.active.push({ ...state.active[0]!, ".id": "*DUPSESSION", "dynamic-address": "198.18.79.251" })
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false); checks++
+state.active.pop()
+Object.assign(certificate, { state: "New York", locality: "Albany" })
+state.active[0]!.id = 'C=US, S=New York, L=Albany, O=Example, Ltd, OU=QA+Operations, CN=QA, Team+VPN="client"\\Lab'
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, true); checks++
+certificate.organization = "bad\nsubject"
+assert.equal(mapClients(state).find(c => c.certName === "client")?.online, false); checks++
 console.log(`ipsec-state: ${checks} checks passed`)

docs/ux-ui-external-acceptance.md

@@ -1,6 +1,6 @@
 # UX/UI: протокол внешней приёмки 12.5
 
-Актуальное продолжение 2026-10-10: завершены12.5.107–109 — VXLAN bridge/FDB и IPv6 ULA inner в VXLAN/GRE/WireGuard по IPv4 outer. Steady/recovery Ping10/10 в обе стороны каждого типа; initial loss сохранён. Cleanup собственных объектов/baseline passed, обаCHR доступны. Runtime ux-patch102/ux-a11y101 прежний. Native IPv6 не означает поддержку IPv6 interface address в API/history/export GRE/WG. Следующий110 — профильная приёмка IPsec со сложным DN; Portal/Telegram ожидают настройки/разрешения.12.5 открыт.
+Актуальное продолжение 2026-10-10: завершён12.5.110 — исправлено сопоставление сертификатного IPsec по полному DN (C/S/L/O/OU/CN, специальные символы), неоднозначные rendered subjects/active IDs не подтверждают online. Backend ux-dn110/version1.0.0-test.dn110, frontend ux-a11y101 прежний. State89/89, профильный IPsec/build/lint, live UI4/4 с проверкой actual theme; native established/assigned IP/catalog online и cleanup13 коллекций×2 passed. Все предварительные ошибки сохранены. Следующий111 — нестандартные IKE ID/границы сопоставления сертификатов; внешние Portal/Telegram требуют настройки и разрешения.12.5 открыт.
 
 IPsec78: реальный PSK responder established, mode-config198.18.78.10 и online=true подтверждены API; точные собственные объекты удалены. Сертификатный/DN online, late failure и history restore остаются открытыми. [Отчёт](ux-ui/acceptance/ipsec-mode-config-2026-10-09.json), [журнал](ux-ui-progress.md).
 
@@ -1058,3 +1058,19 @@ Initial результаты: gre/CHR1=0/3, gre/CHR2=1/3, wireguard/CHR1=3/3, wi
 Production aggregate GET /api/gre/tunnels и /api/wireguard вернули собственные интерфейсы без failures; WG allowedIps сохранил native IPv6 /128, privateKey не возвращён. Ограничение обнаружено и зафиксировано: CHR1: GRE localInnerIp="", WG address=null; CHR2: GRE localInnerIp="", WG address=null. Текущие GRE/WG readers получают interface addresses из /ip/address, поэтому native IPv6 адрес не попадает в это поле. Эти проверки не принимают IPv6 создание/restore/history/export через приложение и не расширяют его API. Поддержка полного IPv6 управления требует отдельной согласованной модели адресов и миграции snapshots.
 
 Перед очисткой exact IDs/markers и immutable reference fields сверены; собственные peers/IPv6 addresses/interfaces удалены. Baseline projection13 коллекций×2 и7 исходных параметров IPv6 settings совпали. Пароли прежние, оба CHR доступны. DB/runtime/исходники продукта не менялись, повтор build/общей UI регрессии не требовался. Открыты IPv6 outer/client OS/scale, application IPv6 address lifecycle и остальные пункты матрицы. Следующий110 — IPsec complex/escaped DN с собственной сертификатной парой и контролем online identity; внешние Portal/Telegram требуют настоящей настройки.
+
+## 12.5.110 — IPsec: полный DN сертификата и достоверный online (2026-10-10)
+
+Исправлена реальная ошибка: собственная IKEv2 certificate сессия на двух CHR7.24.5 established/получила198.18.110.250, но production каталог показывал клиента online=false. Сначала воспроизведён DN с country/organization/unit и comma/plus/equals вCN; затем полный subject с state/locality/кавычками/обратным слешем. RouterOS печатает строку без экранирования: C=US, S=New York, L=Albany, O=Example, Ltd, OU=QA+Operations, CN=... Поэтому не используется CN substring или общий RFC4514 parser. Новый ipsec-certificate-dn.ts строит точную полную строку из известных метаданных; ipsec-live.ts сравнивает весь subject, считает collisions по rendered string, не выбирает одну из одинаковых active IDs и требует уникальный CN для прежнего bare-CN fallback. Подсчёт subject/CN выполняется один раз на снимок. Выбор matched identity, сетевые операции, PKI, секреты, API DTO и UI-компоненты не менялись.
+
+Проверки: профильный test:ipsec (8 скриптов) passed; финальный state набор89/89, включая иной organization, одинаковые сертификаты, разные attribute tuples с одинаковой неэкранированной строкой, duplicate active ID и control characters. Backend/contracts production TypeScript build, ESLint трёх изменённых файлов и diff check passed. [Source manifest](ux-ui/acceptance/ipsec-dn-source-2026-10-10.json): base audited build-patch102 context +3 working-file overrides отHEAD1d61b50; context hashes3/3 и runtime compiled byte hashes2/2 совпали. Это не полный повтор audit всех production inputs. Docker backend ux-dn110/version1.0.0-test.dn110, imagesha256:f0cd7afc7391ac463c8b3c7d183b0c294f01ffca6beda3d240d26bec59c06d72, label dn110 — stage marker, неGitSHA. Entrypoint/node check и pg_restore18.6 passed; приватный pre-dn110.env сохранён, прежний backend image остаётся для rollback. Backend/PG healthy; frontend ux-a11y101 unchanged/HTTP browser passed.
+
+[Полный протокол](ux-ui/acceptance/ipsec-certificate-dn-2026-10-10.json) сохраняет7 preliminary native failures: два неподдерживаемых параметра fixture (comment вprofile и address-prefix), затем auth failures сложного/простого control. Причина тестовой конфигурации выявлена по my auth size0: import присвоил client иCA одинаковое имя. Их переименование по exactIDs в разные имена восстановило handshake; исправление trust собственногоCA/source address само по себе не устраняло дублирование. Все preliminary cleanups passed. Эти отказы не приписаны продукту и не заменены успешным итогом. Два успешных native before-fix воспроизведения доказывают именно ошибку online. После deploy полныйDN established, native lease и application online/activeAddress совпали.
+
+[Live UI4/4](ux-ui/acceptance/browser-ipsec-dn-2026-10-10.json):1280/320px×dark/light, URL выбранногоCHR, правильный online address, reload, page overflow0/JS errors0/application writes0. Первый помощник неверно использовал storage key theme; его4 cases не принимаются как две темы. В повторе возник detached read-only locator при refresh; helper ограниченно заново находит элемент, никакие mutations не повторяет. Финальный запуск использует rl-theme и проверяет root class; скриншоты actual dark/light сохранены, два размера/темы просмотрены. Frontend/shared ReUI/Frame/base-nova не менялись, общая UI регрессия не повторялась.
+
+Собственные CA/server/client certificates, импортированные сертификаты, peer/identity/profile/proposal/group/template/mode-config, export/upload files и временные logging rules удалены после exact-ID/name/comment/prefix preflight. Baseline13 коллекций×2 совпал, включая logging/certificates/files/IP/routes/NAT; default/metadata/public routes и исходный195.195.195.195/32CHR2 сохранялись. Private P12/PEM/pass files удалены из helper-каталога, private keys/пароли не записаны в репозиторий. В приложении использовался aggregate GET /api/ipsec без observed revision write; tests DB не меняли. ОбаCHR и SSH доступны, пароли не менялись.
+
+Границы: это сопоставление подтверждённой native сессии для данного формата RouterOS7.24.5, не общая DN/ASN.1 библиотека и не новая проверка encrypted data plane (77–82 остаются источником). Custom OIDs/другие форматы и IKE ID namespaces, клиентские ОС, полнаяPKI/policy-profile-proposal restore/IPv6/scale открыты. При неоднозначном rendered subject адрес не приписывается одному из клиентов. Следующий111 — нестандартные IKE ID и границы сопоставления сертификатных сессий; внешние интеграции всё ещё требуют настройки. Квота после live-блока: использовано33% пятичасового/67% недельного (значение до финальной записи).
+
+Референс семантики certificate ID: [официальная документация MikroTik IPsec](https://help.mikrotik.com/docs/spaces/ROS/pages/11993097/IPsec); фактический формат S/порядок/символы подтверждён native отчётом выше.

docs/ux-ui-plan.md

@@ -1,12 +1,12 @@
 # План реализации UX/UI по пятичасовым окнам
 
-Актуальное продолжение 2026-10-10: завершены12.5.107–109 — VXLAN bridge/FDB и IPv6 ULA inner в VXLAN/GRE/WireGuard по IPv4 outer. Steady/recovery Ping10/10 в обе стороны каждого типа; initial loss сохранён. Cleanup собственных объектов/baseline passed, обаCHR доступны. Runtime ux-patch102/ux-a11y101 прежний. Native IPv6 не означает поддержку IPv6 interface address в API/history/export GRE/WG. Следующий110 — профильная приёмка IPsec со сложным DN; Portal/Telegram ожидают настройки/разрешения.12.5 открыт.
+Актуальное продолжение 2026-10-10: завершён12.5.110 — исправлено сопоставление сертификатного IPsec по полному DN (C/S/L/O/OU/CN, специальные символы), неоднозначные rendered subjects/active IDs не подтверждают online. Backend ux-dn110/version1.0.0-test.dn110, frontend ux-a11y101 прежний. State89/89, профильный IPsec/build/lint, live UI4/4 с проверкой actual theme; native established/assigned IP/catalog online и cleanup13 коллекций×2 passed. Все предварительные ошибки сохранены. Следующий111 — нестандартные IKE ID/границы сопоставления сертификатов; внешние Portal/Telegram требуют настройки и разрешения.12.5 открыт.
 
 Общий план проекта MikrotikManager. Основан на согласованном плане из задачи; точка продолжения обновлена 2026-10-10. Источник фактического прогресса, проверок и ограничений — [журнал реализации](ux-ui-progress.md). Этот документ задаёт объём и критерии завершения, журнал фиксирует результат.
 
 ## Актуальная точка продолжения — 2026-10-10
 
-Актуальное продолжение 2026-10-10: завершены12.5.107–109 — VXLAN bridge/FDB и IPv6 ULA inner в VXLAN/GRE/WireGuard по IPv4 outer. Steady/recovery Ping10/10 в обе стороны каждого типа; initial loss сохранён. Cleanup собственных объектов/baseline passed, обаCHR доступны. Runtime ux-patch102/ux-a11y101 прежний. Native IPv6 не означает поддержку IPv6 interface address в API/history/export GRE/WG. Следующий110 — профильная приёмка IPsec со сложным DN; Portal/Telegram ожидают настройки/разрешения.12.5 открыт.
+Актуальное продолжение 2026-10-10: завершён12.5.110 — исправлено сопоставление сертификатного IPsec по полному DN (C/S/L/O/OU/CN, специальные символы), неоднозначные rendered subjects/active IDs не подтверждают online. Backend ux-dn110/version1.0.0-test.dn110, frontend ux-a11y101 прежний. State89/89, профильный IPsec/build/lint, live UI4/4 с проверкой actual theme; native established/assigned IP/catalog online и cleanup13 коллекций×2 passed. Все предварительные ошибки сохранены. Следующий111 — нестандартные IKE ID/границы сопоставления сертификатов; внешние Portal/Telegram требуют настройки и разрешения.12.5 открыт.
 
 Этапы0–11 завершены в локальных границах журнала. История выполненных внешних блоков и доказательства сохранены в [журнале](ux-ui-stage-12.md) и [протоколе](ux-ui-external-acceptance.md). Реальная Telegram доставка, Portal SSO, multi-instance и оставшиеся профильные сетевые ограничения открыты.
 

docs/ux-ui-progress.md

@@ -1,6 +1,6 @@
 # UX/UI: журнал реализации
 
-Актуальное продолжение 2026-10-10: завершены12.5.107–109 — VXLAN bridge/FDB и IPv6 ULA inner в VXLAN/GRE/WireGuard по IPv4 outer. Steady/recovery Ping10/10 в обе стороны каждого типа; initial loss сохранён. Cleanup собственных объектов/baseline passed, обаCHR доступны. Runtime ux-patch102/ux-a11y101 прежний. Native IPv6 не означает поддержку IPv6 interface address в API/history/export GRE/WG. Следующий110 — профильная приёмка IPsec со сложным DN; Portal/Telegram ожидают настройки/разрешения.12.5 открыт.
+Актуальное продолжение 2026-10-10: завершён12.5.110 — исправлено сопоставление сертификатного IPsec по полному DN (C/S/L/O/OU/CN, специальные символы), неоднозначные rendered subjects/active IDs не подтверждают online. Backend ux-dn110/version1.0.0-test.dn110, frontend ux-a11y101 прежний. State89/89, профильный IPsec/build/lint, live UI4/4 с проверкой actual theme; native established/assigned IP/catalog online и cleanup13 коллекций×2 passed. Все предварительные ошибки сохранены. Следующий111 — нестандартные IKE ID/границы сопоставления сертификатов; внешние Portal/Telegram требуют настройки и разрешения.12.5 открыт.
 
 Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).
 
@@ -36,7 +36,23 @@
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
-| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–109 и ограничения ниже. Runtime backend ux-patch102/frontend ux-a11y101. |
+| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–110 и ограничения ниже. Runtime backend ux-dn110/frontend ux-a11y101. |
+
+## 12.5.110 — IPsec: полный DN сертификата и достоверный online (2026-10-10)
+
+Исправлена реальная ошибка: собственная IKEv2 certificate сессия на двух CHR7.24.5 established/получила198.18.110.250, но production каталог показывал клиента online=false. Сначала воспроизведён DN с country/organization/unit и comma/plus/equals вCN; затем полный subject с state/locality/кавычками/обратным слешем. RouterOS печатает строку без экранирования: C=US, S=New York, L=Albany, O=Example, Ltd, OU=QA+Operations, CN=... Поэтому не используется CN substring или общий RFC4514 parser. Новый ipsec-certificate-dn.ts строит точную полную строку из известных метаданных; ipsec-live.ts сравнивает весь subject, считает collisions по rendered string, не выбирает одну из одинаковых active IDs и требует уникальный CN для прежнего bare-CN fallback. Подсчёт subject/CN выполняется один раз на снимок. Выбор matched identity, сетевые операции, PKI, секреты, API DTO и UI-компоненты не менялись.
+
+Проверки: профильный test:ipsec (8 скриптов) passed; финальный state набор89/89, включая иной organization, одинаковые сертификаты, разные attribute tuples с одинаковой неэкранированной строкой, duplicate active ID и control characters. Backend/contracts production TypeScript build, ESLint трёх изменённых файлов и diff check passed. [Source manifest](ux-ui/acceptance/ipsec-dn-source-2026-10-10.json): base audited build-patch102 context +3 working-file overrides отHEAD1d61b50; context hashes3/3 и runtime compiled byte hashes2/2 совпали. Это не полный повтор audit всех production inputs. Docker backend ux-dn110/version1.0.0-test.dn110, imagesha256:f0cd7afc7391ac463c8b3c7d183b0c294f01ffca6beda3d240d26bec59c06d72, label dn110 — stage marker, неGitSHA. Entrypoint/node check и pg_restore18.6 passed; приватный pre-dn110.env сохранён, прежний backend image остаётся для rollback. Backend/PG healthy; frontend ux-a11y101 unchanged/HTTP browser passed.
+
+[Полный протокол](ux-ui/acceptance/ipsec-certificate-dn-2026-10-10.json) сохраняет7 preliminary native failures: два неподдерживаемых параметра fixture (comment вprofile и address-prefix), затем auth failures сложного/простого control. Причина тестовой конфигурации выявлена по my auth size0: import присвоил client иCA одинаковое имя. Их переименование по exactIDs в разные имена восстановило handshake; исправление trust собственногоCA/source address само по себе не устраняло дублирование. Все preliminary cleanups passed. Эти отказы не приписаны продукту и не заменены успешным итогом. Два успешных native before-fix воспроизведения доказывают именно ошибку online. После deploy полныйDN established, native lease и application online/activeAddress совпали.
+
+[Live UI4/4](ux-ui/acceptance/browser-ipsec-dn-2026-10-10.json):1280/320px×dark/light, URL выбранногоCHR, правильный online address, reload, page overflow0/JS errors0/application writes0. Первый помощник неверно использовал storage key theme; его4 cases не принимаются как две темы. В повторе возник detached read-only locator при refresh; helper ограниченно заново находит элемент, никакие mutations не повторяет. Финальный запуск использует rl-theme и проверяет root class; скриншоты actual dark/light сохранены, два размера/темы просмотрены. Frontend/shared ReUI/Frame/base-nova не менялись, общая UI регрессия не повторялась.
+
+Собственные CA/server/client certificates, импортированные сертификаты, peer/identity/profile/proposal/group/template/mode-config, export/upload files и временные logging rules удалены после exact-ID/name/comment/prefix preflight. Baseline13 коллекций×2 совпал, включая logging/certificates/files/IP/routes/NAT; default/metadata/public routes и исходный195.195.195.195/32CHR2 сохранялись. Private P12/PEM/pass files удалены из helper-каталога, private keys/пароли не записаны в репозиторий. В приложении использовался aggregate GET /api/ipsec без observed revision write; tests DB не меняли. ОбаCHR и SSH доступны, пароли не менялись.
+
+Границы: это сопоставление подтверждённой native сессии для данного формата RouterOS7.24.5, не общая DN/ASN.1 библиотека и не новая проверка encrypted data plane (77–82 остаются источником). Custom OIDs/другие форматы и IKE ID namespaces, клиентские ОС, полнаяPKI/policy-profile-proposal restore/IPv6/scale открыты. При неоднозначном rendered subject адрес не приписывается одному из клиентов. Следующий111 — нестандартные IKE ID и границы сопоставления сертификатных сессий; внешние интеграции всё ещё требуют настройки. Квота после live-блока: использовано33% пятичасового/67% недельного (значение до финальной записи).
+
+Референс семантики certificate ID: [официальная документация MikroTik IPsec](https://help.mikrotik.com/docs/spaces/ROS/pages/11993097/IPsec); фактический формат S/порядок/символы подтверждён native отчётом выше.
 
 ## 12.5.109 — GRE/WireGuard: IPv6 inner и раздельное восстановление (2026-10-10)
 

docs/ux-ui-remaining-acceptance.md

@@ -1,8 +1,8 @@
 # Оставшаяся внешняя приёмка — 2026-10-10
 
-Это актуальная матрица после 12.5.109. Исторические записи сохраняют версии и ограничения на момент выполнения; поздние проверки ниже уточняют их. Этап 12.5 открыт. Успех в двух CHR и одном backend не означает приёмку всех конфигураций, интеграций или полной регрессии.
+Это актуальная матрица после 12.5.110. Исторические записи сохраняют версии и ограничения на момент выполнения; поздние проверки ниже уточняют их. Этап 12.5 открыт. Успех в двух CHR и одном backend не означает приёмку всех конфигураций, интеграций или полной регрессии.
 
-Стенд: Debian13/Compose, PostgreSQL18.6, два CHR RouterOS7.24.5. Backend `ux-patch102`, frontend `ux-a11y101`; production lab использует AUTH_REQUIRED=false. Подписанные JWT/RBAC проверялись в изолированных процессах. Все собственные объекты109 удалены, исходные13 коллекций×2 и7 параметров IPv6 settings проверены; пароли не менялись.
+Стенд: Debian13/Compose, PostgreSQL18.6, два CHR RouterOS7.24.5. Backend `ux-dn110`, frontend `ux-a11y101`; production lab использует AUTH_REQUIRED=false. Подписанные JWT/RBAC проверялись в изолированных процессах. Все собственные объекты110 удалены, исходные13 коллекций×2 (включая logging/certificates/files/routes) проверены; пароли не менялись.
 
 | Раздел | Подтверждено | Осталось / условие завершения |
 | --- | --- | --- |
@@ -12,7 +12,7 @@
 | GRE | Native lifecycle, metadata, live формы/меню/URL/Ping53–57; GRE используется в OSPF/BGP/IPsec последующих блоков; native IPv6 ULA inner109 | IPv6 outer и application IPv6 interface address lifecycle, независимые WAN, масштаб и длительное восстановление; принятие GRE не означает приёмку всех сценариев автоматического расписания |
 | WireGuard | Native handshake/data plane58, deletion60, live create/peer/disable/enable/delete62, mobile64, export/import67–74; native IPv6 ULA inner/allowedIps/handshake109 | Клиентские ОС и произвольные конфигурации, IPv6 outer/scale и application IPv6 interface address lifecycle, физический lost ACK и устойчивое восстановление; `.conf` с placeholders — шаблон, не принятый клиентский tunnel |
 | VXLAN | Собственная пара/private Ping/catalog/URL/export75–76; bridge/FDB/port loss/recovery107; IPv6 ULA inner по IPv4 outer108 | API приложения read-only: create/delete проверены native. IPv6 outer, масштаб/производительность, профильные mutation RBAC/concurrency отдельно не приняты |
-| IPsec | PSK и сертификатное шифрование77–82, active peer/online/mode-config, scoped NAT/group, partial/unknown/applied receipts, restore conflicts, JWT | Клиентские Windows/macOS/iOS/Android, сложные/escaped DN, полная PKI и policy/profile/proposal restore, физический disconnect, durable retry/multi-instance, IPv6/maximum throughput |
+| IPsec | PSK и сертификатное шифрование77–82, active peer/online/mode-config, scoped NAT/group, partial/unknown/applied receipts, restore conflicts, JWT; full DN/специальные символы/online110 | Клиентские Windows/macOS/iOS/Android, прочие DN форматы/custom OIDs/IKE ID namespaces, полная PKI и policy/profile/proposal restore, физический disconnect, durable retry/multi-instance, IPv6/maximum throughput |
 | OSPF/BFD | Real Full/own routes84–85, раздельные наблюдения BFD86, effective disabled/optimizer cost/partial/RBAC87, alternate path90 и CIDR91 | Sustained BFD-only gate не принят: в86 сосед мог вновь статьFull при доступныхHello. В90 переходный Ping18/40 с55% loss: бесшовность не принята. REST timing — наблюдаемая граница, не SLA; IPv6/scale/independent WAN открыты |
 | BGP | Established83, exact /32 exchange/API/UI/administrative withdrawal92, BFD primary GRE loss/alternate/recovery93 | Hold timer/TCP loss безBFD принят104; packet loss в переходе, разные внешние peers/WAN policy, IPv6/scale. Два логических пути используют тот же public WAN; physical redundancy не принята |
 | Recursive routes | Production PUT/change/own history restore88, disabled guards, partial/unknown/applied outcomes, live формы/контекст | Автоматический rollback/retry, durable receipts и несколько экземпляров отсутствуют; PUT не является idempotent noop. Полная произвольная legacy catalog миграция не принята |
@@ -25,7 +25,7 @@
 ## Следующая последовательность
 
 1. **12.5.95 завершён:** [source/context/compiled audit](ux-ui/acceptance/deployment-source-audit-2026-10-10.json), production source drift не выявлен; нормализация и исключения явно указаны.
-2. **12.5.96 timezone завершён:** [6 live UI cases](ux-ui/acceptance/browser-speed-timezone-2026-10-10.json). 97 HTTP receipt disconnect принят: [протокол](ux-ui/acceptance/speed-disconnect-2026-10-10.json). 98 сообщение неизвестного native результата исправлено/развёрнуто. 99 main/context завершён с точной записью одного failure/delta;100 transport и101 accessibility исправлены/развёрнуты.102 malformed PATCH исправлен/принят.103 packet rows/public/GRE приняты в границах коротких samples; initial loss/root cause остаётся открытым.104 hold/TCP loss/recovery принят.105 source/runtime/evidence сверка passed.106 read-only readiness: auth disabled/Portal localhost/bot and chat unconfigured.107 — native bridge/FDB/loss/recovery принят.108 — IPv6 inner VXLAN принят, initial0/3 и1/3 остаются в протоколе;109 — native GRE/WireGuard IPv6 inner принят; readers /ip/address не показывают native IPv6 interface addresses.110 — IPsec complex/escaped DN. Реальные интеграции требуют тестовых доступов и отдельного разрешения на сообщение.
+2. **12.5.96 timezone завершён:** [6 live UI cases](ux-ui/acceptance/browser-speed-timezone-2026-10-10.json). 97 HTTP receipt disconnect принят: [протокол](ux-ui/acceptance/speed-disconnect-2026-10-10.json). 98 сообщение неизвестного native результата исправлено/развёрнуто. 99 main/context завершён с точной записью одного failure/delta;100 transport и101 accessibility исправлены/развёрнуты.102 malformed PATCH исправлен/принят.103 packet rows/public/GRE приняты в границах коротких samples; initial loss/root cause остаётся открытым.104 hold/TCP loss/recovery принят.105 source/runtime/evidence сверка passed.106 read-only readiness: auth disabled/Portal localhost/bot and chat unconfigured.107 — native bridge/FDB/loss/recovery принят.108 — IPv6 inner VXLAN принят, initial0/3 и1/3 остаются в протоколе;109 — native GRE/WireGuard IPv6 inner принят; readers /ip/address не показывают native IPv6 interface addresses.110 — полный native DN/online исправлен и принят;111 — нестандартные IKE ID/границы сопоставления. Реальные интеграции требуют тестовых доступов и отдельного разрешения на сообщение.
 3. **Заключительный профильный контроль:** после последнего исправления собрать только затронутую часть, проверить её live и обновить матрицу. Общую регрессию выполнить один раз на согласованном runtime.
 4. **Внешние зависимости:** Telegram/Portal/client OS/multi-WAN/scale проходят отдельную приёмку при наличии нужных аккаунтов, устройств и разрешений. Лабораторный результат двух CHR не закрывает их автоматически.
 

docs/ux-ui-stage-12.md

@@ -1,6 +1,6 @@
 # Этап 12: итоговая приёмка UX/UI
 
-Актуальное продолжение 2026-10-10: завершены12.5.107–109 — VXLAN bridge/FDB и IPv6 ULA inner в VXLAN/GRE/WireGuard по IPv4 outer. Steady/recovery Ping10/10 в обе стороны каждого типа; initial loss сохранён. Cleanup собственных объектов/baseline passed, обаCHR доступны. Runtime ux-patch102/ux-a11y101 прежний. Native IPv6 не означает поддержку IPv6 interface address в API/history/export GRE/WG. Следующий110 — профильная приёмка IPsec со сложным DN; Portal/Telegram ожидают настройки/разрешения.12.5 открыт.
+Актуальное продолжение 2026-10-10: завершён12.5.110 — исправлено сопоставление сертификатного IPsec по полному DN (C/S/L/O/OU/CN, специальные символы), неоднозначные rendered subjects/active IDs не подтверждают online. Backend ux-dn110/version1.0.0-test.dn110, frontend ux-a11y101 прежний. State89/89, профильный IPsec/build/lint, live UI4/4 с проверкой actual theme; native established/assigned IP/catalog online и cleanup13 коллекций×2 passed. Все предварительные ошибки сохранены. Следующий111 — нестандартные IKE ID/границы сопоставления сертификатов; внешние Portal/Telegram требуют настройки и разрешения.12.5 открыт.
 
 План: [ux-ui-plan.md](ux-ui-plan.md). Фактические результаты: [ux-ui-progress.md](ux-ui-progress.md). Подготовлен после сводных проверок 11Б; завершение каждого блока требует локального коммита без push.
 
@@ -2363,3 +2363,19 @@ Initial результаты: gre/CHR1=0/3, gre/CHR2=1/3, wireguard/CHR1=3/3, wi
 Production aggregate GET /api/gre/tunnels и /api/wireguard вернули собственные интерфейсы без failures; WG allowedIps сохранил native IPv6 /128, privateKey не возвращён. Ограничение обнаружено и зафиксировано: CHR1: GRE localInnerIp="", WG address=null; CHR2: GRE localInnerIp="", WG address=null. Текущие GRE/WG readers получают interface addresses из /ip/address, поэтому native IPv6 адрес не попадает в это поле. Эти проверки не принимают IPv6 создание/restore/history/export через приложение и не расширяют его API. Поддержка полного IPv6 управления требует отдельной согласованной модели адресов и миграции snapshots.
 
 Перед очисткой exact IDs/markers и immutable reference fields сверены; собственные peers/IPv6 addresses/interfaces удалены. Baseline projection13 коллекций×2 и7 исходных параметров IPv6 settings совпали. Пароли прежние, оба CHR доступны. DB/runtime/исходники продукта не менялись, повтор build/общей UI регрессии не требовался. Открыты IPv6 outer/client OS/scale, application IPv6 address lifecycle и остальные пункты матрицы. Следующий110 — IPsec complex/escaped DN с собственной сертификатной парой и контролем online identity; внешние Portal/Telegram требуют настоящей настройки.
+
+## 12.5.110 — IPsec: полный DN сертификата и достоверный online (2026-10-10)
+
+Исправлена реальная ошибка: собственная IKEv2 certificate сессия на двух CHR7.24.5 established/получила198.18.110.250, но production каталог показывал клиента online=false. Сначала воспроизведён DN с country/organization/unit и comma/plus/equals вCN; затем полный subject с state/locality/кавычками/обратным слешем. RouterOS печатает строку без экранирования: C=US, S=New York, L=Albany, O=Example, Ltd, OU=QA+Operations, CN=... Поэтому не используется CN substring или общий RFC4514 parser. Новый ipsec-certificate-dn.ts строит точную полную строку из известных метаданных; ipsec-live.ts сравнивает весь subject, считает collisions по rendered string, не выбирает одну из одинаковых active IDs и требует уникальный CN для прежнего bare-CN fallback. Подсчёт subject/CN выполняется один раз на снимок. Выбор matched identity, сетевые операции, PKI, секреты, API DTO и UI-компоненты не менялись.
+
+Проверки: профильный test:ipsec (8 скриптов) passed; финальный state набор89/89, включая иной organization, одинаковые сертификаты, разные attribute tuples с одинаковой неэкранированной строкой, duplicate active ID и control characters. Backend/contracts production TypeScript build, ESLint трёх изменённых файлов и diff check passed. [Source manifest](ux-ui/acceptance/ipsec-dn-source-2026-10-10.json): base audited build-patch102 context +3 working-file overrides отHEAD1d61b50; context hashes3/3 и runtime compiled byte hashes2/2 совпали. Это не полный повтор audit всех production inputs. Docker backend ux-dn110/version1.0.0-test.dn110, imagesha256:f0cd7afc7391ac463c8b3c7d183b0c294f01ffca6beda3d240d26bec59c06d72, label dn110 — stage marker, неGitSHA. Entrypoint/node check и pg_restore18.6 passed; приватный pre-dn110.env сохранён, прежний backend image остаётся для rollback. Backend/PG healthy; frontend ux-a11y101 unchanged/HTTP browser passed.
+
+[Полный протокол](ux-ui/acceptance/ipsec-certificate-dn-2026-10-10.json) сохраняет7 preliminary native failures: два неподдерживаемых параметра fixture (comment вprofile и address-prefix), затем auth failures сложного/простого control. Причина тестовой конфигурации выявлена по my auth size0: import присвоил client иCA одинаковое имя. Их переименование по exactIDs в разные имена восстановило handshake; исправление trust собственногоCA/source address само по себе не устраняло дублирование. Все preliminary cleanups passed. Эти отказы не приписаны продукту и не заменены успешным итогом. Два успешных native before-fix воспроизведения доказывают именно ошибку online. После deploy полныйDN established, native lease и application online/activeAddress совпали.
+
+[Live UI4/4](ux-ui/acceptance/browser-ipsec-dn-2026-10-10.json):1280/320px×dark/light, URL выбранногоCHR, правильный online address, reload, page overflow0/JS errors0/application writes0. Первый помощник неверно использовал storage key theme; его4 cases не принимаются как две темы. В повторе возник detached read-only locator при refresh; helper ограниченно заново находит элемент, никакие mutations не повторяет. Финальный запуск использует rl-theme и проверяет root class; скриншоты actual dark/light сохранены, два размера/темы просмотрены. Frontend/shared ReUI/Frame/base-nova не менялись, общая UI регрессия не повторялась.
+
+Собственные CA/server/client certificates, импортированные сертификаты, peer/identity/profile/proposal/group/template/mode-config, export/upload files и временные logging rules удалены после exact-ID/name/comment/prefix preflight. Baseline13 коллекций×2 совпал, включая logging/certificates/files/IP/routes/NAT; default/metadata/public routes и исходный195.195.195.195/32CHR2 сохранялись. Private P12/PEM/pass files удалены из helper-каталога, private keys/пароли не записаны в репозиторий. В приложении использовался aggregate GET /api/ipsec без observed revision write; tests DB не меняли. ОбаCHR и SSH доступны, пароли не менялись.
+
+Границы: это сопоставление подтверждённой native сессии для данного формата RouterOS7.24.5, не общая DN/ASN.1 библиотека и не новая проверка encrypted data plane (77–82 остаются источником). Custom OIDs/другие форматы и IKE ID namespaces, клиентские ОС, полнаяPKI/policy-profile-proposal restore/IPv6/scale открыты. При неоднозначном rendered subject адрес не приписывается одному из клиентов. Следующий111 — нестандартные IKE ID и границы сопоставления сертификатных сессий; внешние интеграции всё ещё требуют настройки. Квота после live-блока: использовано33% пятичасового/67% недельного (значение до финальной записи).
+
+Референс семантики certificate ID: [официальная документация MikroTik IPsec](https://help.mikrotik.com/docs/spaces/ROS/pages/11993097/IPsec); фактический формат S/порядок/символы подтверждён native отчётом выше.

docs/ux-ui-test-server.md

@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-10
 
-Сервер161.104.46.222 предоставлен для временного тестирования. Backend ux-patch102/version1.0.0-test.patch102, frontend ux-a11y101/version1.0.0-test.a11y101; backend/PG healthy, frontend HTTP/browser passed. VPN107–109: VXLAN bridge/FDB и native IPv6 inner VXLAN/GRE/WireGuard приняты в границах журнала; собственные объекты удалены, baseline восстановлен; каталог flash CHR2 сохранён из-за неподтверждённого ownership. SSH/оба CHR доступны, пароли прежние.
+Сервер161.104.46.222 предоставлен для временного тестирования. Backend ux-dn110/version1.0.0-test.dn110, frontend ux-a11y101/version1.0.0-test.a11y101; backend/PG healthy, frontend HTTP/browser passed. VPN107–109 и IPsec110: bridge/FDB/IPv6 inner и исправление online по полному DN приняты в границах журнала; собственные объекты удалены, baseline восстановлен; каталог flash CHR2 сохранён из-за неподтверждённого ownership. SSH/оба CHR доступны, пароли прежние.
 
 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -14,7 +14,7 @@
 | PostgreSQL | postgres:18-alpine,18.6;mmapp-test-postgres healthy;SELECT version() passed |
 | Данные | Отдельный Compose project mmapp-test,том mmapp-test_mmapp-pgdata и каталог ./data |
 | Доступ | PostgreSQL не публикуется;frontend3000/backend8000 привязаны к127.0.0.1 после запуска |
-| Образы приложения | mmapp-test/backend:ux-patch102 и mmapp-test/frontend:ux-a11y101; запущены |
+| Образы приложения | mmapp-test/backend:ux-dn110 и mmapp-test/frontend:ux-a11y101; запущены |
 
 Compose SHA256:3052bd6ab5d9865f97605cebfb5ff27a4410cd3357b81153a65a87fb7c92582f. OptionalBACKEND_IMAGE_TAG позволяетобновлятьbackendотдельно. Локальный и удалённый файлы совпали. Шаблоны: [Compose](../deploy/docker-compose.test.yml), [env без секретов](../deploy/env.test.example).
 

docs/ux-ui/acceptance/browser-ipsec-dn-2026-10-10.json

@@ -0,0 +1,45 @@
+{
+  "date": "2026-10-10",
+  "runtime": {
+    "backend": "ux-dn110",
+    "frontend": "ux-a11y101"
+  },
+  "httpMocks": false,
+  "cases": [
+    {
+      "theme": "dark",
+      "width": 1280,
+      "rootThemeConfirmed": true,
+      "onlineAddressConfirmed": true,
+      "reloadConfirmed": true,
+      "noPageOverflow": true
+    },
+    {
+      "theme": "dark",
+      "width": 320,
+      "rootThemeConfirmed": true,
+      "onlineAddressConfirmed": true,
+      "reloadConfirmed": true,
+      "noPageOverflow": true
+    },
+    {
+      "theme": "light",
+      "width": 1280,
+      "rootThemeConfirmed": true,
+      "onlineAddressConfirmed": true,
+      "reloadConfirmed": true,
+      "noPageOverflow": true
+    },
+    {
+      "theme": "light",
+      "width": 320,
+      "rootThemeConfirmed": true,
+      "onlineAddressConfirmed": true,
+      "reloadConfirmed": true,
+      "noPageOverflow": true
+    }
+  ],
+  "pageErrors": [],
+  "applicationWrites": [],
+  "scope": "Real established certificate DN client status/address, reload, desktop/mobile, two themes"
+}

docs/ux-ui/acceptance/ipsec-dn-source-2026-10-10.json

@@ -0,0 +1,53 @@
+{
+  "date": "2026-10-10",
+  "baseCommit": "1d61b50",
+  "baseContext": "build-patch102",
+  "context": "build-dn110",
+  "runtimeTag": "ux-dn110",
+  "source": "Base audited patch102 context plus explicit working-file overrides; label dn110 is not a Git SHA",
+  "files": [
+    {
+      "path": "backend/src/services/ipsec-live.ts",
+      "sha256": "201fa6a0af955bd3217c002686e41b68a1737db1ee7195483b9bc6692c7aa655"
+    },
+    {
+      "path": "backend/src/services/ipsec-certificate-dn.ts",
+      "sha256": "82a3bf8746dd928bfa9c0ec2a5ed6401d792cbe1390e14017d776e2fc8253d64"
+    },
+    {
+      "path": "backend/src/services/ipsec-state.test.ts",
+      "sha256": "ca16dde47000ba310492c329ed8ee147ab1b150663c204071c68e99d8be94366"
+    }
+  ],
+  "deployment": {
+    "imageId": "sha256:f0cd7afc7391ac463c8b3c7d183b0c294f01ffca6beda3d240d26bec59c06d72",
+    "tag": "ux-dn110",
+    "revisionLabel": "dn110",
+    "health": {
+      "status": "ok",
+      "timestamp": "2026-10-10T02:34:19.932Z",
+      "version": "1.0.0-test.dn110",
+      "eventLoopDelayMs": 20,
+      "flowWorker": {
+        "alive": false,
+        "bound": false,
+        "pendingSize": 0,
+        "dropped": 0,
+        "packetsReceived": 0
+      }
+    }
+  },
+  "contextFileHashesMatch": true,
+  "compiledFiles": [
+    {
+      "path": "backend/dist/services/ipsec-live.js",
+      "sha256": "6e2f94adfa2086617b3f08004e2c35321d6012113acdca1744ebd14553d34a9b",
+      "containerByteHashMatches": true
+    },
+    {
+      "path": "backend/dist/services/ipsec-certificate-dn.js",
+      "sha256": "1da9af90d5deb3336dfa98b9bc49e85a21f0739d120bf52f9ed227b9e8616dc3",
+      "containerByteHashMatches": true
+    }
+  ]
+}