chore(test): проверить смену ключей и восстановление IPsec

docs/ux-ui-external-acceptance.md

@@ -1,6 +1,6 @@
 # UX/UI: протокол внешней приёмки 12.5
 
-Актуальное продолжение 2026-10-11: завершён12.5.121 — исправлен implicit DNS SAN offline для прямо привязанного сертификата. Уникальный SAN/без explicit remote-id → online; DN+SAN две real sessions/Ping3/3×2 → один online без случайного VIP/uptime.127 state checks/8 IPsec scripts/build/ESLint, live UI1280/320 passed. Backend ux-san121/frontend ux-bound116; hash equality/cleanup16×2 passed. Следующий122 — реальный IKE/CHILD rekey и восстановление соединения.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.122 — real CHILD SPI/IKE SA replacement и disconnect/reconnect. Четыре connected фазы Ping3/3/API online, terminated offline; baseline16×2/Docker/credentials restored. Первый reconnect Ping failed сохранён, точная причина не доказана. Backend ux-san121/frontend ux-bound116 прежние. Следующий123 — negative certificate/server pin authentication.12.5 открыт.
 
 IPsec78: реальный PSK responder established, mode-config198.18.78.10 и online=true подтверждены API; точные собственные объекты удалены. Сертификатный/DN online, late failure и history restore остаются открытыми. [Отчёт](ux-ui/acceptance/ipsec-mode-config-2026-10-09.json), [журнал](ux-ui-progress.md).
 
@@ -696,7 +696,7 @@ flowchart LR
 
 ## 12.5.77 — основной блок IPsec (2026-10-09)
 
-Актуальное продолжение 2026-10-11: завершён12.5.121 — исправлен implicit DNS SAN offline для прямо привязанного сертификата. Уникальный SAN/без explicit remote-id → online; DN+SAN две real sessions/Ping3/3×2 → один online без случайного VIP/uptime.127 state checks/8 IPsec scripts/build/ESLint, live UI1280/320 passed. Backend ux-san121/frontend ux-bound116; hash equality/cleanup16×2 passed. Следующий122 — реальный IKE/CHILD rekey и восстановление соединения.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.122 — real CHILD SPI/IKE SA replacement и disconnect/reconnect. Четыре connected фазы Ping3/3/API online, terminated offline; baseline16×2/Docker/credentials restored. Первый reconnect Ping failed сохранён, точная причина не доказана. Backend ux-san121/frontend ux-bound116 прежние. Следующий123 — negative certificate/server pin authentication.12.5 открыт.
 
 Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
 
@@ -1267,3 +1267,17 @@ Backend ux-san121/version1.0.0-test.san121 собран из контекста1
 | Референс | Схема |
 | --- | --- |
 | [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Native DN+SAN → один клиент online → несколько сессий без случайного VIP |
+
+## 12.5.122 — реальный rekey CHILD/IKE и повторное подключение (2026-10-11)
+
+На собственном Linux strongSwan→CHR certificate tunnel приняты пять состояний: initial, CHILD rekey, IKE rekey, terminated, reconnected. CHILD rekey подтверждён новой парой native ESP SPI после ухода старых SA; IKE rekey — новым strongSwan IKE unique ID после ухода прежнего. В четырёх connected фазах native established1/API online и Ping3/3 с первой попытки; после terminate established0/API offline без activeAddress/uptime. Повторное подключение вернуло online/Ping. RSA/private CA/exact server certificate pin/AES256/SHA256/MODP2048 сохранены.
+
+Первый прогон принял обе смены ключей/офлайн, но reconnect Ping failed. Сценарий не сохранил достаточно данных для доказательства причины. Повторение использовало именно выданный native VIP, записало все client addresses и ограниченные Ping attempts; каждая рабочая фаза прошла с первого Ping3/3. Это не превращает первый отказ в успех и не доказывает мгновенное/бесшовное восстановление. Оба протокола сохранены. Длительное обновление, packet loss в переходе, reauth и физический WAN/SLA ещё не приняты.
+
+Application source/image не менялись, общая регрессия и UI повторно не запускались. Все собственные Docker clients/network, private P12/PEM/pass/config и native configs/certs/logging удалены с ownership preflight. Baseline16×2 совпал, оба CHR доступны/пароли прежние. Native installed-sa сохранялись только по whitelist public SPI/state/адресов, ключи не записывались. [Протокол с первоначальным отказом](ux-ui/acceptance/ipsec-rekey-reconnect-2026-10-11.json). Следующий123 — неправильный server pin и непривязанный клиентский certificate.
+
+Reference: [strongSwan rekey6.0](https://docs.strongswan.org/docs/6.0/swanctl/swanctlRekey.html).
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Новые SA → подтверждённый online → terminate/offline → reconnect/online |