chore(test): проверить смену ключей и восстановление IPsec

docs/ux-ui-progress.md

@@ -1,6 +1,6 @@
 # UX/UI: журнал реализации
 
-Актуальное продолжение 2026-10-11: завершён12.5.121 — исправлен implicit DNS SAN offline для прямо привязанного сертификата. Уникальный SAN/без explicit remote-id → online; DN+SAN две real sessions/Ping3/3×2 → один online без случайного VIP/uptime.127 state checks/8 IPsec scripts/build/ESLint, live UI1280/320 passed. Backend ux-san121/frontend ux-bound116; hash equality/cleanup16×2 passed. Следующий122 — реальный IKE/CHILD rekey и восстановление соединения.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.122 — real CHILD SPI/IKE SA replacement и disconnect/reconnect. Четыре connected фазы Ping3/3/API online, terminated offline; baseline16×2/Docker/credentials restored. Первый reconnect Ping failed сохранён, точная причина не доказана. Backend ux-san121/frontend ux-bound116 прежние. Следующий123 — negative certificate/server pin authentication.12.5 открыт.
 
 Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).
 
@@ -36,7 +36,21 @@
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
-| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–121 и ограничения ниже. Runtime backend ux-san121/frontend ux-bound116. |
+| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–122 и ограничения ниже. Runtime backend ux-san121/frontend ux-bound116. |
+
+## 12.5.122 — реальный rekey CHILD/IKE и повторное подключение (2026-10-11)
+
+На собственном Linux strongSwan→CHR certificate tunnel приняты пять состояний: initial, CHILD rekey, IKE rekey, terminated, reconnected. CHILD rekey подтверждён новой парой native ESP SPI после ухода старых SA; IKE rekey — новым strongSwan IKE unique ID после ухода прежнего. В четырёх connected фазах native established1/API online и Ping3/3 с первой попытки; после terminate established0/API offline без activeAddress/uptime. Повторное подключение вернуло online/Ping. RSA/private CA/exact server certificate pin/AES256/SHA256/MODP2048 сохранены.
+
+Первый прогон принял обе смены ключей/офлайн, но reconnect Ping failed. Сценарий не сохранил достаточно данных для доказательства причины. Повторение использовало именно выданный native VIP, записало все client addresses и ограниченные Ping attempts; каждая рабочая фаза прошла с первого Ping3/3. Это не превращает первый отказ в успех и не доказывает мгновенное/бесшовное восстановление. Оба протокола сохранены. Длительное обновление, packet loss в переходе, reauth и физический WAN/SLA ещё не приняты.
+
+Application source/image не менялись, общая регрессия и UI повторно не запускались. Все собственные Docker clients/network, private P12/PEM/pass/config и native configs/certs/logging удалены с ownership preflight. Baseline16×2 совпал, оба CHR доступны/пароли прежние. Native installed-sa сохранялись только по whitelist public SPI/state/адресов, ключи не записывались. [Протокол с первоначальным отказом](ux-ui/acceptance/ipsec-rekey-reconnect-2026-10-11.json). Следующий123 — неправильный server pin и непривязанный клиентский certificate.
+
+Reference: [strongSwan rekey6.0](https://docs.strongswan.org/docs/6.0/swanctl/swanctlRekey.html).
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Новые SA → подтверждённый online → terminate/offline → reconnect/online |
 
 ## 12.5.121 — подтверждённый онлайн по DNS SAN и нескольким IKE ID (2026-10-11)