chore(test): проверить смену ключей и восстановление IPsec

docs/ux-ui-test-server.md

@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-10
 
-Сервер161.104.46.222: backend ux-san121/version1.0.0-test.san121/frontend ux-bound116.121: unique DNS SAN/mixed DN+FQDN sessions online1 без случайного VIP; Ping3/3×2/UI1280/320 passed. Source/compiled hashes совпали, cleanup16×2/Docker/credentials passed, оба CHR доступны/пароли прежние. Следующий122 — rekey/reconnect.
+Сервер161.104.46.222: backend ux-san121/frontend ux-bound116.122: CHILD/IKE rekey и reconnect Ping3/3/API online, terminate offline; первый reconnect Ping failure сохранён. Baseline16×2/credentials/Docker restored, оба CHR доступны/пароли прежние. Следующий123 — certificate authentication boundaries.
 
 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -998,3 +998,17 @@ Backend ux-san121/version1.0.0-test.san121 собран из контекста1
 | Референс | Схема |
 | --- | --- |
 | [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Native DN+SAN → один клиент online → несколько сессий без случайного VIP |
+
+## 12.5.122 — реальный rekey CHILD/IKE и повторное подключение (2026-10-11)
+
+На собственном Linux strongSwan→CHR certificate tunnel приняты пять состояний: initial, CHILD rekey, IKE rekey, terminated, reconnected. CHILD rekey подтверждён новой парой native ESP SPI после ухода старых SA; IKE rekey — новым strongSwan IKE unique ID после ухода прежнего. В четырёх connected фазах native established1/API online и Ping3/3 с первой попытки; после terminate established0/API offline без activeAddress/uptime. Повторное подключение вернуло online/Ping. RSA/private CA/exact server certificate pin/AES256/SHA256/MODP2048 сохранены.
+
+Первый прогон принял обе смены ключей/офлайн, но reconnect Ping failed. Сценарий не сохранил достаточно данных для доказательства причины. Повторение использовало именно выданный native VIP, записало все client addresses и ограниченные Ping attempts; каждая рабочая фаза прошла с первого Ping3/3. Это не превращает первый отказ в успех и не доказывает мгновенное/бесшовное восстановление. Оба протокола сохранены. Длительное обновление, packet loss в переходе, reauth и физический WAN/SLA ещё не приняты.
+
+Application source/image не менялись, общая регрессия и UI повторно не запускались. Все собственные Docker clients/network, private P12/PEM/pass/config и native configs/certs/logging удалены с ownership preflight. Baseline16×2 совпал, оба CHR доступны/пароли прежние. Native installed-sa сохранялись только по whitelist public SPI/state/адресов, ключи не записывались. [Протокол с первоначальным отказом](ux-ui/acceptance/ipsec-rekey-reconnect-2026-10-11.json). Следующий123 — неправильный server pin и непривязанный клиентский certificate.
+
+Reference: [strongSwan rekey6.0](https://docs.strongswan.org/docs/6.0/swanctl/swanctlRekey.html).
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Новые SA → подтверждённый online → terminate/offline → reconnect/online |