chore(test): подтвердить отказ IKE без внешнего CRL и восстановление

docs/ux-ui-progress.md

@@ -1,6 +1,6 @@
 # UX/UI: журнал реализации
 
-Актуальное продолжение 2026-10-11: завершён12.5.134 — external CRL download через временный HTTP endpoint принят: CA/client cache valid, own404 invalid, известный валидный cache сохранён.10 коллекций×2 восстановлены, endpoint18084 закрыт, CRL settings restored. Direct CHR-to-CHR HTTP CRL remote-disconnected, причина открыта. Runtime backend/frontend ux-log133. Следующий135 — certificate-bound unavailable/expired/malformed CRL и IKE enforcement;12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.135 — real certificate-bound external CRL IKE: valid/recovered Ping3/3, missing-CDP404 + empty valid cache → AUTHENTICATION_FAILED/CRL not found/API offline.18 коллекций×2 restored, private/Docker/endpoint cleanup. Первый recovered IKE_INIT timeout сохранён; финальный повтор passed. Runtime ux-log133. Следующий136 — malformed/expired signed CRL; общая UI-регрессия137 запущена.12.5 открыт.
 
 Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).
 
@@ -36,7 +36,21 @@
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
-| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–134 и ограничения ниже. Runtime backend/frontend ux-log133. |
+| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–135 и ограничения ниже. Runtime backend/frontend ux-log133. |
+
+## 12.5.135 — недоступный CRL привязанного сертификата и реальный IKE (2026-10-11)
+
+Создан собственный certificate-authenticated tunnel на CHR2; client CA/certificate выпущены CHR1 и импортированы в responder только публично. Собственный responder CA/server key создан native на CHR2. Linux strongSwan использовал собственный client key/private CA и точный public server certificate pin. CRL-use/download=yes; distinct Linux containers/addresses сохранены для трёх фаз.
+
+1. Валидный external CRL для CA/client загружен: IKE/ESP established, Ping3/3, API online=true.
+2. Тот же certificate CDP endpoint отвечает404; own CRL cache сброшен только после проверки ownership всех сертификатов/URL, invalid caches подтверждены. Native RouterOS ответил AUTHENTICATION_FAILED в обоих запусках; scoped log первого запуска — «failed to validate path: CRL not found» для собственного client certificate. Established0/API online=false. Это явный PKI отказ, не inference по timeout.
+3. Endpoint снова отдаёт signed valid CRL, оба cache valid; новый Linux container: IKE/Ping3/3/API online=true.
+
+Первый запуск прошёл1–2, но recovered control получил IKE_INIT timeout без ответа и не был принят как восстановление. Его полный протокол сохранён, exact transport cause неизвестен. Повторный полный запуск прошёл три фазы; возможный bounded transport retry записывается отдельно, не увеличивает число уникальных сценариев. [Оба запуска и итог](ux-ui/acceptance/ipsec-external-crl-ike-2026-10-11.json).
+
+CRL settings восстановлены точным сравнением. Own endpoint/logger/CA/certificates/private exports/credentials/Linux clients/network/IPsec identity/peer/policy/group/profile/proposal/mode-config/pool/bridge/address удалены по ownership checks.18 наборов IDs на каждом CHR совпали с baseline; private files removed, Docker cleanup, порт18084 закрыт. Existing/default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Crypto dumps в evidence не включены, сохранены только выбранные auth/CRL сообщения.
+
+Source/runtime/UI не менялись; действующий backend/frontend ux-log133. Следующий136 — повреждённый и подписанный истёкший CRL. Общая UI-регрессия после133 запущена отдельным процессом, её результат пока не заявляется. Немедленное завершение существующего IKE при отзыве, другие ОС и SLA ещё не приняты;12.5 открыт.
 
 ## 12.5.134 — внешняя загрузка CRL и отказ HTTP endpoint (2026-10-11)