chore(test): проверить кодирование DN и FQDN в реальном IPsec

docs/ux-ui-test-server.md

@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-10
 
-Сервер161.104.46.222: backend ux-export118/version1.0.0-test.export118, frontend ux-bound116/version1.0.0-test.bound116. Две real Linux certificate-derived ID sessions, Ping3/3×2/API online1/UI1280/320 passed. Cleanup16×2/clients/network/private files passed; оба CHR доступны/пароли прежние. Instrumental strongSwan image accept119 сохранён. Следующий120 — ручные ID/encoding interop.
+Сервер161.104.46.222: backend ux-export118/frontend ux-bound116.120: шесть IKE ID вариантов, четыре encrypted Ping3/3, два подтверждённых AUTH_FAILED; implicit SAN catalog offline — дефект для121. Cleanup16×2/Docker/credentials passed, оба CHR доступны/пароли прежние.
 
 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -970,3 +970,17 @@ References: [strongSwan configuration](https://docs.strongswan.org/docs/latest/s
 | Референс | Схема |
 | --- | --- |
 | [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Две подтверждённые сессии → один клиент онлайн → без произвольно выбранного VIP |
+
+## 12.5.120 — кодирование DN и FQDN SAN в реальном IKE (2026-10-11)
+
+На том же strongSwan6.0.1-6+deb13u7 последовательно проверены шесть вариантов с собственными CA/server/client certs, server certificate pin, RSA/AES256/SHA256/MODP2048. Certificate-derived DN, явный asn1dn с точными DER-байтами, FQDN из DNS SAN и FQDN с явным RouterOS remote-id установили tunnel и дали Ping3/3 каждый. Ручной текстовый DN и точный DER с единственным изменением тега CN 0x0c→0x13 отклонены AUTH_FAILED. Сертификат содержит UTF8String; парсер strongSwan6.0.1 выбирает PrintableString для этого ASCII CN. Это доказанная граница данной пары версий, не утверждение обо всех DN/PKI.
+
+Обнаружено: FQDN SAN без явно заданного remote-id успешно аутентифицируется, но catalog API показывает offline. С remote-id=fqdn:… online=true. Первый helper остановился на ошибочном ожидании online; finally полностью очистил стенд. Уточнённый сценарий сохранил этот дефект отдельным результатом и завершил шесть вариантов. Он требует исправления в121, а не считается успешной приёмкой отображения. Ранее119 отказ FQDN включал requested IDr; новая конфигурация закрепляет точный server cert и не запрашивает IDr. Проверка сертификатов не отключалась.
+
+Все свои containers/network/credentials и native objects удалены после проверки ownership. Baseline16 коллекций×2 совпал; оба CHR доступны, пароли и исходная конфигурация сохранены. Application source/runtime не менялись, UI заново не тестировался. [Протокол](ux-ui/acceptance/ipsec-id-interop-2026-10-11.json). Следующий121 — SAN matching с защитой неоднозначности и нескольких ID одного principal. Windows/macOS/mobile, независимые WAN, scale/rekey и интеграции остаются открыты.
+
+References: [Identity parsing6.0](https://docs.strongswan.org/docs/6.0/config/identityParsing.html), [парсер6.0.1](https://github.com/strongswan/strongswan/blob/6.0.1/src/libstrongswan/utils/identification.c).
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Native established → точный ID/сертификат → подтверждённый online; неоднозначность → неизвестно |