chore(test): проверить внешний отзыв сертификата при установленном IKE

docs/ux-ui-progress.md

@@ -1,6 +1,6 @@
 # UX/UI: журнал реализации
 
-Актуальное продолжение 2026-10-11: завершён12.5.136 — real IKE valid/malformed/signed expired/recovered CRL: positive Ping3/3, malformed invalid=true и expired=true → AUTHENTICATION_FAILED/API offline. Без retry;18 коллекций×2 и private/Docker/CRL settings/endpoint restored. Runtime ux-log133. Следующий137 — external revocation с existing IKE; общая UI-регрессия идёт, итог будет отдельным блоком.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
 
 Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).
 
@@ -36,7 +36,17 @@
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
-| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–136 и ограничения ниже. Runtime backend/frontend ux-log133. |
+| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–137 и ограничения ниже. Runtime backend/frontend ux-log133. |
+
+## 12.5.137 — внешний отзыв сертификата и существующая IKE-сессия (2026-10-11)
+
+Собственный external-CA tunnel подтвердил IKE/Ping3/3. Затем CHR1 отозвал собственный client certificate. Свежий CRL содержит его точный serial, подпись проверена собственным public CA; CHR2 загрузил CA/client cache valid с revoked count1. Новый Linux client получил AUTHENTICATION_FAILED; scoped RouterOS log — «revoked by CRL cert is revoked by crl».
+
+Уже установленная IKE-сессия в коротком наблюдении сохранилась и продолжила Ping3/3. API online=true корректно отражал именно эту старую сессию, а не успех нового handshake. После явного terminate только собственного старого IKE API стал offline; ещё один новый revoked client также получил AUTHENTICATION_FAILED/established0/API offline. Поэтому отзыв/обновление CRL не выдаётся за гарантированное немедленное завершение уже установленного туннеля. [Подпись/serial, старый IKE, два отказа и cleanup](ux-ui/acceptance/ipsec-external-crl-revocation-2026-10-11.json).
+
+Own logger/certificate chains/exports/imports/private credentials/Linux containers/network/tunnel config/pool/bridge/address/HTTP endpoint удалены.18 наборов IDs×2 restored, CRL settings object восстановлен точно, port18084 closed. Default/public/metadata/195.195.195.195/32/flash и пароли сохранены. Source/runtime/UI не менялись; действуют backend/frontend ux-log133. Ключи и crypto dumps в evidence не сохранялись.
+
+Следующий138 — intermediate CA certificate chain. Общая UI-регрессия после133 продолжается и будет принята только по итоговому протоколу. Другие ОС, долгие нагрузки, periodic refresh и немедленное завершение existing sessions ещё не приняты как гарантии;12.5 открыт.
 
 ## 12.5.136 — повреждённый и подписанный истёкший CRL в IKE (2026-10-11)