chore(test): проверить внешний отзыв сертификата при установленном IKE

docs/ux-ui-test-server.md

@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-10
 
-Сервер161.104.46.222: завершён12.5.136 — real IKE valid/malformed/signed expired/recovered CRL: positive Ping3/3, malformed invalid=true и expired=true → AUTHENTICATION_FAILED/API offline. Без retry;18 коллекций×2 и private/Docker/CRL settings/endpoint restored. Runtime ux-log133. Следующий137 — external revocation с existing IKE; общая UI-регрессия идёт, итог будет отдельным блоком.12.5 открыт.
+Сервер161.104.46.222: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
 
 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -1200,3 +1200,13 @@ Source/runtime/UI не менялись; действующий backend/frontend
 Own certificates/CA/exports/imports/private credentials/Linux containers/network/endpoint/loggers/tunnel config/pool/bridge/address удалены.18 наборов IDs×2 совпали с baseline, CRL settings restored exact, endpoint closed/порт18084 не слушается. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. [Четыре фазы, подпись и cleanup](ux-ui/acceptance/ipsec-malformed-expired-crl-2026-10-11.json); [OpenSSL CRL date options](https://docs.openssl.org/3.0/man1/openssl-ca/).
 
 Source/runtime/UI не менялись, действуют backend/frontend ux-log133. Следующий137 — external revocation при existing IKE и новый handshake. Уже запущенная общая UI-регрессия после133 продолжается; её итог будет отдельным последующим блоком, без объявления успеха заранее. Другие ОС/SLA/часовой refresh/immediate active-session revocation остаются открыты;12.5 открыт.
+
+## 12.5.137 — внешний отзыв сертификата и существующая IKE-сессия (2026-10-11)
+
+Собственный external-CA tunnel подтвердил IKE/Ping3/3. Затем CHR1 отозвал собственный client certificate. Свежий CRL содержит его точный serial, подпись проверена собственным public CA; CHR2 загрузил CA/client cache valid с revoked count1. Новый Linux client получил AUTHENTICATION_FAILED; scoped RouterOS log — «revoked by CRL cert is revoked by crl».
+
+Уже установленная IKE-сессия в коротком наблюдении сохранилась и продолжила Ping3/3. API online=true корректно отражал именно эту старую сессию, а не успех нового handshake. После явного terminate только собственного старого IKE API стал offline; ещё один новый revoked client также получил AUTHENTICATION_FAILED/established0/API offline. Поэтому отзыв/обновление CRL не выдаётся за гарантированное немедленное завершение уже установленного туннеля. [Подпись/serial, старый IKE, два отказа и cleanup](ux-ui/acceptance/ipsec-external-crl-revocation-2026-10-11.json).
+
+Own logger/certificate chains/exports/imports/private credentials/Linux containers/network/tunnel config/pool/bridge/address/HTTP endpoint удалены.18 наборов IDs×2 restored, CRL settings object восстановлен точно, port18084 closed. Default/public/metadata/195.195.195.195/32/flash и пароли сохранены. Source/runtime/UI не менялись; действуют backend/frontend ux-log133. Ключи и crypto dumps в evidence не сохранялись.
+
+Следующий138 — intermediate CA certificate chain. Общая UI-регрессия после133 продолжается и будет принята только по итоговому протоколу. Другие ОС, долгие нагрузки, periodic refresh и немедленное завершение existing sessions ещё не приняты как гарантии;12.5 открыт.