chore(test): подтвердить границы аутентификации сертификатов IPsec

docs/ux-ui-external-acceptance.md

@@ -1,6 +1,6 @@
 # UX/UI: протокол внешней приёмки 12.5
 
-Актуальное продолжение 2026-10-11: завершён12.5.122 — real CHILD SPI/IKE SA replacement и disconnect/reconnect. Четыре connected фазы Ping3/3/API online, terminated offline; baseline16×2/Docker/credentials restored. Первый reconnect Ping failed сохранён, точная причина не доказана. Backend ux-san121/frontend ux-bound116 прежние. Следующий123 — negative certificate/server pin authentication.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.123 — certificate authentication boundaries. Контрольный tunnel Ping3/3; неверный server certificate pin и второй непривязанный cert того же CA отвергнуты, каталог online0 после завершения. Baseline16×2/Docker/credentials restored, оба CHR доступны. Backend ux-san121/frontend ux-bound116 прежние. Следующий124 — reauth и граница IKE online при потере CHILD SA.12.5 открыт.
 
 IPsec78: реальный PSK responder established, mode-config198.18.78.10 и online=true подтверждены API; точные собственные объекты удалены. Сертификатный/DN online, late failure и history restore остаются открытыми. [Отчёт](ux-ui/acceptance/ipsec-mode-config-2026-10-09.json), [журнал](ux-ui-progress.md).
 
@@ -696,7 +696,7 @@ flowchart LR
 
 ## 12.5.77 — основной блок IPsec (2026-10-09)
 
-Актуальное продолжение 2026-10-11: завершён12.5.122 — real CHILD SPI/IKE SA replacement и disconnect/reconnect. Четыре connected фазы Ping3/3/API online, terminated offline; baseline16×2/Docker/credentials restored. Первый reconnect Ping failed сохранён, точная причина не доказана. Backend ux-san121/frontend ux-bound116 прежние. Следующий123 — negative certificate/server pin authentication.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.123 — certificate authentication boundaries. Контрольный tunnel Ping3/3; неверный server certificate pin и второй непривязанный cert того же CA отвергнуты, каталог online0 после завершения. Baseline16×2/Docker/credentials restored, оба CHR доступны. Backend ux-san121/frontend ux-bound116 прежние. Следующий124 — reauth и граница IKE online при потере CHILD SA.12.5 открыт.
 
 Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
 
@@ -1281,3 +1281,15 @@ Reference: [strongSwan rekey6.0](https://docs.strongswan.org/docs/6.0/swanctl/sw
 | Референс | Схема |
 | --- | --- |
 | [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Новые SA → подтверждённый online → terminate/offline → reconnect/online |
+
+## 12.5.123 — server pin и привязка клиентского сертификата (2026-10-11)
+
+Три реальные Linux strongSwan→CHR попытки без ослабления проверки сертификатов. Контрольный клиент с private CA/точным server pin/привязанным remote-certificate установил туннель и дал Ping3/3. Замена server pin на другой собственный certificate привела к отказу на клиенте. Второй RSA client certificate, подписанный тем же CA, но не указанный в remote-certificate identity, отвергнут RouterOS. Общий доверенный CA не подменяет точную native привязку. Отказы проверялись как ожидаемые, а не success tunnel.
+
+После каждой попытки native established0 и catalog online0; неподключённые клиенты не получили active session. Все собственные Docker clients/network/private credentials и native objects удалены;16 исходных коллекций×2 совпали, пароли/default/public/metadata/195.195.195.195/32 сохранены. Оба CHR доступны. Source/runtime не менялись, профильная общая регрессия и UI не повторялись. [Протокол](ux-ui/acceptance/ipsec-certificate-auth-boundaries-2026-10-11.json).
+
+Это ограниченная certificate authentication приёмка, не полная PKI: revocation/expiry, прочие client OS/custom OIDs/ID namespaces остаются открыты. Следующий124 — полноценный reauth и наблюдаемая граница IKE online при отсутствии CHILD SA.
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Сертификат и привязка подтверждены → online; ошибка pin/привязки → отказ без ложного online |