fix(ipsec): клиенты через общий IKEv2-peer и отдельный клиентский сертификат

Co-authored-by: Cursor <[email protected]>

packages/contracts/src/ipsec.ts

@@ -11,7 +11,13 @@ export const ipsecClientDtoSchema = z.object({
   /** Управляемое имя клиента (из managed-комментария identity). */
   name: z.string(),
   authMethod: ipsecAuthMethodSchema,
+  /** cert — клиент по сертификату (может быть без персональной identity); psk — pre-shared-key identity. */
+  kind: z.enum(["cert", "psk"]).default("cert"),
   certificateName: z.string().optional(),
+  /** Имя клиентского сертификата (роль client). Для psk — undefined. */
+  certName: z.string().optional(),
+  /** CA, которым подписан клиентский сертификат (read-only поле `ca`). */
+  signedBy: z.string().optional(),
   commonName: z.string().optional(),
   remoteId: z.string().optional(),
   /** Статический IP клиента (персональный mode-config), undefined — из общего пула. */