denozord/MikrotikManager
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 104 Wiki Activity

chore(test): подтвердить цепочку промежуточного CA и повторный IKE

Browse Source
This commit is contained in:
Denozordec committed 2026-10-11 12:08:39 +07:00
1 parent c331558e31
commit c242b611e2
7 files changed
+648 -11
Download Patch File Download Diff File Expand all files Collapse all files

No files matched your search

docs/ux-ui-external-acceptance.md
+12 -2
View File
@@ -1,6 +1,6 @@
# UX/UI: протокол внешней приёмки 12.5
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
IPsec78: реальный PSK responder established, mode-config198.18.78.10 и online=true подтверждены API; точные собственные объекты удалены. Сертификатный/DN online, late failure и history restore остаются открытыми. [Отчёт](ux-ui/acceptance/ipsec-mode-config-2026-10-09.json), [журнал](ux-ui-progress.md).
@@ -696,7 +696,7 @@ flowchart LR
## 12.5.77 — основной блок IPsec (2026-10-09)
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
@@ -1479,3 +1479,13 @@ Source/runtime/UI не менялись, действуют backend/frontend ux-
Own logger/certificate chains/exports/imports/private credentials/Linux containers/network/tunnel config/pool/bridge/address/HTTP endpoint удалены.18 наборов IDs×2 restored, CRL settings object восстановлен точно, port18084 closed. Default/public/metadata/195.195.195.195/32/flash и пароли сохранены. Source/runtime/UI не менялись; действуют backend/frontend ux-log133. Ключи и crypto dumps в evidence не сохранялись.
Следующий138 — intermediate CA certificate chain. Общая UI-регрессия после133 продолжается и будет принята только по итоговому протоколу. Другие ОС, долгие нагрузки, periodic refresh и немедленное завершение existing sessions ещё не приняты как гарантии;12.5 открыт.
## 12.5.138 — промежуточный CA и повторная аутентификация (2026-10-11)
CHR1 выпустил собственную RSA2048 chain Root CA → Intermediate CA → client. Root/intermediate имеют CA BasicConstraints, leaf — CA=false; обе подписи проверены Node X509, полная цепочка/сроки/constraints прошли OpenSSL verify. CHR2 импортировал три public certificates и загрузил три valid/nonexpired CRL cache через два собственных CDP path. Отдельные native responder CA/server key созданы на CHR2.
Linux strongSwan с собственной client private key, explicit public Root/intermediate trust и точным server certificate pin установил IKE/ESP: Ping3/3/API online=true/конкретный VIP. Reauth завершился успешно, IKE id изменился1→2; новый IKE/ESP снова Ping3/3/API online/VIP. Профиль не менял auth algorithms/правила существующих сетевых операций. [Полная цепочка, CRL, IKE/reauth и cleanup](ux-ui/acceptance/ipsec-intermediate-ca-chain-2026-10-11.json).
Own issuer chain удалена только после доказательства ownership всех descendants/отсутствия references. Own responder/imports/exports/private credentials/Docker client/network/endpoint/loggers/cache/tunnel objects/pool/bridge/address удалены;18 наборов IDs×2 restored, CRL settings restored exact, порт18084 закрыт. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Source/runtime/UI не менялись; backend/frontend ux-log133.
Принята именно описанная native RSA chain и один Linux client. Arbitrary custom OIDs/policies/path length/missing chain/intermediate revocation/прочие ОС и полная production PKI не приняты. Следующий139 — дождаться итогов текущей общей UI-регрессии, выполнить context/source series и сохранить точный итог с сохранением исходных evidence/screens.12.5 открыт.
docs/ux-ui-plan.md
+3 -3
View File
@@ -1,12 +1,12 @@
# План реализации UX/UI по пятичасовым окнам
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
Общий план проекта MikrotikManager. Основан на согласованном плане из задачи; точка продолжения обновлена 2026-10-10. Источник фактического прогресса, проверок и ограничений — [журнал реализации](ux-ui-progress.md). Этот документ задаёт объём и критерии завершения, журнал фиксирует результат.
## Актуальная точка продолжения — 2026-10-10
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
Этапы0–11 завершены в локальных границах журнала. История выполненных внешних блоков и доказательства сохранены в [журнале](ux-ui-stage-12.md) и [протоколе](ux-ui-external-acceptance.md). Реальная Telegram доставка, Portal SSO, multi-instance и оставшиеся профильные сетевые ограничения открыты.
@@ -371,6 +371,6 @@ flowchart LR
## 12.5.77 — основной блок IPsec (2026-10-09)
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
docs/ux-ui-progress.md
+12 -2
View File
@@ -1,6 +1,6 @@
# UX/UI: журнал реализации
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
Общий план: [UX/UI по этапам и пятичасовым окнам](ux-ui-plan.md). План задаёт объём, этот журнал фиксирует выполненные блоки и ограничения. Записи расположены от новых к старым; подробная история этапа12 также сохранена в [ux-ui-stage-12.md](ux-ui-stage-12.md).
@@ -36,7 +36,17 @@
| 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
| 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–137 и ограничения ниже. Runtime backend/frontend ux-log133. |
| 12 | Итоговая доступность, адаптивность, производительность и регрессия | Локальная приёмка завершена в границах12.3.83; внешняя12.5 в работе, выполненные блоки1–138 и ограничения ниже. Runtime backend/frontend ux-log133. |
## 12.5.138 — промежуточный CA и повторная аутентификация (2026-10-11)
CHR1 выпустил собственную RSA2048 chain Root CA → Intermediate CA → client. Root/intermediate имеют CA BasicConstraints, leaf — CA=false; обе подписи проверены Node X509, полная цепочка/сроки/constraints прошли OpenSSL verify. CHR2 импортировал три public certificates и загрузил три valid/nonexpired CRL cache через два собственных CDP path. Отдельные native responder CA/server key созданы на CHR2.
Linux strongSwan с собственной client private key, explicit public Root/intermediate trust и точным server certificate pin установил IKE/ESP: Ping3/3/API online=true/конкретный VIP. Reauth завершился успешно, IKE id изменился1→2; новый IKE/ESP снова Ping3/3/API online/VIP. Профиль не менял auth algorithms/правила существующих сетевых операций. [Полная цепочка, CRL, IKE/reauth и cleanup](ux-ui/acceptance/ipsec-intermediate-ca-chain-2026-10-11.json).
Own issuer chain удалена только после доказательства ownership всех descendants/отсутствия references. Own responder/imports/exports/private credentials/Docker client/network/endpoint/loggers/cache/tunnel objects/pool/bridge/address удалены;18 наборов IDs×2 restored, CRL settings restored exact, порт18084 закрыт. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Source/runtime/UI не менялись; backend/frontend ux-log133.
Принята именно описанная native RSA chain и один Linux client. Arbitrary custom OIDs/policies/path length/missing chain/intermediate revocation/прочие ОС и полная production PKI не приняты. Следующий139 — дождаться итогов текущей общей UI-регрессии, выполнить context/source series и сохранить точный итог с сохранением исходных evidence/screens.12.5 открыт.
## 12.5.137 — внешний отзыв сертификата и существующая IKE-сессия (2026-10-11)
docs/ux-ui-remaining-acceptance.md
+12 -2
View File
@@ -1,6 +1,6 @@
# Оставшаяся внешняя приёмка — 2026-10-11
Это актуальная матрица после 12.5.137. Исторические записи сохраняют версии и ограничения на момент выполнения; поздние проверки ниже уточняют их. Этап 12.5 открыт. Успех в двух CHR и одном backend не означает приёмку всех конфигураций, интеграций или полной регрессии.
Это актуальная матрица после 12.5.138. Исторические записи сохраняют версии и ограничения на момент выполнения; поздние проверки ниже уточняют их. Этап 12.5 открыт. Успех в двух CHR и одном backend не означает приёмку всех конфигураций, интеграций или полной регрессии.
Стенд: Debian13/Compose, PostgreSQL18.6, два CHR RouterOS7.24.5. Backend `ux-log133`, frontend `ux-log133`; production lab использует AUTH_REQUIRED=false. Подписанные JWT/RBAC проверялись в изолированных процессах. Все собственные объекты112 удалены, исходные13 коллекций×2 (включая logging/certificates/files/routes) проверены; пароли не менялись.
@@ -12,7 +12,7 @@
| GRE | Native lifecycle, metadata, live формы/меню/URL/Ping53–57; GRE используется в OSPF/BGP/IPsec последующих блоков; native IPv6 ULA inner109 | IPv6 outer и application IPv6 interface address lifecycle, независимые WAN, масштаб и длительное восстановление; принятие GRE не означает приёмку всех сценариев автоматического расписания |
| WireGuard | Native handshake/data plane58, deletion60, live create/peer/disable/enable/delete62, mobile64, export/import67–74; native IPv6 ULA inner/allowedIps/handshake109 | Клиентские ОС и произвольные конфигурации, IPv6 outer/scale и application IPv6 interface address lifecycle, физический lost ACK и устойчивое восстановление; `.conf` с placeholders — шаблон, не принятый клиентский tunnel |
| VXLAN | Собственная пара/private Ping/catalog/URL/export75–76; bridge/FDB/port loss/recovery107; IPv6 ULA inner по IPv4 outer108 | API приложения read-only: create/delete проверены native. IPv6 outer, масштаб/производительность, профильные mutation RBAC/concurrency отдельно не приняты |
| IPsec | PSK и сертификатное шифрование77–82, active peer/online/mode-config, scoped NAT/group, partial/unknown/applied receipts, restore conflicts, JWT; full DN/специальные символы/online110; literal CN namespace guards и explicit FQDN111; certificate/PSK shared ID unknown/recovery112; multiple sessions controlled snapshots113; shared certificate rows/target guards114; preserve-certificate UI/native DELETE115; explicit deletion binding/PSK collision116; legacy export binding118; real duplicate DN sessions/Linux Ping/UI119; DN DER/ASCII tag и FQDN SAN native120; implicit unique DNS SAN/mixed IDs/API/UI121; короткий CHILD/IKE rekey/reconnect122; server pin и unbound same-CA certificate refusal123; external revoked CRL new-handshake refusal/existing-session boundary137; certificate-bound malformed/signed expired CRL IKE refusal/recovery136; certificate-bound missing-CDP404/IKE refusal and recovery135; external HTTP CRL download/404/cache preservation134; isolated diagnostic buffers132; own ECDSA P-256/Ping/API export131 and final18×2 inventory; isolated same-key/CA time boundary with explicit AUTH_FAILED130; valid-renewal control timeout/clock/log observation129; original/renewed controls and time-invalid timeout observation128; CRL-issued cert/CA no-write delete guards127; own CRL-enabled valid/revoked control126; local revoked flag/CRL-disabled reconnect observation125; certificate reauth/CHILD absence boundary/UI124 | Реальные duplicate certificate-derived DN sessions приняты119; external/intermediate/custom PKI; ECDSA P-256 accepted131;128/129 timeout cause still unknown,130 time boundary accepted; periodic refresh; existing IKE survives short external-revocation observation137, automatic termination not guaranteed; direct CHR-to-CHR CRL HTTP failure cause134; reauth/CHILD loss принят124; длительный rekey/переходная потеря пакетов; прочие ID типы/ADDR4/manual DN/custom PKI; native edit identical matching rules rejected; клиентские Windows/macOS/iOS/Android, прочие DN форматы/custom OIDs/IKE ID namespaces, полная PKI и policy/profile/proposal restore, физический disconnect, durable retry/multi-instance, IPv6/maximum throughput |
| IPsec | PSK и сертификатное шифрование77–82, active peer/online/mode-config, scoped NAT/group, partial/unknown/applied receipts, restore conflicts, JWT; full DN/специальные символы/online110; literal CN namespace guards и explicit FQDN111; certificate/PSK shared ID unknown/recovery112; multiple sessions controlled snapshots113; shared certificate rows/target guards114; preserve-certificate UI/native DELETE115; explicit deletion binding/PSK collision116; legacy export binding118; real duplicate DN sessions/Linux Ping/UI119; DN DER/ASCII tag и FQDN SAN native120; implicit unique DNS SAN/mixed IDs/API/UI121; короткий CHILD/IKE rekey/reconnect122; server pin и unbound same-CA certificate refusal123; own RSA Root/Intermediate/client chain/CRLs/IKE/reauth138; external revoked CRL new-handshake refusal/existing-session boundary137; certificate-bound malformed/signed expired CRL IKE refusal/recovery136; certificate-bound missing-CDP404/IKE refusal and recovery135; external HTTP CRL download/404/cache preservation134; isolated diagnostic buffers132; own ECDSA P-256/Ping/API export131 and final18×2 inventory; isolated same-key/CA time boundary with explicit AUTH_FAILED130; valid-renewal control timeout/clock/log observation129; original/renewed controls and time-invalid timeout observation128; CRL-issued cert/CA no-write delete guards127; own CRL-enabled valid/revoked control126; local revoked flag/CRL-disabled reconnect observation125; certificate reauth/CHILD absence boundary/UI124 | Реальные duplicate certificate-derived DN sessions приняты119; arbitrary custom PKI/OIDs/policies/path-length and missing/intermediate-revoked chain; native intermediate chain accepted138; ECDSA P-256 accepted131;128/129 timeout cause still unknown,130 time boundary accepted; periodic refresh; existing IKE survives short external-revocation observation137, automatic termination not guaranteed; direct CHR-to-CHR CRL HTTP failure cause134; reauth/CHILD loss принят124; длительный rekey/переходная потеря пакетов; прочие ID типы/ADDR4/manual DN/custom PKI; native edit identical matching rules rejected; клиентские Windows/macOS/iOS/Android, прочие DN форматы/custom OIDs/IKE ID namespaces, полная PKI и policy/profile/proposal restore, физический disconnect, durable retry/multi-instance, IPv6/maximum throughput |
| OSPF/BFD | Real Full/own routes84–85, раздельные наблюдения BFD86, effective disabled/optimizer cost/partial/RBAC87, alternate path90 и CIDR91 | Sustained BFD-only gate не принят: в86 сосед мог вновь статьFull при доступныхHello. В90 переходный Ping18/40 с55% loss: бесшовность не принята. REST timing — наблюдаемая граница, не SLA; IPv6/scale/independent WAN открыты |
| BGP | Established83, exact /32 exchange/API/UI/administrative withdrawal92, BFD primary GRE loss/alternate/recovery93 | Hold timer/TCP loss безBFD принят104; packet loss в переходе, разные внешние peers/WAN policy, IPv6/scale. Два логических пути используют тот же public WAN; physical redundancy не принята |
| Recursive routes | Production PUT/change/own history restore88, disabled guards, partial/unknown/applied outcomes, live формы/контекст | Автоматический rollback/retry, durable receipts и несколько экземпляров отсутствуют; PUT не является idempotent noop. Полная произвольная legacy catalog миграция не принята |
@@ -394,3 +394,13 @@ Source/runtime/UI не менялись, действуют backend/frontend ux-
Own logger/certificate chains/exports/imports/private credentials/Linux containers/network/tunnel config/pool/bridge/address/HTTP endpoint удалены.18 наборов IDs×2 restored, CRL settings object восстановлен точно, port18084 closed. Default/public/metadata/195.195.195.195/32/flash и пароли сохранены. Source/runtime/UI не менялись; действуют backend/frontend ux-log133. Ключи и crypto dumps в evidence не сохранялись.
Следующий138 — intermediate CA certificate chain. Общая UI-регрессия после133 продолжается и будет принята только по итоговому протоколу. Другие ОС, долгие нагрузки, periodic refresh и немедленное завершение existing sessions ещё не приняты как гарантии;12.5 открыт.
## 12.5.138 — промежуточный CA и повторная аутентификация (2026-10-11)
CHR1 выпустил собственную RSA2048 chain Root CA → Intermediate CA → client. Root/intermediate имеют CA BasicConstraints, leaf — CA=false; обе подписи проверены Node X509, полная цепочка/сроки/constraints прошли OpenSSL verify. CHR2 импортировал три public certificates и загрузил три valid/nonexpired CRL cache через два собственных CDP path. Отдельные native responder CA/server key созданы на CHR2.
Linux strongSwan с собственной client private key, explicit public Root/intermediate trust и точным server certificate pin установил IKE/ESP: Ping3/3/API online=true/конкретный VIP. Reauth завершился успешно, IKE id изменился1→2; новый IKE/ESP снова Ping3/3/API online/VIP. Профиль не менял auth algorithms/правила существующих сетевых операций. [Полная цепочка, CRL, IKE/reauth и cleanup](ux-ui/acceptance/ipsec-intermediate-ca-chain-2026-10-11.json).
Own issuer chain удалена только после доказательства ownership всех descendants/отсутствия references. Own responder/imports/exports/private credentials/Docker client/network/endpoint/loggers/cache/tunnel objects/pool/bridge/address удалены;18 наборов IDs×2 restored, CRL settings restored exact, порт18084 закрыт. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Source/runtime/UI не менялись; backend/frontend ux-log133.
Принята именно описанная native RSA chain и один Linux client. Arbitrary custom OIDs/policies/path length/missing chain/intermediate revocation/прочие ОС и полная production PKI не приняты. Следующий139 — дождаться итогов текущей общей UI-регрессии, выполнить context/source series и сохранить точный итог с сохранением исходных evidence/screens.12.5 открыт.
docs/ux-ui-stage-12.md
+11 -1
View File
@@ -1,6 +1,6 @@
# Этап 12: итоговая приёмка UX/UI
Актуальное продолжение 2026-10-11: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Актуальное продолжение 2026-10-11: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
План: [ux-ui-plan.md](ux-ui-plan.md). Фактические результаты: [ux-ui-progress.md](ux-ui-progress.md). Подготовлен после сводных проверок 11Б; завершение каждого блока требует локального коммита без push.
@@ -2784,3 +2784,13 @@ Source/runtime/UI не менялись, действуют backend/frontend ux-
Own logger/certificate chains/exports/imports/private credentials/Linux containers/network/tunnel config/pool/bridge/address/HTTP endpoint удалены.18 наборов IDs×2 restored, CRL settings object восстановлен точно, port18084 closed. Default/public/metadata/195.195.195.195/32/flash и пароли сохранены. Source/runtime/UI не менялись; действуют backend/frontend ux-log133. Ключи и crypto dumps в evidence не сохранялись.
Следующий138 — intermediate CA certificate chain. Общая UI-регрессия после133 продолжается и будет принята только по итоговому протоколу. Другие ОС, долгие нагрузки, periodic refresh и немедленное завершение existing sessions ещё не приняты как гарантии;12.5 открыт.
## 12.5.138 — промежуточный CA и повторная аутентификация (2026-10-11)
CHR1 выпустил собственную RSA2048 chain Root CA → Intermediate CA → client. Root/intermediate имеют CA BasicConstraints, leaf — CA=false; обе подписи проверены Node X509, полная цепочка/сроки/constraints прошли OpenSSL verify. CHR2 импортировал три public certificates и загрузил три valid/nonexpired CRL cache через два собственных CDP path. Отдельные native responder CA/server key созданы на CHR2.
Linux strongSwan с собственной client private key, explicit public Root/intermediate trust и точным server certificate pin установил IKE/ESP: Ping3/3/API online=true/конкретный VIP. Reauth завершился успешно, IKE id изменился1→2; новый IKE/ESP снова Ping3/3/API online/VIP. Профиль не менял auth algorithms/правила существующих сетевых операций. [Полная цепочка, CRL, IKE/reauth и cleanup](ux-ui/acceptance/ipsec-intermediate-ca-chain-2026-10-11.json).
Own issuer chain удалена только после доказательства ownership всех descendants/отсутствия references. Own responder/imports/exports/private credentials/Docker client/network/endpoint/loggers/cache/tunnel objects/pool/bridge/address удалены;18 наборов IDs×2 restored, CRL settings restored exact, порт18084 закрыт. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Source/runtime/UI не менялись; backend/frontend ux-log133.
Принята именно описанная native RSA chain и один Linux client. Arbitrary custom OIDs/policies/path length/missing chain/intermediate revocation/прочие ОС и полная production PKI не приняты. Следующий139 — дождаться итогов текущей общей UI-регрессии, выполнить context/source series и сохранить точный итог с сохранением исходных evidence/screens.12.5 открыт.
docs/ux-ui-test-server.md
+11 -1
View File
@@ -1,6 +1,6 @@
# Тестовый сервер UX/UI — 2026-10-10
Сервер161.104.46.222: завершён12.5.137 — external revoked serial/signature/cache1 → новые IKE AUTHENTICATION_FAILED. Существующий IKE/Ping3/3 сохранился; API online=true относится к нему, после own terminate offline.18 коллекций×2/settings/private/Docker/endpoint restored. Runtime ux-log133. Следующий138 — intermediate CA chain; общая UI-регрессия идёт и будет сохранена отдельным блоком.12.5 открыт.
Сервер161.104.46.222: завершён12.5.138 — native Root→Intermediate→client chain: CA flags/signatures/full OpenSSL verify,3 valid CRL caches, initial IKE/Ping3/3 и reauth new IKE ID/Ping3/3/API online.18 коллекций×2 и keys/Docker/settings/endpoint restored. Runtime ux-log133. Следующий139 — завершить уже запущенную общую UI/context регрессию и сохранить итог.12.5 открыт.
| Параметр | Проверенное состояние |
| --- | --- |
@@ -1210,3 +1210,13 @@ Source/runtime/UI не менялись, действуют backend/frontend ux-
Own logger/certificate chains/exports/imports/private credentials/Linux containers/network/tunnel config/pool/bridge/address/HTTP endpoint удалены.18 наборов IDs×2 restored, CRL settings object восстановлен точно, port18084 closed. Default/public/metadata/195.195.195.195/32/flash и пароли сохранены. Source/runtime/UI не менялись; действуют backend/frontend ux-log133. Ключи и crypto dumps в evidence не сохранялись.
Следующий138 — intermediate CA certificate chain. Общая UI-регрессия после133 продолжается и будет принята только по итоговому протоколу. Другие ОС, долгие нагрузки, periodic refresh и немедленное завершение existing sessions ещё не приняты как гарантии;12.5 открыт.
## 12.5.138 — промежуточный CA и повторная аутентификация (2026-10-11)
CHR1 выпустил собственную RSA2048 chain Root CA → Intermediate CA → client. Root/intermediate имеют CA BasicConstraints, leaf — CA=false; обе подписи проверены Node X509, полная цепочка/сроки/constraints прошли OpenSSL verify. CHR2 импортировал три public certificates и загрузил три valid/nonexpired CRL cache через два собственных CDP path. Отдельные native responder CA/server key созданы на CHR2.
Linux strongSwan с собственной client private key, explicit public Root/intermediate trust и точным server certificate pin установил IKE/ESP: Ping3/3/API online=true/конкретный VIP. Reauth завершился успешно, IKE id изменился1→2; новый IKE/ESP снова Ping3/3/API online/VIP. Профиль не менял auth algorithms/правила существующих сетевых операций. [Полная цепочка, CRL, IKE/reauth и cleanup](ux-ui/acceptance/ipsec-intermediate-ca-chain-2026-10-11.json).
Own issuer chain удалена только после доказательства ownership всех descendants/отсутствия references. Own responder/imports/exports/private credentials/Docker client/network/endpoint/loggers/cache/tunnel objects/pool/bridge/address удалены;18 наборов IDs×2 restored, CRL settings restored exact, порт18084 закрыт. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Source/runtime/UI не менялись; backend/frontend ux-log133.
Принята именно описанная native RSA chain и один Linux client. Arbitrary custom OIDs/policies/path length/missing chain/intermediate revocation/прочие ОС и полная production PKI не приняты. Следующий139 — дождаться итогов текущей общей UI-регрессии, выполнить context/source series и сохранить точный итог с сохранением исходных evidence/screens.12.5 открыт.
docs/ux-ui/acceptance/ipsec-intermediate-ca-chain-2026-10-11.json
+587
View File
@@ -0,0 +1,587 @@
{
"date": "2026-10-11",
"block": "12.5.138",
"runtime": {
"backend": "ux-log133",
"frontend": "ux-log133"
},
"native": {
"date": "2026-10-11",
"block": "12.5.138",
"name": "mm-ipsec138-1791695097064",
"observations": [
{
"phase": "valid-crl-download",
"rows": [
{
".id": "*13",
"url": "http://161.104.46.222:18084/crl/265.crl",
"cert": "mm-ipsec138-1791695097064-ca",
"invalid": "false",
"expired": "false",
"dynamic": "true",
"revoked": "0",
"last-update": "2026-10-11 07:05:05",
"next-update": "2027-10-11 07:05:00"
},
{
".id": "*14",
"url": "http://161.104.46.222:18084/crl/265.crl",
"cert": "mm-ipsec138-1791695097064-intermediate",
"invalid": "false",
"expired": "false",
"dynamic": "true",
"revoked": "0",
"last-update": "2026-10-11 07:05:06",
"next-update": "2027-10-11 07:05:00"
},
{
".id": "*15",
"url": "http://161.104.46.222:18084/crl/266.crl",
"cert": "mm-ipsec138-1791695097064-client",
"invalid": "false",
"expired": "false",
"dynamic": "true",
"revoked": "0",
"last-update": "2026-10-11 07:05:06",
"next-update": "2027-10-11 07:05:01"
}
]
}
],
"cleanup": [
{
"serverId": 1,
"/certificate": true,
"/certificate/crl": true,
"/file": true,
"/system/logging": true,
"/system/logging/action": true,
"/ip/ipsec/identity": true,
"/ip/ipsec/peer": true,
"/ip/address": true,
"/ip/route": true,
"/ip/firewall/nat": true,
"/ip/ipsec/policy": true,
"/ip/ipsec/policy/group": true,
"/ip/ipsec/profile": true,
"/ip/ipsec/proposal": true,
"/ip/ipsec/mode-config": true,
"/ip/pool": true,
"/interface/bridge": true,
"/ipv6/address": true
},
{
"serverId": 2,
"/certificate": true,
"/certificate/crl": true,
"/file": true,
"/system/logging": true,
"/system/logging/action": true,
"/ip/ipsec/identity": true,
"/ip/ipsec/peer": true,
"/ip/address": true,
"/ip/route": true,
"/ip/firewall/nat": true,
"/ip/ipsec/policy": true,
"/ip/ipsec/policy/group": true,
"/ip/ipsec/profile": true,
"/ip/ipsec/proposal": true,
"/ip/ipsec/mode-config": true,
"/ip/pool": true,
"/interface/bridge": true,
"/ipv6/address": true
}
],
"endpointRequests": [
{
"method": "GET",
"path": "/crl/266.crl",
"source": "104.165.244.7",
"status": 200
},
{
"method": "GET",
"path": "/crl/265.crl",
"source": "104.165.244.7",
"status": 200
},
{
"method": "GET",
"path": "/crl/265.crl",
"source": "104.165.244.7",
"status": 200
},
{
"method": "GET",
"path": "/crl/265.crl",
"source": "104.165.244.7",
"status": 200
},
{
"method": "GET",
"path": "/crl/265.crl",
"source": "104.165.244.7",
"status": 200
},
{
"method": "GET",
"path": "/crl/265.crl",
"source": "104.165.244.7",
"status": 200
},
{
"method": "GET",
"path": "/crl/266.crl",
"source": "104.165.244.7",
"status": 200
}
],
"distributionUrl": "http://161.104.46.222:18084/crl/266.crl",
"chain": {
"rootCa": true,
"intermediateCa": true,
"leafCa": false,
"intermediateSignatureVerified": true,
"leafSignatureVerified": true,
"opensslChainVerify": "/app/backend/acceptance/private-mm-ipsec138-1791695097064/swanctl/x509/client.pem: OK"
},
"httpControl": {
"origin": "http://194.226.121.150/crl/266.crl",
"status": 200,
"bytes": 433,
"parsed": "issuer=CN = mm-ipsec138-1791695097064-intermediate\nlastUpdate=Oct 11 05:05:01 2026 GMT\nnextUpdate=Oct 11 05:05:01 2027 GMT"
},
"receiverHttpControl": [
{
".section": "0",
"status": "connecting"
},
{
".section": "1",
"code": "200",
"downloaded": "1",
"duration": "1s",
"status": "finished",
"total": "1"
}
],
"settingsBefore": {
"builtin-trust-store": "default",
"crl-download": "false",
"crl-store": "ram",
"crl-use": "false",
"current-defaults": "fetch,mqtt,email,netwatch,container,lora,wiliot,dns,www,reverse-proxy"
},
"imports": [
[
{
"certificates-imported": "1",
"decryption-failures": "0",
"files-imported": "0",
"keys-with-no-certificate": "0",
"private-keys-imported": "0"
}
],
[
{
"certificates-imported": "1",
"decryption-failures": "0",
"files-imported": "0",
"keys-with-no-certificate": "0",
"private-keys-imported": "0"
}
],
[
{
"certificates-imported": "1",
"decryption-failures": "0",
"files-imported": "0",
"keys-with-no-certificate": "0",
"private-keys-imported": "0"
}
]
],
"downloadReceipt": {
"automaticDownloadInProgress": true
},
"ike": [
{
"phase": "initial",
"vip": "198.18.138.249",
"online": true,
"ikeId": "1",
"pingAttempts": [
{
"success": true,
"output": "PING 198.18.138.1 (198.18.138.1) from 198.18.138.249 : 56(84) bytes of data.\n64 bytes from 198.18.138.1: icmp_seq=1 ttl=64 time=62.4 ms\n64 bytes from 198.18.138.1: icmp_seq=2 ttl=64 time=62.3 ms\n64 bytes from 198.18.138.1: icmp_seq=3 ttl=64 time=62.3 ms\n\n--- 198.18.138.1 ping statistics ---\n3 packets transmitted, 3 received, 0% packet loss, time 2002ms\nrtt min/avg/max/mdev = 62.261/62.333/62.402/0.057 ms\n"
}
],
"ping3of3": true
},
{
"phase": "reauth",
"vip": "198.18.138.249",
"online": true,
"ikeId": "2",
"pingAttempts": [
{
"success": true,
"output": "PING 198.18.138.1 (198.18.138.1) from 198.18.138.249 : 56(84) bytes of data.\n64 bytes from 198.18.138.1: icmp_seq=1 ttl=64 time=62.2 ms\n64 bytes from 198.18.138.1: icmp_seq=2 ttl=64 time=62.5 ms\n64 bytes from 198.18.138.1: icmp_seq=3 ttl=64 time=62.5 ms\n\n--- 198.18.138.1 ping statistics ---\n3 packets transmitted, 3 received, 0% packet loss, time 2003ms\nrtt min/avg/max/mdev = 62.220/62.395/62.494/0.124 ms\n"
}
],
"ping3of3": true
}
],
"chainCaches": [
{
".id": "*13",
"url": "http://161.104.46.222:18084/crl/265.crl",
"cert": "mm-ipsec138-1791695097064-ca",
"invalid": "false",
"expired": "false",
"dynamic": "true",
"revoked": "0",
"last-update": "2026-10-11 07:05:05",
"next-update": "2027-10-11 07:05:00"
},
{
".id": "*14",
"url": "http://161.104.46.222:18084/crl/265.crl",
"cert": "mm-ipsec138-1791695097064-intermediate",
"invalid": "false",
"expired": "false",
"dynamic": "true",
"revoked": "0",
"last-update": "2026-10-11 07:05:06",
"next-update": "2027-10-11 07:05:00"
},
{
".id": "*15",
"url": "http://161.104.46.222:18084/crl/266.crl",
"cert": "mm-ipsec138-1791695097064-client",
"invalid": "false",
"expired": "false",
"dynamic": "true",
"revoked": "0",
"last-update": "2026-10-11 07:05:06",
"next-update": "2027-10-11 07:05:01"
}
],
"initiation": {
"code": 0,
"output": "(1236 bytes)\n[NET] sending packet: from 172.19.0.2[4500] to 104.165.244.7[4500] (1236 bytes)\n[NET] received packet: from 104.165.244.7[4500] to 172.19.0.2[4500] (548 bytes)\n[ENC] parsed IKE_AUTH response 1 [ EF(2/2) ]\n[ENC] received fragment #2 of 2, waiting for complete IKE message\n[NET] received packet: from 104.165.244.7[4500] to 172.19.0.2[4500] (1220 bytes)\n[ENC] parsed IKE_AUTH response 1 [ EF(1/2) ]\n[ENC] received fragment #1 of 2, reassembled fragmented IKE message (1360 bytes)\n[ENC] parsed IKE_AUTH response 1 [ IDr AUTH CERT N(INIT_CONTACT) CPRP(ADDR MASK DNS DNS DNS DNS) TSi TSr SA ]\n[IKE] received end entity cert \"CN=mm-ipsec138-1791695097064-server\"\n[CFG] using trusted certificate \"CN=mm-ipsec138-1791695097064-server\"\n[CFG] using trusted ca certificate \"CN=mm-ipsec138-1791695097064-server-ca\"\n[CFG] reached self-signed root ca with a path length of 0\n[CFG] checking certificate status of \"CN=mm-ipsec138-1791695097064-server\"\n[CFG] certificate status is not available\n[IKE] authentication of '104.165.244.7' with RSA signature successful\n[CFG] handling INTERNAL_IP4_NETMASK attribute failed\n[IKE] installing DNS server 1.1.1.1 to /etc/resolv.conf\n[IKE] installing DNS server 1.0.0.1 to /etc/resolv.conf\n[IKE] installing DNS server 8.8.8.8 to /etc/resolv.conf\n[IKE] installing DNS server 8.8.4.4 to /etc/resolv.conf\n[IKE] installing new virtual IP 198.18.138.249\n[IKE] IKE_SA lab[1] established between 172.19.0.2[CN=mm-ipsec138-1791695097064-client]...104.165.244.7[104.165.244.7]\n[IKE] scheduling rekeying in 13247s\n[IKE] maximum IKE_SA lifetime 14687s\n[CFG] selected proposal: ESP:AES_CBC_256/HMAC_SHA2_256_128/NO_EXT_SEQ\n[IKE] CHILD_SA private{1} established with SPIs c5dcb9b3_i 109882a8_o and TS 198.18.138.249/32 === 198.18.138.0/24\ninitiate completed successfully\n"
},
"reauth": {
"code": 0,
"output": "'pkcs12': failed to load - pkcs12_plugin_create not found and no plugin file available\nplugin 'pgp': failed to load - pgp_plugin_create not found and no plugin file available\nplugin 'gcrypt': failed to load - gcrypt_plugin_create not found and no plugin file available\nplugin 'af-alg': failed to load - af_alg_plugin_create not found and no plugin file available\nplugin 'fips-prf': failed to load - fips_prf_plugin_create not found and no plugin file available\nplugin 'gmp': failed to load - gmp_plugin_create not found and no plugin file available\nplugin 'curve25519': failed to load - curve25519_plugin_create not found and no plugin file available\nplugin 'chapoly': failed to load - chapoly_plugin_create not found and no plugin file available\nplugin 'xcbc': failed to load - xcbc_plugin_create not found and no plugin file available\nplugin 'cmac': failed to load - cmac_plugin_create not found and no plugin file available\nplugin 'hmac': failed to load - hmac_plugin_create not found and no plugin file available\nplugin 'kdf': failed to load - kdf_plugin_create not found and no plugin file available\nplugin 'ctr': failed to load - ctr_plugin_create not found and no plugin file available\nplugin 'ccm': failed to load - ccm_plugin_create not found and no plugin file available\nplugin 'curl': failed to load - curl_plugin_create not found and no plugin file available\nrekey completed successfully\n"
},
"success": true,
"receiverLogs": [],
"baselineIds": [
{
"/certificate": [],
"/certificate/crl": [],
"/file": [
"**Qb24a2KNOW6Ay8FA4",
"**NQMkAHKnbvKDA",
"**YHreAtYW0Rzfws6wJ5xXOmqd4"
],
"/system/logging": [
"*1",
"*2",
"*3",
"*4"
],
"/system/logging/action": [
"*0",
"*1",
"*2",
"*3"
],
"/ip/ipsec/identity": [],
"/ip/ipsec/peer": [],
"/ip/address": [
"*1"
],
"/ip/route": [
"*80000003",
"*80000004",
"*80000005",
"*20145010"
],
"/ip/firewall/nat": [],
"/ip/ipsec/policy": [
"*FFFFFF"
],
"/ip/ipsec/policy/group": [
"*2"
],
"/ip/ipsec/profile": [
"*A"
],
"/ip/ipsec/proposal": [
"*0"
],
"/ip/ipsec/mode-config": [
"*1"
],
"/ip/pool": [],
"/interface/bridge": [],
"/ipv6/address": [
"*1",
"*2"
]
},
{
"/certificate": [],
"/certificate/crl": [],
"/file": [
"**Qb24a2KNOW6Ay8FA4",
"**NQMkAHKnbvKDA",
"**YHreAtYW0Rzfws6wJ5xXOmqd4"
],
"/system/logging": [
"*1",
"*2",
"*3",
"*4"
],
"/system/logging/action": [
"*0",
"*1",
"*2",
"*3"
],
"/ip/ipsec/identity": [],
"/ip/ipsec/peer": [],
"/ip/address": [
"*2",
"*3"
],
"/ip/route": [
"*80000003",
"*80000005",
"*20145020",
"*80000004",
"*20145010"
],
"/ip/firewall/nat": [],
"/ip/ipsec/policy": [
"*FFFFFF"
],
"/ip/ipsec/policy/group": [
"*2"
],
"/ip/ipsec/profile": [
"*A"
],
"/ip/ipsec/proposal": [
"*0"
],
"/ip/ipsec/mode-config": [
"*1"
],
"/ip/pool": [],
"/interface/bridge": [],
"/ipv6/address": [
"*1",
"*2"
]
}
],
"owned": [
{
"i": 1,
"path": "/system/logging/action",
"id": "*E",
"name": "mmipsec1381791695097064"
},
{
"i": 1,
"path": "/system/logging",
"id": "*1A",
"prefix": "mm-ipsec138-1791695097064",
"action": "mmipsec1381791695097064",
"topics": "certificate,!packet"
},
{
"i": 1,
"path": "/system/logging",
"id": "*1B",
"prefix": "mm-ipsec138-1791695097064",
"action": "mmipsec1381791695097064",
"topics": "ipsec,!packet"
},
{
"i": 0,
"path": "/certificate",
"id": "*109",
"name": "mm-ipsec138-1791695097064-ca"
},
{
"i": 0,
"path": "/certificate",
"id": "*10A",
"name": "mm-ipsec138-1791695097064-intermediate"
},
{
"i": 0,
"path": "/certificate",
"id": "*10B",
"name": "mm-ipsec138-1791695097064-client"
},
{
"i": 0,
"path": "/file",
"id": "**1y5Uv8TOn0KeFnHiXMCSEY2IH2f6ivZC5swWMECQt06sh7IRNpwN3dl3Jh3KTcy7Wu",
"name": "cert_export_mm-ipsec138-1791695097064-ca.crt"
},
{
"i": 0,
"path": "/file",
"id": "**BtsHcTo87OzR2bwhR5V2AhpWb5BfdunJM7zh5pYAElfNjDGyMf9k2nbAdt8Rxhjqzkb2r8KStAohuYG",
"name": "cert_export_mm-ipsec138-1791695097064-intermediate.crt"
},
{
"i": 0,
"path": "/file",
"id": "**9EMwBnKnPqw5n57GAxAb7nSD0qHN74DT6KDBP7MnMB2aqzqyqq813UVeKomCbEkn3RMse5E",
"name": "cert_export_mm-ipsec138-1791695097064-client.crt"
},
{
"i": 1,
"path": "/file",
"id": "**1WhesBaogmIH5vaWFLu8nVJ1uluxukdYiyTJ2ydedGUbD0WhcCWJLxwLsC",
"name": "flash/mm-ipsec138-1791695097064-ca.crt",
"consumedByImport": true
},
{
"i": 1,
"path": "/certificate",
"id": "*9C",
"name": "mm-ipsec138-1791695097064-ca"
},
{
"i": 1,
"path": "/file",
"id": "**9EMwBnKt0bWCjmguAvRUg5aA2Ij5PbUq9EAW7MSqJqxlFmu0d2IgNS0svwmAHL2DUCdVvZU",
"name": "flash/mm-ipsec138-1791695097064-intermediate.crt",
"consumedByImport": true
},
{
"i": 1,
"path": "/certificate",
"id": "*9D",
"name": "mm-ipsec138-1791695097064-intermediate"
},
{
"i": 1,
"path": "/file",
"id": "**79zDGTtNvvf2oYBf9lo4MhIGmL90YuO8rYedQ5pJOenPlEqsTcs8agRgOgoZK1U",
"name": "flash/mm-ipsec138-1791695097064-client.crt",
"consumedByImport": true
},
{
"i": 1,
"path": "/certificate",
"id": "*9E",
"name": "mm-ipsec138-1791695097064-client"
},
{
"i": 1,
"path": "/certificate",
"id": "*9F",
"name": "mm-ipsec138-1791695097064-server-ca"
},
{
"i": 1,
"path": "/certificate",
"id": "*A0",
"name": "mm-ipsec138-1791695097064-server"
},
{
"i": 1,
"path": "/file",
"id": "**ATsGNOdfQYW0jGXwAqCzLS04Qt5t2f1xV1cnDrNHDzeNtRvBFJvrJTTOvA68GxzHwglPPpn5WuS",
"name": "cert_export_mm-ipsec138-1791695097064-server-ca.crt"
},
{
"i": 1,
"path": "/file",
"id": "**9EMwBnKnPqw5n57GAxAb7nSD0qHN74DT6KDBP7MnMB2aqzqyqq813UVeKp9a95gN8fVQIFA",
"name": "cert_export_mm-ipsec138-1791695097064-server.crt"
},
{
"i": 1,
"path": "/ip/ipsec/profile",
"id": "*B",
"name": "mm-ipsec138-1791695097064"
},
{
"i": 1,
"path": "/ip/ipsec/proposal",
"id": "*1",
"name": "mm-ipsec138-1791695097064"
},
{
"i": 1,
"path": "/ip/ipsec/policy/group",
"id": "*3",
"name": "mm-ipsec138-1791695097064"
},
{
"i": 1,
"path": "/ip/ipsec/policy",
"id": "*1000000"
},
{
"i": 1,
"path": "/ip/pool",
"id": "*5",
"name": "mm-ipsec138-1791695097064"
},
{
"i": 1,
"path": "/ip/ipsec/mode-config",
"id": "*2",
"name": "mm-ipsec138-1791695097064"
},
{
"i": 1,
"path": "/ip/ipsec/peer",
"id": "*1",
"name": "mm-ipsec138-1791695097064"
},
{
"i": 1,
"path": "/ip/ipsec/identity",
"id": "*A"
},
{
"i": 1,
"path": "/interface/bridge",
"id": "*70",
"name": "mm-ipsec138-1791695097064-br"
},
{
"i": 1,
"path": "/ip/address",
"id": "*98"
}
],
"settingsRestored": true,
"dockerCleanup": true,
"endpointClosed": true,
"privateFilesRemoved": true
},
"endpointPortClosed": true,
"bounds": [
"Own RSA2048 Root->Intermediate->client chain issued natively on CHR1; BasicConstraints CA flags and each signature verified, OpenSSL full chain verification passed",
"CHR2 imported three public chain certificates, downloaded three valid CRL entries via two own CDP paths; separate own responder CA/server certificate",
"Linux owns only client private key and public trust chain/server pin; real initial IKE/Ping3of3 and reauth new IKE id/Ping3of3/API online/VIP observed",
"No arbitrary custom OIDs/policies/path-length/missing-chain/intermediate revocation/other OS/full PKI claim",
"18 collection ID baselines per CHR restored; keys/Docker/whole owned issuer cascade/responder config/endpoint/logger/cache removed; exact settings restored",
"Application source/runtime unchanged; whole UI regression ongoing, not yet accepted"
]
}