更新实机验收进度并定位系统通知域名解析阻塞

doc/Linux生产流程测试记录.md

@@ -1,5 +1,41 @@
 # Linux 生产流程测试记录
 
+## 2026年10月2日运行态采样及阻塞归因补充
+
+### 11:49 至 11:50 邮件入口独立 DNS 诊断
+
+- [x] 从第二台执行普通 A/AAAA 查询及严格 HTTPS 请求，curl 退出码为 6，未进入 TLS 握手；不能把 ssl_verify_result 的默认零值解释为 TLS 校验成功。
+- [x] 本机解析器、1.1.1.1、8.8.8.8 对 web.solit.cn 的 A 查询均返回 NXDOMAIN，SOA 序列号为 2026090620。
+- [x] dns13.hichina.com、dns14.hichina.com 的非递归查询同样返回 NXDOMAIN，带权威应答标志。第二台权威查询首次 IPv6 传输超时，后续实际权威应答为 NXDOMAIN，不把超时当作不存在依据。
+- [!] 用户提供的 Smail Web 入口当前无法解析；需确认新入口或修复 DNS 后，再通过正式系统通知授权流程取得参数。本轮未修改 DNS、Smail 配置或账号凭据。
+- [x] 同时复核 Scert、Nginx 均 active，本机 Nginx 严格 TLS readyz 返回 ready。该结果不替代三数据库首次流程或生产总体验收。
+
+
+本节记录北京时间 10:18 至 10:34 的只读诊断。未清库、未重启业务、未创建辅助验收脚本，不计作首次生产验收，历史记录保留。
+
+### 第二台管理入口
+
+- [x] 密码 SSH 进入远端交互 shell，执行 20 次 odacm.cn 严格 HTTPS 请求，解析至本机 Nginx。10:18:39 至 10:19:00 均返回 ready、curl 退出码零；访问日志对应 20 次 HTTP 200。
+- [x] CN、SAN 均包含 odacm.cn，签发者为 Let's Encrypt YR2；有效期为 UTC 2026-09-25 15:56:37 至 2026-12-24 15:56:36。现有证书验证完成、等待复审，不代表续期轮换通过。
+- [x] Nginx 上游为回环 HTTPS 8443，proxy_ssl_verify 为 on，SNI 为 odacm.cn，使用系统 CA；没有关闭 TLS 校验。
+- [!] 较早采样因 PowerShell 到 SSH 的参数转义失败，出现额外主机解析错误，不采纳为证据；仅采纳后续独立采样与访问日志。
+
+### 启动窗口及外部端口
+
+- [x] 10:09:05 的 Nginx 错误明确为连接回环 8443 被拒绝；Scert 进程于 10:09:03 启动，Type=simple 显示 active 不等于 HTTPS 就绪。启动窗口仍未完成整改。
+- [x] 第二台 Scert、MySQL 仅监听 127.0.0.1；防火墙默认拒绝入站，未见相关端口 NAT 转发，IP 转发及 route_localnet 均为零。
+- [x] 第一台跨机探测第二台 80、443、22 成功；8443、3306、33060 在四秒限时内均超时。仅证明该外部来源的 IPv4 路径，不扩大为所有来源或 IPv6 结论。
+- [!] 本地连接来自代理网络地址，短时抓包未观察到对应报文；不将本地 TCP 成功当作公网开放证据，也不单凭零报文证明全网隔离。
+
+### 第一台角色与邮件阻塞
+
+- [x] 第一台 Nginx 未见 odacm.cn 管理站点或 8443 上游。odacm.cn 探测返回默认 salg.cn 证书；改为 salg.cn 后 readyz 返回 404，不是 Scert 健康证据。不新增管理站点、不复制证书私钥，也不将默认站点证书不匹配误记为 Scert 签发失败。
+- [!] Scert 页面显示 SMTP 未启用，主机、用户名为空且专用凭据未配置。Smail 系统通知状态接口提供真实连接参数，独立凭据受账号授权保护，不能用登录密码或猜测值代替。
+- [!] 本地浏览器访问 Smail Web 入口连接关闭，仅证明当前路径失败，不证明服务整体离线，需独立复核。
+
+本轮未新增生产通过结论。三数据库清库 Web 流程、Smail 实际投递与密码重置、历史恢复证据及重启窗口仍未完成。
+
+
 ## 2026年10月1日实机进度更新（MySQL 5.7）
 
 本节仅记录非敏感测试结果，不写入口令、RAM 密钥、数据库密码、令牌或其他认证信息。测试均使用隔离目录和正式发行程序副本，未创建辅助验收脚本，未开放额外外部端口；总体生产验收仍未放行。

doc/Scert整改任务执行清单.md

@@ -1,5 +1,23 @@
 # Scert 整改任务执行清单
 
+## 2026年10月2日当前任务入口
+
+补充阻塞证据（11:50）：T5 所用 web.solit.cn 的权威 DNS 返回 NXDOMAIN，第二台严格 HTTPS 请求解析失败；需要当前有效 Smail 入口及正式系统通知授权配置。其他任务仍可继续，不将邮件阻塞扩大为全部任务停止。
+
+
+需求确认：仅 Linux；Scert 回环监听，经 Nginx 80/443 访问；SSH 仅密码认证；不关闭 TLS 校验，不创建辅助验收脚本，不额外远端备份，不删除文件或篡改历史恢复证据。历史记录保留，以本节为当前进度入口。
+
+- [x] T1 第二台现有正式证书与运行态复核：20 次严格 TLS readyz 成功，访问日志均为 200；证书域名匹配，有效期至 2026年12月24日。等待复审，不代表续期轮换通过。
+- [x] T2 第一台跨机探测第二台 8443、3306、33060 均超时，80、443 可连接；本地代理探测不纳入公网端口结论。等待复审。
+- [x] T3 第一台角色核对：未配置 odacm.cn 管理站点，默认站点证书不匹配不作为 Scert 签发失败证据，不擅自新增管理站点。
+- [~] T4 启动窗口整改：502 已定位为上游尚未监听，仍需整改和重启复测。
+- [!] T5 系统通知：实际授权参数与独立凭据尚未配置，真实投递、验证码重置和新密码登录未完成；不得猜测或绕过 Smail 权限。
+- [~] T6 P0-10 负向矩阵、历史恢复证据及三数据库完整 Web 流程。
+- [ ] T7 正式候选包清库首次验收、缓存清理和统一复审。
+
+总体仍为 P0-03 完成、等待复审。详见 Linux生产流程测试记录同日补充；本轮只读诊断不计作清库生产验收。
+
+
 ## 2026年10月2日 SSH 登录凭据安全边界复审
 
 本节不记录任何口令、RAM 密钥、令牌、Cookie 或私钥内容。SSH 服务器连接只允许密码认证；HTTPS 证书私钥仍是证书业务材料，不作为 SSH 登录凭据。

doc/Scert整改合并优化清单.md

@@ -1,5 +1,26 @@
 # Scert 整改、合并与优化清单
 
+## 2026年10月2日实机证据校正与当前任务入口
+
+### 11:50 邮件入口独立复核
+
+- [!] 从第二台查询 web.solit.cn，本机解析器、公共 DNS 及 solit.cn 两台权威 DNS 均返回 NXDOMAIN；严格 HTTPS 请求以解析失败退出。此时无法从该入口取得系统通知授权参数，需确认当前有效 Smail 地址或修复其 DNS。不得猜测目标 IP、修改其他业务域名或绕过 TLS 校验。
+- [x] 同时复核第二台 Scert 与 Nginx 为 active，本机 Nginx 严格 TLS readyz 返回 ready；邮件入口失败与 Scert 管理入口可用性分开记录。
+
+
+本节为最新进度入口，历史记录保留；本轮为保留数据的只读诊断，不计作清库后的首次生产流程。
+
+- [x] 第二台现有正式域名证书包含 odacm.cn，有效期至 2026年12月24日。北京时间 10:18:39 至 10:19:00，20 次严格 TLS 请求均返回 ready，Nginx 日志均为 HTTP 200。此前第二台证书未完成的状态已过期；本项等待复审，不代表续期轮换通过。
+- [x] 第二台 Scert、MySQL 仅回环监听。从第一台探测第二台 80/443 成功，8443/3306/33060 超时；本地 Windows 代理网络的 TCP 连接结果不作为公网开放证据。
+- [x] 第一台角色校正：Nginx 未见 odacm.cn 管理站点或 8443 上游；返回默认 salg.cn 证书不能证明 Scert 签发失败。暂按证书部署目标验收，不为消除错误探测而擅自增加管理站点。
+- [~] 启动窗口整改：第二台 10:09:05 的 502 为上游连接被拒绝。运行态采样成功不代表重启窗口已解决。
+- [!] Smail 实发：Scert 页面显示 SMTP 未启用、连接和专用凭据未配置。已核对 Smail 代码，必须取得账号授权及独立凭据，不用登录密码代替，不从 Web 域名猜测邮件主域名。
+- [~] P0-10 负向矩阵及历史 recovery_required 可信恢复证据核查。
+- [ ] 三数据库清库后的完整 Web 初始化、实际邮件投递、密码重置和新密码登录。
+- [ ] 最新候选包清库首次流程、缓存清理及最终生产门禁复审。
+- [!] Windows 不在本轮范围；总体验收仍为 P0-03 完成、等待复审，生产验收未放行。
+
+
 ## 2026年10月2日 SSH 密码认证边界最终收口
 
 本节只记录非敏感安全结果。根据“SSH 私钥、公钥和密钥登录不允许出现”的要求，生产功能只保留密码认证；HTTPS 证书私钥仅用于证书部署和 TLS 服务，不属于服务器登录凭据。