Настройка VPN-сервера IkeV2 для Android 13

Невозможно настроить через eap radius, скорее всего проблема на стороне Mikrotik. Мне удалось настроить через аутентификацию с двумя CA-сертификатами, и клиент в Mikrotik identity — это цифровая подпись.

Вот рабочая конфигурация ipsec ikev2 / psk vpn:  
Заметки:  
1. Эта конфигурация НЕ трогает профиль “default”, “default” identity и т.п. Поэтому она должна работать параллельно с другими типами VPN, например, параллельно с L2TP/ipsec VPN, который создаёт динамические identity/peer и не может использовать что-то кроме default. Эта конфигурация объединена группой с именем “ike2-group”.  
2. Android всё ещё считает этот VPN «ненадёжным», но я не копался глубже — просто хотел, чтобы он заработал, потому что L2TP убрали.  
3. Нужно немного подправить скрипты ниже — вставить в [ТЕКСТ В СКОБКАХ] свои имена/пароли и т.п.
4. Сначала надо создать пул адресов для VPN-подключений и указать имя пула в [ADDRESS_POOL] ниже.
5. [FULL_DOMAIN_NAME_OF_ROUTER] — это DNS-имя, под которым будет доступен роутер (например, www.google.com).  
6. [SECRET] — это ваш pre-shared key.
7. В Android нужно указать такие настройки VPN:  
“имя” — любое на ваше усмотрение.  
“тип” — “IKEv2/IPSec PSK”  
“Адрес сервера” — тот же, что в [FULL_DOMAIN_NAME_OF_ROUTER]
“IPsec идентификатор” — тот же, что в [FULL_DOMAIN_NAME_OF_ROUTER]
“Pre shared key” — тот же, что в [SECRET]
8. Возможно, предложение (proposal) можно упростить. Я добавлял всё подряд, пока не заработало.  

# 2024-06-16 21:14:19 by RouterOS 7.13.2  
# модель = RB3011UiAS  

/ip ipsec policy group  
add name=ike2-group  

/ip ipsec mode-config  
add address-pool=[ADDRESS_POOL] name=ike2-config

/ip ipsec profile  
add dh-group=ecp256,ecp384,ecp521,modp8192,modp6144,modp4096,modp3072,modp2048 enc-algorithm=aes-256,aes-192,aes-128 hash-algorithm=sha512 name=ike2-profile proposal-check=claim  

/ip ipsec peer  
add exchange-mode=ike2 name=ike2-peer passive=yes profile=ike2-profile secret=[SECRET]

/ip ipsec proposal  
add auth-algorithms=sha512,sha256 enc-algorithms=aes-256-cbc,aes-256-ctr,aes-256-gcm,aes-192-cbc,aes-192-ctr,aes-192-gcm,aes-128-cbc,aes-128-ctr,aes-128-gcm name=ike2-proposal pfs-group=modp4096  

/ip ipsec identity  
add comment="identity to be used in ikev2" generate-policy=port-strict mode-config=ike2-config my-id=fqdn:[FULL_DOMAIN_NAME_OF_ROUTER] peer=ike2-peer policy-template-group=ike2-group

/ip ipsec policy  
add comment="policy to be used in ike2-identity and ike2-policy" dst-address=0.0.0.0/0 group=ike2-group proposal=ike2-proposal src-address=0.0.0.0/0 template=yes