Клиент iOS L2TP/IPSec отключается каждый час.

Думаю, у меня похожая проблема на версии 6.49.2. Через 48 минут в логах RouterOS появляется сообщение «ISAKMP-SA dying» для подключённого пира (тот же SPI). Через секунду в Wireshark я вижу, что моё iOS-устройство пытается обновить ключ на Фазе 1 (?). Хотя в логах появляется «ISAKMP-SA established», новых SA в списке /ip ipsec installed-sa на самом деле не появляется. Затем RouterOS запрашивает повторную авторизацию, но iOS игнорирует этот запрос и продолжает обновлять ключ на Фазе 2. iOS делает всего 10 попыток за 30 секунд, на которые RouterOS не отвечает. Потом происходит два обмена DPD. Наконец, через минуту (~53 минуты с начала) iOS отправляет Delete, и VPN-соединение прерывается.

Это L2TP/IPsec, IPsec (Cisco IPsec, IKEv1) или IKEv2? Я использую Cisco IPsec с PSK и xAuth, так что проблемы с сертификатами просто исключены.  
У меня нет контроля над DPD/Lifetimes на iOS (устройства не под MDM), но я вижу, что таймаут в коммуникации (по Wireshark) составляет 3600 с, что я и настроил на RouterOS как для Фазы 1 (через профиль), так и для Фазы 2 (через предложение).  
NAT-T (RFC 3947) включён и успешно работает между RouterOS и iOS — по крайней мере, в логах RouterOS и Wireshark ошибок не видно.  
Фаервол настроен принимать udp 500, 4500 и протоколы 50, 51 в цепочке input. Хотя счётчики для протоколов 50 и 51 остаются равными нулю на протяжении всей сессии.  
Идентификация настроена так, чтобы динамически добавлять в raw фаервола запись notrack, а затем пропускать по правилу «accept established,related,notrack» в цепочке forward.  
В логах RouterOS (ipsec, !packet) нет ошибок, а в Wireshark тоже ничего подозрительного не видно.  

По сути, вот что происходит: при достижении soft limit (48 минут) RouterOS очищает текущие SA, iOS отправляет своё предложение для Фазы 1, RouterOS его игнорирует (то есть не отвечает выбранным набором трансформаций), но при этом логирует «ISAKMP-SA established» (но SA в installed-sa не добавляет). Вместо этого RouterOS запрашивает аутентификацию, будто Фаза 1 уже завершена. iOS это игнорирует и повторяет своё предложение Фазы 1 ещё 9 раз, без результата.  
В это время DPD обмениваются по настроенным интервалам (10 минут по умолчанию на iOS, 2 минуты по умолчанию на RouterOS). Потом iOS отправляет delete, видимо, сдается и не завершает Фазу 1.  

Кто тут виноват? Я не специалист по IPsec, но похоже, что RouterOS, так как он полностью игнорирует попытки iOS установить Фазу 1.

Не упоминал 1701, так как не использую L2TP (интерфейс PPP не создаётся): «чистый» IKEv1 IPsec. На iOS VPN настраивается через IPsec, а не L2TP/IPsec. По умолчанию фаза 2 на iOS длится 30 минут. Ваши устройства под управлением MDM или настроены через Apple Configurator? У меня нет, и время жизни, которое я вижу (как в предложениях через Wireshark, так и в логах ipsec RouterOS), — 3600 секунд в обеих фазах. По поводу заметки про DPD и повторное ключевание фазы 1. Я пробовал отключать это, но в Wireshark никакой разницы не заметил. Возможно, этот параметр работает только когда RouterOS выступает клиентом? Что касается замечания про IKE-трафик. Думаю, iOS не использует IPsec-туннель, когда через 48 минут отправляет предложение фазы 1, но, насколько я помню, включает SPIs. Не знаю, воспринимает ли RouterOS этот трафик как локальный. По поводу чувствительности ко времени: проблем, судя по моим наблюдениям, нет — время прихода пакетов довольно точное.

Я «пофиксил» проблему, мигрировав свою конфигурацию IPsec с IKEv1 PSK и xAuth на IKEv2 PSK.