Кот Абсолютный

- Забить
- Поставить антивирус
- Повышать культуру пользователей
- Не выставлять в тырнет голую жопу винду :)

(не заблокированных у нас),

Минули те времена, когда факт, что сайт не работает означал именно то, что сайт не работает. Сейчас можно запросто на "теневую блокировку" нарваться - как ютуб и большинство порносайтов - их вроде ни в каких списках нет, а не работает...

Слишком сильное шифрование запрошено. Винда по умолчанию AES128 хочет. Чтобы усилить безопасность, нужно в винде в совйствах IPSec (которые черт знает где закопаны, добраться с трудом) отключить AES128 и включить AES256.

Вот так вот работает:
/ip ipsec proposal
add auth-algorithms=sha256,sha1 enc-algorithms=\
aes-256-cbc,aes-256-ctr,aes-256-gcm,aes-192-cbc,aes-192-ctr,aes-192-gcm,aes-128-cbc,aes-128-ctr,aes-128-gcm \
lifetime=6h name="Roadwarrior proposal" pfs-group=none

Вот так вот может работать, но сначала нужно на каждой винде покрутить свойства IPSec
/ip ipsec proposal
add auth-algorithms=sha256 enc-algorithms=aes-256-cbc,aes-256-ctr,aes-256-gcm lifetime=6h name=\
"Roadwarrior hardened proposal"

Для начала освоения лучше всего поставить в VB. Наверняка придется не единожды перенставлять (я, например, переставлялся четыре раза при том, что с FreeBSD до этого работал много лет), а переставить виртуалку куда проще.

Хех, знакомая вещь. У меня в инструкции даже пунктик об этом есть:

6.1. При попытке подключения выдается сообщение «Непроверенные учетные данные проверки подлинности IKE»
Данное сообщение обычно означает, что Windows пытается использовать для аутентификации сторонний сертификат (поскольку изначально ограничение на издателя не установлено, Windows просто берет первый сертификат из раздела «Личное»)
Первоначально следует убедиться в следующих вещах:
- Личный сертификат установлен в область «Личное» компьютера (а не пользователя!)
- В области «Доверенные корневые центры сертификации» компьютера находятся все корневые сертификаты (см. Рисунок 10), при этом для сертификатов ... Subordinate CA #1 и ... Subordinate CA #2 допустимо находиться в области «Промежуточные центры сертификации» компьютера (Windows автоматически помещает ... Subordinate CA #1 в эту область)
- Путь издания сертификата верный
Как это сделать — см. Приложение 1
Если данные условия выполняются, но соединение не устанавливается, следует убедиться в том, что в области «Личное» компьютера находится один сертификат компьютера. Кто может разместить там сертификаты? Да кто угодно — клиент-банки, программы участия в тендерах, брокерские программы, сертификаты налоговой службы и т. д.
Если в области «Личное» компьютера находится более одного сертификата, следует выполнить следующую процедуру:
- правая кнопка на значке меню, пункт «Выполнить», ввести текст “powershell”
- в открывшейся консоли powershell ввести следующие команды:
$ca = Get-ChildItem Cert:\LocalMachine\Root | ? Subject -match 'CN=... Root CA'
Set-VpnConnection -ConnectionName "My VPN" -MachineCertificateIssuerFilter $ca

Эта фигня происходит из-за тупости винды. Она не умеет фильтровать сертификаты по издателю (по умолчанию) и для проверки соединения тупо берет первый по списку сертификат, даже если он истекший. Указание фильтра издателя частично решает проблему, но удалять истекшие сертификаты по-прежнему надо.