Юрий MikroTik

Теперь есть аппаратный SSTP, проверено на RB5009

Константин Фролов, CRS125-24G-1S-2HnD больше 20-30Мбит на IPsec не вытянет
Пробуй l2tp без IPsec
На SSTP тем более не вытянет
Как вариант перейти на Wireguard
А еще лучше обновиться на что-то новое типа hAP AX2/AX3, RB4011/5009

За основу можно взять Проброс порта на хост без шлюза
На данная схема заведомо плохая, если ESP захочет сам связаться, то упрется в свой шлюз.

Значит выше разрешен это трафик
Покажи все правила выше него

Windows доверяет CA который выпускает сертификаты на MikroTik?
Все нужные сертификаты установлены?

1. На клиенте прописать маршрут по умолчанию
2. На сервере сделать NAT и разрешить сеть ща ikev2 выходить за WAN интерфейс

Растягивание L2 это не правильное планирование всего что можно.

Но если очень хочется:
Меняем /24 на /22
Тем самым каждая локация становится со своей /24, но /22 домене
Блокируем DHCP между сетями

EoIP подымаем между Lo интерфейсами OSPF и бриджуем в сеть.

По такой схеме EoIP работает поверх wireguard +маршрутизация Lo интерфейсов отрабатывает как нужно.

Чем так ужасен впн на виндоусе что надо делать отдельную виртуалку для подключения к серваку?

Тем что его не умеют защищать и без обновлений и прямых рук он дырявый.
Взломали винду - поимели всю сеть.
Отдельный шлюз все же будет доп.бастионом

В RouterOS 7 есть контейнеры, если микрот на современной архитектуре.
На этом контейнере можно делать все, что угодно, ибо это Linux.

Гос сайты блокируют доступ с ЦОДных адресов
Лечится сменой хостера, хватает ненадолго.

Global Protect может быть настроен на перебитие маршрутов

Не нашёл модели процессора, просто пишут 2 ядра, значит стыдно говорить.

1. Сделать именованный маршрут через туннель
2. Через Mangle отправлять трафик src адреса в этот Route Table

Обычно решается установкой обновлений Windows

Видит IP и порты, а так же объем. Может прочитать не шифрованный трафик.

По этому если опасаетесь, нужно использовать собственный сервер, но ваш трафик так же будет видеть хостинг оператор.

Пишется весь трафик:
Источник - IP/Протокол/Порт (если есть)
Назначение - IP/Протокол/Порт (если есть)
Время
Объем

Никто не пишет дамп, никаких ресурсов не хватит на это

Несколько вариантов:
1. Сменить порт SSTP сервера (если используется только для туннеля между этими двумя микротами)
2. Получить отдельный IP для WEB сервера (правильный вариант)
3. Маркировка (не рассматриваем)

У вас динамическй интерфейс, нужно его зафиксировать и в профиле vpn выставить only one