Почему в mikrotik не отрабатывает правило маркировки (mangle) которое выше в списке?

Смотрите не в Connections, а в Traceroute.

Почему не отправляется бекап настроек микротика на почту?

mrkotovsk1, начит smtp -порты gmail/mail.ru тоже недоступны с вашего микротика. Проверяйте их телнетом.

Почему не отправляется бекап настроек микротика на почту?

587 порт на Вашем почтовом сервере недоступен с микротика.

Как перенаправить трафик с порта на внешний ip + порт с помощью iptables?

Это ошибка не iptables, а веб-сервера. Проверяйте, умеет ли он обрабатывать запросы к old_ip.

Почему не работет синхронизация времени на mikrotik?

Выложите вывод
/export compact hide-sensitive

Где увидеть статистику по траффику на порту?

Виктор, Bridge - Ports - снимите галочку Hardware Offload в настройках порта. Это увеличит нагрузку на CPU.

Unicast traffic between Wireless clients with client-to-client forwarding enabled will not be visible to the Torch tool. Packets that are processed with hardware offloading enabled bridge will also not be visible (unknown unicast, broadcast and some multicast traffic will be visible to torch tool).

Самый производительный туннель site to site Mikrotik?

mrkotovsk1, так Вы же сами привели в пример IPSEC. Не хотите "костылей" - используйте pptp. Как вы вообще пришли к тому, что шифрование сжимает полосу? о_О

Почему не пингуется шлюз с клиентских ПК во время работы IPSec-туннеля?

gadzhikuliev, первое позволяет не шифровать с помощью IPSec трафик внутри локальной сети, без него сессия между роутером и компом будет зашифрована со стороны роутера, а со стороны компа нет, из-за этого связи между ними не будет.
второе пускает трафик IPSec в обход NAT.

Systemd сервис/служба останавливается по непонятной причине. Почему?

Используйте supervisor.

Как посоветуете сделать отказоустойчивость?

Талян, если Вы упоминаете STP и OSPF в одном предложении и рассматриваете последний только как средство не прописывать много маршрутов, статическая маршрутизация не выглядит такой уж плохой.

Как посоветуете сделать отказоустойчивость?

Не хотите заморачиваться с OSPF - создайте на филиалах сети /24 и маршруты /16 с разной дистанцией на центральный хаб.

Посоветуете ipsec IKEv2 клиент для windows?

Tarakanator, видимо потому, что pfsMM - это и есть DH21.
У меня с EapTtls на strongswan всё работало, почему не работает у Вас с Вашим типом аутентификации без предоставления подробных настроек сервера и клиента и логов сможете разобраться только Вы сам.

Посоветуете ipsec IKEv2 клиент для windows?

CityCat4, https://www.fortinet.com/support/product-downloads#vpn полностью бесплатный, на счет вопросов лицензирования при использовани с не Fortinet продуктами не уверен.
Windows 7 должна поддерживать SHA2. Здесь смотрели?:

spoiler

Посоветуете ipsec IKEv2 клиент для windows?

Tarakanator, тогда почему не DH20, который намного выше того, что рекомендует cisco?
Если хотите больших цифр, используйте DH32, максимально возможный на сегодняшний день.

То есть, если завтра в WINDOWS или её IPSec-клиенте найдут критическую уязвимость, позволяющую поломать любой VPN на его основе, Вы продолжите им пользовать, потому что доверяете?

Посоветуете ipsec IKEv2 клиент для windows?

Tarakanator, почему Вы решили даже DH2 не хватит? Известны простые методы его взлома, успешные атаки или Вы просто гонитесь за большими цифрами?
А код виндового клиента открытый? Или цисковского, или любого другого, использующегося в энтерпрайзе?

Команды работали на Windows 10 и 8.1 с аутентификацией через EAP. Подставьте свой метод аутентификации и у Вас тоже разаботают.

Посоветуете ipsec IKEv2 клиент для windows?

Tarakanator, если у Вас работает Forticlient, то какие тогда вопросы? Все параметры шифрования в нем настраиваются, в том числе DH Group и PFS вплоть до 20.

Я не смог. У меня не завелось.

У других завелось, почему-то.

Add-VpnConnection -Name "Myconn" -ServerAddress x.x.x.x -TunnelType "Ikev2" -EncryptionLevel "Maximum" -AuthenticationMethod MachineCertificate
Set-VpnConnectionIPsecConfiguration -ConnectionName Myconn -EncryptionMethod AES256 -DHGroup ECP384 -IntegrityCheckMethod SHA256 -PfsGroup PFSMM -AuthenticationTransformConstants GCMAES256 -CipherTransformConstants GCMAES256 -Force

Объединение филиалов на Mikrotik через VPN + маршрутизация?

nApoBo3, отслеживание состояния бессмысленно, если тунель один, тем более, что это можно организовать через рекурсивную маршрутизацию.
Маски /24 на филиалах и статический маршрут /16 в центр прекрасно работают в сети с десятками устроств. OSPF нужен в полносвязных топологиях.

Из-за чего l2tp на mikrotik медленно работает?

Victor, это нужно указывать на L2TP сервере.

Как правильно пробросить порт на Mikrotik для пользователей VPN L2TP+IPSEC?

/ip firewall nat
add action=dst-nat chain=dstnat dst-port=180 in-interface=my_super_l2tp_interface protocol=tcp to-addresses=192.168.0.3 to-ports=80

Централизованный менеджмент ssh доступа?

Думаю, в этом направлении и буду строить, спасибо.