После кратковременных разрывов связи у провайдера VPN-туннели L2TP/IPsec между площадками нередко зависают. Если временное отключение общего запрещающего правила drop input на внешнем интерфейсе (WAN) оживляет подключение, причина кроется в блокировке пакетов фаерволом при повторном согласовании туннеля. 

Во время сбоя старые трансляции в Connection Tracking сбрасываются. При повторной попытке подключения пакеты инициализации натыкаются на стандартный Drop Input, так как в цепочке отсутствуют явные разрешающие правила для входящего трафика L2TP и IPsec.

Способ 1. Настройка вручную через Winbox (по шагам)

Откройте Winbox и перейдите в меню: IP → Firewall → вкладка Filter Rules.

1. Разрешение IKE и NAT-T (порты 500 и 4500):
   • Нажмите синюю кнопку + (Add).
   • Вкладка General:
     • Chain: input
     • Protocol: udp
     • Dst. Port: 500,4500
     • In. Interface List: выберите WAN (или укажите ваш порт в In. Interface).
   • Вкладка Action: установите accept.
   • Нажмите Comment и напишите: Allow IPsec IKE & NAT-T, затем OK.
2. Разрешение L2TP (порт 1701):
   • Нажмите кнопку + (Add).
   • Вкладка General:
     • Chain: input
     • Protocol: udp
     • Dst. Port: 1701
     • In. Interface List: WAN.
   • Вкладка Action: установите accept.
   • Нажмите Comment: Allow L2TP, затем OK.
3. Разрешение протокола IPsec-ESP:
   • Нажмите кнопку + (Add).
   • Вкладка General:
     • Chain: input
     • Protocol: выберите из списка ipsec-esp.
     • In. Interface List: WAN.
   • Вкладка Action: установите accept.
   • Нажмите Comment: Allow IPsec-ESP, затем OK.
4. Расположение в списке (важно!):

   В списке Filter Rules зажмите левой кнопкой мыши созданные правила и перетащите их вверх, чтобы они находились выше общего запрещающего правила defconf: drop all not coming from LAN (или любого правила с action=drop в цепочке input).

Способ 2. Быстрая настройка через Terminal

Если удобнее применить настройки сразу командами, откройте New Terminal и выполните:

/ip firewall filter
add chain=input action=accept protocol=udp dst-port=500,4500 in-interface-list=WAN comment="Allow IPsec IKE & NAT-T" place-before=[find chain=input action=drop]
add chain=input action=accept protocol=udp dst-port=1701 in-interface-list=WAN comment="Allow L2TP" place-before=[find chain=input action=drop]
add chain=input action=accept protocol=ipsec-esp in-interface-list=WAN comment="Allow IPsec-ESP" place-before=[find chain=input action=drop]

Примечание: если не настроен Interface List «WAN», замените параметр in-interface-list=WAN на имя входящего интерфейса (например, in-interface=ether1).

Дополнительные проверки

• Established & Related: Убедитесь, что в самом начале цепочки input активно стандартное правило для состояний established,related,untracked.
• Таймауты соединений: Если удалённый провайдер меняет трансляцию порта при переподключении, MikroTik может удерживать старую сессию. Уменьшить время ожидания можно в IP → Firewall → кнопка Tracking: установите UDP Timeout на 10s, а UDP Stream Timeout на 1m.