Ваша ситуация с настройкой IPsec туннелей на маршрутизаторах Mikrotik действительно может быть связана с рядом проблем и ограничений, но давайте разберем детали.
### 1. Одновременно работающие IPsec туннели
На маршрутизаторах Mikrotik возможна настройка нескольких IPsec туннелей, однако, как правило, для успешной работы нескольких туннелей необходимо, чтобы каждый из них имел уникальные параметры настройки и не конфликтовал с другими. Ваша проблема с тем, что только один туннель работает с шифрованием, скорее всего связана с конфигурацией IPsec политики и идентификации.
### 2. Использование разных IP-адресов
Если вы используете один и тот же внешний IP-адрес (или даже подсеть) для всех маршрутизаторов, это может вызвать конфликты в маршрутизации и аутентификации. Многие провайдеры предполагают, что клиент использует один внешний IP для одного соединения, особенно при работе с IPsec. Если ваши маршрутизаторы используют разные IP-адреса, это упростит задачу и может устранить возможные конфликты.
### 3. Ручная настройка IPsec
Вы правы в том, что более детальная ручная настройка IPsec может быть необходима для уникальных туннелей. Вам нужно удостовериться, что каждый туннель имеет свои собственные маршруты и настройки параметров безопасности (SA), чтобы избежать путаницы между ними.
### 4. Альтернативы и компромиссы
- **GRE + IPsec**: GRE с IPsec — это хорошее решение для туннелирования, если вам нужно передавать не только IP трафик, но и другие протоколы. Однако, как вы заметили, это может быть сложнее настроить при наличии нескольких туннелей.
- **L2TP без IPsec**: Если L2TP с mschap2 обеспечивает вас необходимым уровнем шифрования (хотя он не так силен как IPsec), вы можете рассмотреть использование этого подхода для управления соединениями.
- **IPIP**: Как вы отметили, IPIP не так часто используется и в большинстве случаев GRE или L2TP являются более предпочтительными вариантами. Если IPIP не является критически важным для вашего теста, вы можете его исключить.
### Рекомендации
1. **Попробуйте разнести маршрутизаторы на разные IP-адреса**, чтобы увидеть, сможете ли вы запустить все туннели одновременно.
2. **Проверьте конфигурацию IPsec для каждого туннеля**, чтобы удостовериться, что настройки не конфликтуют друг с другом. Для этого вы можете использовать разные алгоритмы и ключи.
3. **Сосредоточьтесь на одном или двух туннелях**, возможно, те, которые вам наиболее необходимы (например, GRE с IPsec + L2TP без IPsec), чтобы упростить тестирование и добиться стабильной связи.
4. При необходимости протестируйте порядок и настройки NAT на маршрутизаторах, чтобы избежать дополнительных затруднений с маршрутизацией.
Если возникнут дополнительные вопросы или потребуется помощь в настройке, не стесняйтесь обращаться!