IPSec слишком много подключений одновременно.

У вас включено "Send Initial Contact" для всех пиров в RB1100AHx2?

Какая версия ROS используется? Хотя это и не задокументировано, похоже, что некоторая работа была проделана и для более поздних версий. Я сейчас на 5.18. Вы включили логирование ipsec (например, /system logging add topic=ipsec …)? Раньше я это делал, но в 5.x это стало ужасно многословным, поэтому я использую topics=ipsec,!debug. Какую группу DH вы используете? Большие группы очень требовательны к ресурсам. Есть ли какие-нибудь подсказки в логах?

Я бы обратился в техподдержку. 250 туннелей на RB1100AHx2 не звучит как что-то нереальное. Я не эксперт по очередям, но вот интересно, может ли ограничение трафика до UDP/500 быть решением (в качестве временной меры)? Но тут вам понадобится чья-то помощь.

Спасибо за подсказку, думаю, это более элегантное решение, чем то, что у меня сейчас. Я немного поковырялся с опцией лимита, но она оказалась неподходящей, так как просто пропускала случайные пакеты. Мне нужно, чтобы все IKE-пакеты от одного хоста приходили одновременно. В итоге я использовал опцию лимита, чтобы добавлять адреса в список с небольшим временем ожидания, а затем разрешал доступ этому списку. Но потом у меня возникли проблемы: после установления туннеля все равно оставался IKE-трафик, поэтому я добавил ещё один список, основанный на установленных туннелях, чтобы разрешить IKE. Это работает, так как VPN-соединения могут обрываться и не требуют ручного вмешательства для восстановления, но я все равно считаю, что это не самое лучшее решение. Процессор все равно на короткое время загружается на максимум, пока не истечет время жизни списка туннелей, и на восстановление всех туннелей уходит 4 минуты. Кроме того, я обнаружил, что если добавить, удалить, включить или выключить партнёра, все IPsec VPN-соединения обрываются! Это нормальное поведение?