OpenVPN MikroTik

Я не понял можно ли создать клиента с only certificate auth?

Не похоже.

Как оно себя ведет вообще?

На хилом 2011UiAS тащит чуть быстрее SSTP, но даже близко не стояло с L2TP/IPSec. Штабильность OVPN не проверял, последний вариант оказался лучшим.

MikroTik не умеет OVPN по UDP - это самый большой косяк. Но зачем OVPN, если есть L2TP/IPSEC, который умеет любой утюг из коробки?

L2TP/IPSEC

а на iphone, android удобно?

По IPSEC и iphone, предупреждаю инфа устаревшая, возможно что-то уже и поменялось на iOS, но после того как из iOS был выпилен on demand лично мне стало не удобно. Тунель падал на каждый чих и приходилось переподнимать вручную. ovpn тоже может не переподнятся, но это происходит гораздо реже. Вобщем это мое субьективное мнение, но с ovpn стало комфортнее.

Про первое - не знаю, на втором - из коробки.

Пропустил этот момент

Можно ли использовать tun на windows client?

Да не, там по любому tap поднимается в не зависимости от того что вы в конфиге прописали. Вопрос на вопрос, а вам вообще это зачем в самой теории?

В 7-ую версию routerOS, обещали ovpn по UDP. Не в курсе как в этом плане дела у них обстоят?

Вопрос на вопрос, а вам вообще это зачем в самой теории?

Перед IP PBX Asterisk, раньше стоял «кокой-то домашний роутер», поднимал PPPOE Интернет и форвардил 1194 порт на службу OVPN сервера IP PBX Asterisk.

Сейчас «кокой-то домашний роутер» заменен на «Mikrotik hEX PoE lite». Задумался стоит ли переместить сервис OVPN на Mikrotik?

OVPN используется для подключения к IP PBX Asterisk разного рода мобильных софтфонов.

Пока ничего не слышно

Я не про то, я конкретно вот про это «Можно ли использовать tun на windows client?» - а вам вообще это зачем в самой теории?

На сервере используется tun.

Это роли не играет. Вобщем работать будет :)

Я не очень уверен, но последний раз, не буду уствержать точно, но OpenVPN на Windows ругался, что не тот тип интерфейса выбран в конф. файле. Сервер был tun, в клиенте был tap. Во всяком случае Ваш комментарий запомнил. Спасибо, большое.

В клиенте также пишите tun. Просто реально винда будет поднимать tap (не завезли в нее tun), но для работы это не имеет значения. Т.е. если топология net30 то конфиг, что для *nix, что для винды одинаков, за возможным исключением по поводу поднятия роутинга route-method exe; route delay 2; (тут уже не вспомню когда в каких версиях винды/ovpn это надо было, просто оставляю на всякий случай).

route-method exe

Для win7 приходится писать иначе маршруты не поднимаются. Выше не лазил еще.

Выше не лазил еще.

Just FYI. Не более месяца назад пришлось с поднятием на win10 разбираться, через openvpngui работает, но вот консольный вариант поднять не получилось, не дает роуты прописать, правда я особо сильно не парился на эту тему, работает - распишитесь получите :)