IPSEC - Lancom - Mikrotik geht an 1 (einem!) Standort nicht

Warum "leider"?? Ist doch sehr gut das er das kann und somit den IPsec Standard supportet?! Und einmal andersrum gefragt: Wie sollte denn eine "indirekte" Verarbeitung von IPsec aussehen??
Zurück zum Thema...

Dadurch das generell der Tunnel aufgebaut wird kannst du erkennen das du per se (vermutlich) nichts falsch gemacht hast am Setup. Leider fehlen deine entsprechenden Winbox Screenshots dazu und einige Punkte sind unklar ob IKEv1 oder IKEv2 usw. Für eine zielführende Hilfe wäre es besser das zu kennen wie du dir vermutlich selber denken kannst.
Das ist ein Indiz dafür das UDP 500 Traffic (ISAKMP) von diesen Standorten scheinbar überhaupt nicht am Responder ankommt.
Hier wäre wiederum die Info relevant wie es sich bei den Standorten verhält wo der Tunnel funktioniert ob hier entsprechende Log Einträge zu sehen sind und ob dort ggf. Fehler oder Warnings auftreten.
Du meinst sicher ist VPN Initiator? Auch hier wäre ein Winbox Screenshot hilfreich um zu checken ob das korrekt konfiguriert wurde.
Was genau meinst du mit "Prot- oder Portmöglichkeiten"? Bei IPsec sind die in der Regel festgelegt?!
Das ist ja auch völlig normal wenn keine Antwort vom Responder erfolgt! Am Lancom kommt ja scheinbar nix an. (UDP 500)
Das ist natürlich Unsinn, denn ein CG (Carrier Grade) NAT macht, wie der Name ja schon selber sagt, ausschliesslich der Provider. Am Endgerät kann man dazu rein gar nichts konfigurieren. Da der Mikrotik wie du sagst ja Initiator ist, ist das aber erwartungsgemäß kein Problem. An anderen Standorten ist das ja nicht anders da die CG-NAT Funktion bekanntlich im Provider Netz selber arbeitet.
Das wäre möglich, denn gerade ei diesen absoluten Billig- Wiederverkäufer Angeboten wie Aldi & Co die keine eigene Netzwerk Infrastruktur betreiben ist das nicht unüblich das klassische Business Funktionen blockiert sind. Diese sind von den Providern fast immer teureren Business Verträgen vorenthalten.
Da du aber schreibst das mit der gleichen (Feinkost Albrecht) SIM an einem Standort (Funkzelle) es funktioniert, an einem anderen Standort (Funkzelle) aber nicht kann das eigentlich nicht der Grund sein, denn solche Provider filtern in der Regel niemals nach einzelnen Funkzellen sondern global.
Das auch eine Telekom SIM filtern soll wäre auch sehr ungewöhnlich, da die Telekom so etwas generell nicht macht in ihrem Netz.
Allerdings schreibst du einmal von "Office" und dann wieder von "Büro" was ziemlich verwirrend ist. Sind das unterschiedliche Standorte?
Ein paar Detailinfos wären also hilfreich...
In den weiterführenden Links des Mikrotik Tutorials findest du HIER ein paar Beispielkonfigs zu der Thematik die ggf. weiterhelfen.

Moin,

Kommst du denn am Remotestandort grundsätzlich via LTE ins Internet - egal welcher ISP?
Wie ist die Signalstärke vor Ort?
Wie wäre der Empfang mit einem Smartphone vor Ort.

Klingt ja tatsächlich danach, dass es ein lokales Problem mit dem LTE Allgemein ist…

Gut, da geht also schon die IKEv2 Phase 1 mit Timeout in die Hose.

• Kannst du die Ziel-IP des LANCom denn vom Mikrotik aus überhaupt anpingen? (Am LANCom ICMP am WAN freischalten falls geblockt)
• Falls ein Ping geht, mach mal ein Wireshark Trace am WAN des LANCom um zu sehen ob da überhaupt Pakete auf UDP 4500/500 vom Mikrotik ankommen.
• Evt. bestimmte Quell-IP Bereiche geblockt am LANCom oder durch vorgelagerte Firewalls oder UTM-Services / Geo-Blocking?

Hier ggf. zum Vergleich nochmal ein Mikrotik Initiator Setup für IKEv2:
IPsec IKEv2 Standort VPN Vernetzung mit Cisco, pfSense OPNsense und Mikrotik

Wie Kollege @Oskar44 oben schon sagt musst du aber erstmal checken warum UDP 500/4500 Pakete vom einen Standort bzw. Funkzelle schon erst gar nicht am Lancom ankommen. Das ist die Grundursache warum der Peer nicht zustande kommt bzw. die IKEv2 Phase 1 mit Timeout scheitert.

Hatte ich oben überlesen…

Wo befindet sich denn der Remote-Standort? Noch in DE oder im Ausland/ nahe einer Grenze?