Привет, jasperb, большое спасибо за всю твою помощь и советы. Но, к сожалению, я должен сказать — сегодня я сдался. Обычно я умею доводить дела до конца, но в этом редком случае просто опускаю руки. Не понимаю, что делаю не так. Я пытался строго следовать твоим настройкам, пробовал все рекомендации с форума, которые казались полезными, но ни одного VPN-соединения так и не удалось установить. Логи особо не помогали, особенно с стороны Fritz!Box.

Возможно, попробую ещё раз позже в этом году, когда выйдут новые прошивки для моего Fritz!Box (KabelDeutschland/Vodafone, «брендированная» коробка от кабельной компании). Пока что настроил большинство важных сервисов на отдельных устройствах в разных локациях. Не идеально, но лучше, чем ничего.

Спасибо ещё раз за твоё время и помощь,  
lx

Привет, Jasper, большое спасибо за твой (очень быстрый) ответ. К сожалению, мне не удалось установить соединение между USG и (даже одним) Fritzbox. После целой недели ковыряний по вечерам я выкладываю свои настройки и вопросы — может, кто-то сможет помочь.

Вот мои настройки:

Fritzbox-config:  
vpn.cfg  
vpncfg {  
connections {  
enabled = yes;  
conn_type = conntype_lan;  
name = "subdomain-usg.domain.com";  
always_renew = yes;  
reject_not_encrypted = no;  
dont_filter_netbios = yes;  
localip = 0.0.0.0;  
local_virtualip = 0.0.0.0;  
remoteip = 0.0.0.0; // remotehostname тогда не указывать  
remote_virtualip = 0.0.0.0;  
remotehostname = "subdomain-usg.domain.com"; // Hostname вашего USG  
keepalive_ip = 0.0.0.0;  
localid {fqdn = "subdomain-fritzbox.domain.com"; // Hostname вашего FritzBox}  
remoteid {fqdn = "subdomain-usg.domain.com"; // Hostname вашего USG; иначе: ipaddr без кавычек (?!?)}  
mode = phase1_mode_idp;  
phase1ss = "all/all/all";  
keytype = connkeytype_pre_shared;  
key = "SECRET-Pre-Shared-Key"; // Супер защищённый pre-shared-key, в открытом виде!  
cert_do_server_auth = no;  
use_nat_t = yes;  
use_xauth = no;  
use_cfgmode = no;  
phase2localid {ipnet {ipaddr = 192.168.4.0; // Локальная подсеть вашего FritzBox  
mask = 255.255.255.0;}}  
phase2remoteid {ipnet {ipaddr = 10.1.90.0; // Локальная подсеть вашей сети USG LAN  
mask = 255.255.255.0;}}  
phase2ss = "esp-all-all/ah-none/comp-all/pfs";  
accesslist = "permit ip any 10.1.90.0 255.255.255.0"; // Локальная подсеть вашей USG LAN, например: "permit ip any 192.168.0.0 255.255.255.0"  
}  
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500","udp 0.0.0.0:4500 0.0.0.0:4500";  
}  

USG-Config:  
config.gateway.json  
{  
"vpn": {  
"ipsec": {  
"auto-firewall-nat-exclude": "enable",  
"auto-update": "60",  
"esp-group": {  
"ESP-Fritzbox": {  
"compression": "disable",  
"lifetime": "3600",  
"mode": "tunnel",  
"pfs": "enable",  
"proposal": {  
"1": {  
"encryption": "aes256",  
"hash": "sha1"  
}  
}  
}  
},  
"ike-group": {  
"IKE-Fritzbox": {  
"ikev2-reauth": "no",  
"key-exchange": "ikev1",  
"lifetime": "3600",  
"proposal": {  
"1": {  
"dh-group": "2",  
"encryption": "aes256",  
"hash": "sha1"  
}  
}  
}  
},  
"ipsec-interfaces": {"interface": ["eth0"]},
"nat-networks": {"allowed-network": {"0.0.0.0/0": "''"}},  
"nat-traversal": "enable",  
"site-to-site": {  
"peer": {  
"subdomain-fritzbox.domain.com": {  
"authentication": {  
"id": "usg",  
"mode": "pre-shared-secret",  
"pre-shared-secret": "SECRET-Pre-Shared-Key",  
"remote-id": "subdomain-fritzbox.domain.com"  
},  
"connection-type": "initiate",  
"ike-group": "IKE-Fritzbox",  
"ikev2-reauth": "inherit",  
"local-address": "any",  
"tunnel": {  
"1": {  
"allow-nat-networks": "disable",  
"allow-public-networks": "disable",  
"esp-group": "ESP-Fritzbox",  
"local": {"prefix": "10.1.90.0/24"},  
"remote": {"prefix": "192.168.4.0/24"}  
}  
}  
}  
}  
}}  
}  

К сожалению, этот набор не работает. Я пробовал разные варианты, которые прикреплю ниже, так как именно по ним у меня вопросы, которые, как надеюсь, приведут к успеху. Все вопросы основаны на твоей «реальной» и рабочей конфигурации:

1. Fritzbox — «name», USG — «id».  
Они должны совпадать или могут быть разными?

2. USG — «id».  
Это должен быть именно имя (алиас) USG? Или можно что-то другое?

3. Определения подсетей.  
Как я понял, Fritzbox и USG используют разные «определения» подсетей. В твоих конфигурациях для Fritzbox и USG подсети в конце заканчиваются на «.0/24» или «.1/24»? У меня Fritzbox выдает ошибку, если я использую «.1/24», а USG ругается на «.0/24».

4. Правила фаервола.  
Ты делал какие-то правила фаервола на USG? Я нет, и, возможно, в этом основная проблема. Пробовал, но безуспешно. Но ведь фаервол отвечает только за пакеты, которые должны пройти через USG, верно? А пакеты, направленные непосредственно к USG, не должны блокироваться (по моему пониманию).

Самое раздражающее — что Fritzbox всегда выдает ошибку «Timeout». Больше ничего. Я пробовал и с правильным IP-адресом, и с FQDN (который является CNAME-записью и корректно резолвится в DynDNS-адрес).

Я совершенно запутался. Перепробовал кучу всего, иногда даже приезжал к удалённому Fritzbox, чтобы перезагрузить и сбросить его, потому что интернет просто пропадал. Оставить всё как есть нельзя, надо было работать на следующий день.

Огромное спасибо за любую помощь,  
lx

P.S. Твой PDF странно отформатирован. При копировании и вставке строки в скрипте перемешались. Я всё равно перепроверял, просто хотел предупредить других пользователей, которые воспользуются твоими конфигурациями.