Sembra che sta selezionando un protocollo sbagliato..
E certo, perchè strongswan usa la magia nera per sapere che protocollo sta usando il client. Questo problema ce l'hai quando la configurazione di strongswan corrente contiene due possibili profili che matchano lo stesso scenario. Se strongswan riceve dal client un messaggio che lo porti a capire correttamente quale profilo usare va tutto bene, se invece ne hai due possibili e d un certo punto tocca a strongswan fare una scelta tra quelli possibili allora o sei fortunato e becca quello giusto )perchè magari è il primo nella lista di quelli possibili) o fa una scommessa a perdere e va in errore.
https://serverfault.com/questions/709228/when-and-with-which-parameters-does-strongswan-select-a-connectionEsempio: in una configurazione cert-based ikev2 a doppio protocollo (pubkey o EAP-TLS) come quella che ho sistemato sulla wiki di openwrt, lui non riesce a distinguere dai primi messaggi se si tratti di una autenticazione client mediante pubkey o eap, Ad ogni modo lui parte supponendo sia del primo tipo (pubkey). dando risposte che vadano bene per entrambi i protocolli, per questo entrambi devono usare autenticazione server mediante pubkey, altrimenti lui non saprebbe che informazioni inviare al client nei primi step. Una volta fatto, lui ancora non sa di che connessione si tratta, ad un certo punto riceve un messaggio dal client che dice "EAP-..." allora lui dice "ah ma allora volevi autenticarti con EAP, allora il profilo pubkey che ho scelto quello sbagliato, vediamo che altro c'è, uh c'è un profilo EAP-TLS sarà questo, proviamo" e risponde.
Se tanto mi da tanto la L2TP/IPsec ha i primi step inconfondibili con quelli della IKEv2/IPsec, per cui non hai modo di tenere buoni entrambi i profili per gli stessi endpoint (si perchè in realtà prima ancora che il contenuto dei messaggi va a guardare e matchare le identità, le identità IKEv2 sono gli ip).
Sempre per questo motivo non si possono tenere buone due configurazioni per le stesse identity una che preveda un singolo round di client auth (tipo su pubkey) e un altra che ne preveda due (pubkey+EAP).
