ну-с, поднял l2tp dial-in на RRAS. айпишник теоретически можно назначить клиенту, а на практике при определенной фазе Луны назначается случайный, соответственно все маршруты идут по пизде.
маршруты тоже типа как бы назначаются (через консоль управления пользователями), а на практике - не все применяются, а те что применяются - не работают.
Пробовал сделать, как чувак из интернета сказал:
https://serverfault.com/questions/499516/static-routes-for-vpn-clients-not-working-in-windows-server-2008-r2-rras - не нашел, как задействовать ипсек
В результате не микротики звонят на винду, а винда на микротики.