Как защитить Mikrotik от внешних переборов pptp, ipsec?

1. НЕ использовать PPTP
2. Не использовать PSK в IPSec, использовать только сертификаты, выпущенные в заданном CA - пусть хоть опухнут от перебора

Георгий Измайлов Все же я бы отказался от pptp, если конечно это возможно.
Настройка l2tp+ipsec не так сложна.

Но в любом из вариантов, можно блокировать многие вещи.
Сделайте любой популярный порт ловушку, главное, что бы не пересекалось с рабочими.
Например у меня есть роутеры, которые только раздают интернет и у них нет открытых портов вообще.
Я поставил порты ловушки на 80,22,443,3389,5080 и все что вы еще хотите.
Если будут запросы на эти порты, то запрос попадает в blacklist и запросы с этих блокируется на определенное время. У меня же собирается все в одну БД и я там дальше делаю обработки на более сложных условиях.

Для VPN есть несколько вариантов дополнительно, это проверять кол-во авторизаций
вот пример для l2tp

https://hd.zp.ua/zashhita-routera-mikrotik-ot-brut...

и есть разные варианты для pptp

spvd.ru/page/mikrotik-simple-bruteforce-prevention

Так как уже давно не использую pptp, то остальные вариант предлагаю поискать самому.

Можно реализовать функционал, аналогичный fail2ban:
https://www.ekzorchik.ru/2018/03/i-disassemble-the...

Если условия позволяют - как минимум для IPSec стоит задать явные пиры (адреса другой стороны).
С pptp такое навряд ли прокатит, можно попробовать хотя бы уйти в нестандартные порты (если позволяет клиентский софт), а так стоит уйти во что-нибудь другое "на сертификатах".

Если никто ничего толкового не посоветует и адресов не много, я бы блокировал все запросы вручную c этих адресов, либо с диапазонов /24

Например так https://www.youtube.com/watch?v=wGDTWaDL8jc

Для обеспечения безопасности впн можно предложить
1. Не использовать стандартные логины (и порты, но это слабо помогает)
2. Использовать сложные пароли
3. Ограничивать источники, с которых может быть инициировано подключение. Например, если вы не ожидаете никого из Китая, то заблокировать китайские адреса напрочь (политика черных списков-разрешено все, что не запрещено). Также возможно использовать уже рекомендованную здесь политику белых списков (запрещено все, что не разрешено).
4. Можно использовать port knocking MikroTik + port knocking