Como se constata, os padrões para o agente de retransmissão DHCP simplesmente não funcionam para alguns clientes L2TP.
Quando você configura uma interface para retransmissão DHCP no RRAS (na interface "Interna", para onde os clientes VPN vão), as opções padrão são assim:
Parecedespretensioso,masacausadetodoesseproblemaéaconfiguração"Limite de inicialização". A documentação faz com que pareça tão útil!
The number of seconds the relay agent waits before forwarding DHCP messages. You can also click the arrows to select a new setting. The default value is 4 seconds.
This option is useful when you want a local DHCP server to respond first, but if the local DHCP server does not respond, you want to forward messages to a remote DHCP server.
Obviamente, essa opção soa como se ela estivesse sendo usada apenas quando você está fazendo retransmissões de DHCP real dentro de sua rede. Nem mesmo o o mais detalhado dos guias da Microsoft para usar as opções de retransmissão DHCP para VPN menciona a necessidade de prestar atenção à configuração do limite de inicialização.
Mas os logs não mentem e dropping REQUEST with secs-since-boot 0 pareceu uma indicação clara de que o próprio agente de retransmissão DHCP estava com falha. Esse erro me indicou uma postagem no blog de um administrador útil em Lichtenstein, que finalmente me mostrou o que estava acontecendo.
A opção de retransmissão DHCP "Limite de inicialização" não é um atraso, como a documentação implica - é um filtro de pacote rígido e descartará todos os pacotes DHCP abaixo do limite. Configurar isso para algo maior que 0 não faz sentido ao usar o relay DHCP para clientes VPN (na interface "Interno"), e quebrará a capacidade de muitas implementações de clientes L2TP de recuperar opções DHCP, apesar de não haver nenhuma indicação desse comportamento em a documentação.
Depois de definir o limite de inicialização no DHCP Relay como 0, os clientes Mac L2TP recuperam com êxito as configurações das opções de DHCP 15 (sufixo DNS) e 121 (rotas de túnel divididas).