diff --git a/backend/src/services/ipsec-config.ts b/backend/src/services/ipsec-config.ts
index 8a42ea5..9240f01 100644
--- a/backend/src/services/ipsec-config.ts
+++ b/backend/src/services/ipsec-config.ts
@@ -253,7 +253,13 @@ export function findFreePoolIp(range: string, taken: Iterable<string>): string |
 
 // ── клиентские конфиги ──────────────────────────────────────────────────────
 
-/** strongSwan (Android/iOS) .sswan-профиль с встроенным .p12. */
+/**
+ * strongSwan Android .sswan-профиль с встроенным .p12.
+ * `ike-proposal`/`esp-proposal` намеренно не задаём: приложение берёт свои defaults,
+ * которые пересекаются с профилем MikroTik (aes256-sha256-modp2048); фиксированный
+ * неполный список лишь сужает совместимость.
+ * @see https://docs.strongswan.org/docs/latest/os/androidVpnClientProfiles.html
+ */
 export function buildSswanConfig(args: {
   name: string
   serverEndpoint: string
@@ -269,8 +275,6 @@ export function buildSswanConfig(args: {
       type: "ikev2-cert",
       remote: { addr: args.serverEndpoint, id: args.serverId },
       local: { p12: args.p12B64 },
-      "ike-proposal": "AES256-SHA256-MODP2048",
-      "esp-proposal": "AES256-SHA256-MODP2048",
     },
     null,
     2,