Имеем соединение через FREBSD с адресами 1.1.1.1 и 2.2.2.2 внутренних сеток 192.168.1.0 и 192.168.2.0.
Какая политика правильнее?
1. когда применяем политику к внутренним сеткам
spdadd 192.168.1.0/24 192.168.2.0/24 any -P out ipsec esp/tunnel/1.1.1.1-2.2.2.2/require;
spdadd 192.168.2.0/24 192.168.1.0/24 any -P in ipsec esp/tunnel/2.2.2.2-1.1.1.1/require;

2.когда применяем к внешним интрефейсам
spdadd 1.1.1.1/32 2.2.2.2/32 ipencap -P out ipsec esp/tunnel/1.1.1.1-2.2.2.2/require;
spdadd 2.2.2.2/32 1.1.1.1/32 ipencap -P in ipsec esp/tunnel/2.2.2.2-1.1.1.1/require;

Если смотреть по tcpdump и там и там задействованы esp-пакеты...

Имеем 2-е сетки:
1. 192.168.1.0/24 с выходом в I-net через FreeBSD7 с внешним адресом 1.1.1.1 и внутренним адресом 192.168.1.1
2. 192.168.2.0/24 с выходом в I-net через FreeBSD7 с внешним адресом 2.2.2.2 и внутренним адресом 192.168.2.1

Пытаемся их обьединить:
Собираем ядра с
device crypto
options IPSEC
options IPSEC_DEBUG
Ставим ipsec-tools из портов

На каждом поднимаем тоннель через gif0
Описываем только для первой сетки, для второй аналогично, меняем только ip:
cloned_interfaces="gif0"
gifinterface="gif0"
gifconfig_gif0="1.1.1.1 2.2.2.2"
ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff"
static routes="vpn"
route_vpn="192.168.2.1 -interface gif0"
ipsec_enable="YES"

И все это хозяйство работает и когда мы применяем и политику №1 и политику №2

Политика №1
spdadd 192.168.1.0/24 192.168.2.0/24 any -P out ipsec esp/tunnel/1.1.1.1-2.2.2.2/require;
spdadd 192.168.2.0/24 192.168.1.0/24 any -P in ipsec esp/tunnel/2.2.2.2-1.1.1.1/require;

Политика №2
spdadd 1.1.1.1/32 2.2.2.2/32 ipencap -P out ipsec esp/tunnel/1.1.1.1-2.2.2.2/require;
spdadd 2.2.2.2/32 1.1.1.1/32 ipencap -P in ipsec esp/tunnel/2.2.2.2-1.1.1.1/require;


Согласен, что 2-ая политика не совсем корректна при наличии еще одной сетки для обьединения,
но вопрос заключается в другом, применения какой из них более защищает от просмотра.

2-ая политика говорит, включать ipsec только в отношении инкапсулированных пакетов.
Другими словам, что срабатывает раньше, включается ipsec а потом тоннель или же сначало тоннель, а потом ipsec...