IPSec сквозь ipfw nat - как?

[nightfly 1,252]

Собственно документации по ipsec вагонами но сводится все в финале к танцам вокруг соединений с самой фри и ракуна.

Задача слегка другая - дивайс за НАТом на фре должен соединятся с другим таким же. Галочка "behind nat" на обоих концах наклонцана что должно бы привести к простой инкапсуляции ESP в UDP но что подозрительно никаких движений в сторону удаленного хоста с IPSec в tcpdump не наблюдаю. Рядышком в ту же сторону бегает спокойно GRE в виде нормально работающих pptp тунеллей.

 

 

UPD юдп пакеты забегали, тунель выглядит живым но тудой ничего не пролетает.

 

Есть ощущение что где-то порылась собака.