> esp match кстати работает :)

точно-точно? Именно  -m esp --espspi 12356 ? _протокол_ esp мне неинтересно матчить.

> Вот только хотелось-то не esp match, а декапсулированный трафик пофильтровать. Чтобы клиенты
> через ipsec куда попало не ходили. Это кстати жёсткая проблема.

ставь фрю и ее ipfw. Но там это ТАК выглядит, что лучше бы не.

Чуть получше в cisco asa - но там зато нет туннелей, а есть уродливый ospf over ipsec. По одному-единственному пиру на интерфейс.

Но что мешает отфильтровать самой политикой? Мы так делали еще в винде2000.

> Хорошо-хорошо. Особенно когда когорта телефонов к SPBX ходит поверх IPSec, а тебе надо бы
> посмотреть, что там прилетело до попадания в софт.

ну так и нехрен мешать pbx с шифрогейтом...
Вот уж чего бы мне в голову сотворить не пришло.