ну я на интерфейсе у себя вижу трафик который должен быть завернут в ipsec уже открытым. Т.е. раньше я предполагал что это просто захваченные интерфейсом кадры до того как они начнут обработку сетевым стеком, но видимо не совсем так, иначе бы я видел зашифрованные данные