КШ знает о адресах других КШ либо по внешним адресам из их конфигураций, либо из STUN-сервера ЦУСа. Между внутренним и внешним канал будет, ведь КШ с внутренним интерфейсом знает адрес другого КШ из его конфигурации или другому КШ говорит ЦУС с какого адреса к нему пришел КШ с внутренним интерфейсом. Как то так.
Я поясню зачем это надо. У нас есть один из КШ подключенный по L2 к головному офису. У него нет доступа в инет Добавили на ЦУС и на КШ в головном офисе с которым он должен иметь шифрованный канал по внешнему интерфейсу в сети L2. Все работает. Потом переназначили интерфейсы на двух КШ, которые в канале L2 с внешних на внутренние. Вроде работать не должно, а работает.