Обломался с туннельным IPsec режимом

Попробовал вчера за NAT-ом соединить два strongSwan между FreeBSD
системами своими. Через 4500 UDP порт всё работает, соединяется без
правок в ядре, инкапсулированный ESP трафик оборачивается. Но вот у меня
не вышло обеспечить передачу IP-трафика между машинами. Сделал TUN
интерфейс, указав ему IP адреса которые должны ходить внутри туннеля. И
маршрут должен быть при этом автоматически ядру и оборачивать пакеты он
должен в ESP. На ноутбуке трафик принимается и на ping-и он отвечает,
всё как надо и как ожидается. А вот на сервере отправка трафика
происходит, enc0 интерфейс показывает приём дешифрованного ICMP ответа,
но он не "доходит" дальше никуда, ping команда в ответ ничего не
получает. Потратил часы, но даже примерно так и не смог выяснить и
понять в чём дело и куда девается успешно дешифрованный пакет. И это
ведь полностью одинаковые версии FreeBSD. Разница только в наличии
других сетевых интерфейсов и маршрутах -- как-то они чем-то влияют.
Надеюсь что это просто редкая бага в моей не самой современной FreeBSD.