DL
Так как ipsec сервер стоит за микротик который имеет loadbalancing. Есть prerouting для ipsec протокол но ipsec невсегда связат нужный ip для него а отправит ответ с другой ip. В результате ipsec тунел неможет стоит.
Какие правила еще нужен добавить ?