IPSec и VRRP

Пытаюсь настроить резервный маршрутизатор, где требуется IPSec-соединение с адресом VRRP. Кажется, VRRP работает нормально, переключение резервного маршрутизатора занимает несколько секунд, когда я отключаю основной, но в тестовой настройке всё работает каждый раз. Могу пинговать адрес VRRP или использовать его как адрес шлюза без проблем. (У меня раньше не получалось настраивать VRRP с виртуальными машинами… но с физическими машинами, похоже, всё в порядке). Однако с IPSec всё сложнее. При использовании основного маршрутизатора установить IPSec-соединение можно без проблем. Когда переключается резервный маршрутизатор, соединение IPSec работает нестабильно: иногда соединение устанавливается, иногда нет - если я отключаю основной маршрутизатор и перезапускаю резервный, то IPSec обычно запускается, но если, например, включить/выключить IPSec, то оно не перезапустится. Когда резервный маршрутизатор просто переключается, IPSec никогда не работает. Когда основной маршрутизатор снова переключается, IPSec сразу же работает без проблем. Я написал небольшие скрипты для отключения/включения IPSec-правил на маршрутизаторах как на подключающемся, так и на VRRP-маршрутизаторах при любых изменениях. Это должно очищать SA (Security Associations) и перезапускать все обмены ключами и т.д. Все маршрутизаторы версии 2.9.26 для x86. Настройка IPSec идентична на основном и резервном VRRP-маршрутизаторе. VRRP был настроен на каждом из них, конфигурации не копировались. Единственное отличие между основным и резервным VRRP-маршрутизатором - это то, что один является основным, а другой - резервным. У кого-нибудь есть какие-нибудь предположения, что стоит поискать? С уважением, Flóvin