Отсутствует звук в SIP-звонках через VPN.

Причина в том, как IPsec взаимодействует с обычной маршрутизацией и файрволом. Если обычная маршрутизация отправляет пакет через какой-то интерфейс, и при этом есть правило src-nat или masquerade, которое срабатывает на этом исходящем интерфейсе (или списке интерфейсов) и меняет исходящий адрес пакета, то пакет может перестать совпадать с селектором трафика в политике IPsec (как в вашем случае) или, наоборот, начать совпадать с селектором, с которым он обычно не совпадал (например, когда роутер выступает в роли инициатора IPsec и запрашивает IP-адрес у респондера через метод mode-config).

Использование правила, предложенного @inteq, — один из способов предотвратить src-nat для трафика между сайтами, ведь NAT — это одна из функций отслеживания соединений, а правило action=notrack в raw исключает пакет из обработки модулем connection tracking.

Есть и другие варианты решения вашей проблемы: правило action=accept, которое "перекрывает" правило src-nat / masquerade в /ip firewall nat, или маршрут через другой интерфейс, на котором правило src-nat / masquerade не срабатывает. Всё зависит от ваших общих потребностей — action=notrack в raw также отключает работу stateful firewall для подходящего трафика, но с другой стороны, исключение пакетов из отслеживания соединений снижает нагрузку на процессор при их обработке.