есть:
две сетки в разных офисах 192.168.60.0/24 и 192.168.61.0/24
два маршрутизатора на freebsd 5.4 с адресами 192.168.60.1 и 192.168.61.1, внешние соответственно ххх.ххх.ххх.ххх и ууу.ууу.ууу.ууу соответственно

На обоих машинах:
создал интерфейсы gif0
добавил route

файрвол сконфигурил по-ламерски:

ipfw add 1 allow all from ххх.ххх.ххх.ххх to ууу.ууу.ууу.ууу
ipfw add 1 allow all from ууу.ууу.ууу.ууу to ххх.ххх.ххх.ххх

и всё заработало.

Пробую добавить шифрование. Установил racoon, сконфигурил.

Вопрос: что скармливать setkey?

Видел следующие варианты:

1)
spdadd ххх.ххх.ххх.ххх/32 ууу.ууу.ууу.ууу/32 ipencap -P out ipsec esp/tunnel/ххх.ххх.ххх.ххх-ууу.ууу.ууу.ууу/require;
spdadd ууу.ууу.ууу.ууу/32 ххх.ххх.ххх.ххх/32 ipencap -P in  ipsec esp/tunnel/ууу.ууу.ууу.ууу-ххх.ххх.ххх.ххх/require;

2)
spdadd ххх.ххх.ххх.ххх/32 ууу.ууу.ууу.ууу/32 all -P out ipsec esp/transport//require;
spdadd ууу.ууу.ууу.ууу/32 ххх.ххх.ххх.ххх/32 all -P in  ipsec esp/transport//require;

второй вариант вроде даже заработал, но при этом хосты видят друг друга только через тунель, а не по внешнему ип

А как писать правильно?