> В связи с этим вопросы, на которые надеюсь, кто-нибудь сможет ответить:
> 1. Зачем нужна вторая policy_Y, если после согласования параметров ESP и
> настройкой ESP SA, она остаётся неассоциированной ни с каким ESP ?
Почему не ассоциирована? А это что:
src 198.51.100.2 dst 198.51.100.1
proto esp spi 0xc9e9d3aa
> Можно ли настроить strongswan так, чтобы вторая неиспользующаяся
> policy_Y не устанавливалась ?
Просто для общего развития, а зачем тебе нужно такое?
> 2. Имеется ли возможность настроить на TCP соединение не две ESP SA,
> действующих каждая в своём направлении, а одну ? Например, экзотический
> случай, когда мне нужно применить шифрование только в одном направлении ?
В любом случае на том конце должен быть селектор, относящий поток,
требующий обработки, к соответствующей SA.
