tcpdump?

Дык это... при наличии ната между ними — по 4500/udp если мне память не изменяет. Иначе — по ESP-протоколу.

подампить. там должен быть какой-то верхний UDP порт если склероз не изменяет.

ISAKMP — UDP 500
ESP — Protocol 50
ISAKMP NAT-Traversal — UDP 4500 (NAT-T)
Если клиент не за натом — то первые два (по 500/udp устанавливает IPSEC-сессию, потом по ESP работает). Если между ними есть нат — то детектит и заворачивает все в туннель через 4500/udp.
Примерно так.

10000, нет?

Всем спасибо, традиционно @infidel'ю особенное. пока вопрос исчерпан :)

@stanis, Только если на клиенте вручную выставлен IPSEC over TCP. Там же и порт назначается, по дефолту да, 10000.
Если клиент настроен на работу штатно (IPSEC over UDP) — то как я описал (500+ESP если может, 4500 если не шмогла).
cisco.com
cisco.com

@archive, Особенно когда кидаются реализовывать что-либо по драфту спецификации. Чтобы пораньше успеть. А она меняется.