Понимание ipsec с NAT и динамическими IP

Я использую OpenSWAN для настройки VPN-туннеля между сетями. Мне удалось настроить тестовый сценарий следующим образом:

Около test и test2:

• это виртуальные машины Ubuntu 12.04, созданные с помощью ubuntu-vm-builder
• они используют мостовую сеть с физической сетью Ethernet хоста (подсеть 192.168.0.0/24).
• Я установил стандартный openswan пакет.
• у каждого есть фиктивный интерфейс, доступный с другого конца туннеля VPN.

Вот как я настроил туннель:

/etc/ipsec.conf (идентично слева и справа):

version 2.0
config setup
    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    oe=off
    protostack=netkey

conn net-to-net
    authby=secret
    left=192.168.0.11
    leftsubnet=10.1.0.0/16
    leftsourceip=10.1.0.1
    right=192.168.0.12
    rightsubnet=10.2.0.0/16
    rightsourceip=10.2.0.1
    auto=start

/etc/ipsec.secrets (идентично слева и справа):

192.168.0.11 192.168.0.12: PSK "mytestpassword"

/etc/rc.local (слева):

modprobe dummy
ifconfig dummy0 10.1.0.1 netmask 255.255.0.0

iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 ! -d 10.2.0.0/16 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
for each in /proc/sys/net/ipv4/conf/*
do
    echo 0 > $each/accept_redirects
    echo 0 > $each/send_redirects
done
/etc/init.d/ipsec restart

exit 0

/etc/rc.local (справа):

modprobe dummy
ifconfig dummy0 10.2.0.1 netmask 255.255.0.0

iptables -t nat -A POSTROUTING -o eth0 -s 10.2.0.0/16 ! -d 10.1.0.0/16 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
for each in /proc/sys/net/ipv4/conf/*
do
    echo 0 > $each/accept_redirects
    echo 0 > $each/send_redirects
done
/etc/init.d/ipsec restart

exit 0

Теперь я хотел бы создать следующий сценарий:

Вопросы, которые мне нужно понять:

• Может ли IPSec подключаться через шлюз VPN, который использует общедоступный IP-адрес через NAT (входящий обход NAT)? Относятся ли к этому NAT-T и IPSec passthrough, или они предназначены только для исходящего NAT (т.е. работают с клиентами, которые находятся за NAT, но у шлюза есть общедоступный IP-адрес)? Достаточно ли перенаправить некоторые порты с router1 для тестирования, или это будет несовместимо с IPSec?
• Могут ли оба конца туннеля IPSec иметь динамические IP-адреса, если у одного есть доменное имя и динамический DNS?