Por que a implementação do Linux IPSec não suporta fragmentação antes da criptografia?

Question

Estou tentando resolver um problema em que os pacotes ESP estão ficando fragmentados, pois após adicionar o cabeçalho ESP, o tamanho da MTU é excedido. A solução - que é o que todo mundo faz - é fazer a fragmentação antes de fazer a criptografia ESP.

A minha pergunta é se isto é tão útil, porque é que a implementação IPSec do Linux não suporta nativamente.

Eu entendo que haveria certas limitações que os seletores de tráfego L4 não funcionariam. Mas nem todo mundo faz uso disso.

Qual é a melhor maneira de adicionar esse suporte?