O túnel Geneve não funciona com conexão IPv6 criptografada IPsec

Question

Eu criei um par de dispositivos de encapsulamento do tipo geneve em dois nós conectados via IPv6.
Contanto que a conexão seja "simples", o túnel funciona bem.
nodeA tun ip4/6 <-> nodeA eth ip6 <- -> nodeB eth ip6 <-> nodeB tun ip4/6
Mas quando eu habilito o ipsec para a conexão IPv6 dos nós (via strongswan), nenhum outro pacote é transferido através do túnel.
nodeA tun ip4/6 <-> nodeA eth ip6 <- ipsec! -> nodeB eth ip6 <-> nodeB tun ip4/6

A mesma configuração funciona bem em uma conexão IPv4 dos mesmos nós (ipsec ativo).
nodeA tun ip4/6 <-> nodeA eth ip4 <- ipsec -> nodeB eth ip4 <-> nodeB tun ip4/6
Também não há problemas ao enviar pacotes através do IPv6 entre os nós sem usar o túnel quando o ipsec está ativo
nodeA eth ip6 <- ipsec -> nodeB eth ip6

Embora minhas habilidades com o Google não sejam tão ruins, estou procurando os termos errados ...

O que é possivelmente bloquear os pacotes no túnel?
Quais partes da configuração podem levar a esse comportamento?