how to check ipsec tunnel?

IPsec поднят и туннель сервер1 <-> маршрутизатор с NAT <-> сервер2 устанавливается. Пингую с сервера1 сервер2. Смотрю сеть tcpdump. Вижу что пакеты посылаются и они зашифрованы. Но также вижу, что на сервере1 присутствуют пакеты «echo reply», а на сервере2 присутствуют пакеты «echo request». При этом на маршрутизаторе я наблюдаю только зашифрованные пакеты. Это нужно понимать как наличие проблемы, т.е. туннель все-таки не сконфигурирован? Или это те пакеты, которые я уже вижу после того как IPsec их разшифровал и tcpdump показывает мне их уже в «plain text»? Как вообще правильно тестировать туннель и какими утилитами не считая tcpdump?