>   Тут не удержусь от ехидного комментария. Глядя на злоключения коллег
> из сетевого отдела — *не* работает. В 9 прошивках из 10

признаюсь честно, именно ipsec site2site failover я делал на 7-8.0 (то есть до прихода щастья всем в виде поддержки многотредовости в 8.2)  - работало, переключалось c sub-second delay (ибо voip), в панику за год не свалилось.

Учитывая что именно это место гарантированно пострадало от мультипроцессорности/тредов - готов поверить, что в 9+ оно так.

> есть какой-то очередной нюанс, препятствующий переключению или сваливающий в "панику".
> И при этом зафиксировать рабочее — тоже не вариант, т.к. регламенты.

вообще-то с циской принято не фиксировать полурабочее скотчем, а открывать tac case (раз они где-то берут свежие версии, значит, и доступ к tac у них есть). Вот если tac уже послал - нужны подробности, как дошли до жизни такой.
Поскольку вроде бы как раз основной функционал, и непонятно, зачем дальше такая коробка нужна.

мы ssg, видимо, выпилим за такое поведение, ибо ненужно.