Клиенты по pptp цепляются к хосту А (linux), получая по PPP приватные адреса; оттуда по IPSec-тоннелю (ESP), проброшенного внутри IPIP-тоннеля попадают на хост Б (linux), где через NAPT вылазят в ИНет. Куда мне задавать вопрос о неправильных MTU/MSS? ;)

p.s.: вот как IPSec встречается, так оно мне обязательно отрыв башки делает...

IPSec рушит мой мозг.