У чистого IPSec нет клиентской и серверной частей. Микротик запросто подымает соединение сам :)
Написать политику таким образом, чтобы локальный трафик попадал в туннель.
Трафик в цепочке output проходит стандартный путь: mangle->nat->filter, потом попадает в цепочку postrouting, где проходит mangle->nat, после чего ведро проверяет по таблице политик безопасности IPSec (security policy table) - нужно ли этот пакет шифровать?
Если шифровать нужно, то пакет шифруется в соответствии с таблицей ассоциаций безопасности (security associations table) и зашифрованный пакет снова проходит весь указанный путь
