Для IPSec не нужна маршрутизация. Основа IPSec - SPD (Security Policy Database) и SAD (Security Associations Database). SPD строится на основе политик, которые Вы сами задаете (в микротике) или строит шван (в линухе). SAD строится автоматически на основе соединений с пирами.
Достаточно нормально описать политики - и микротик сам разберется куда ему отправлять пакеты. Единственный момент - пакеты проходят netfilter
дважды - в зашифрованном виде и в расшифрованном. И он должен разрешать их в обеих случаях.
Есть отличная
картинка показывающая
полный путь пакетов, в том числе и места, где они шифруются/расшифровываются (xfrm encode/xfrm decode). Я думаю, стоит на нее поглядеть - и сразу станет понятно, почему в IPSec не нужна маршрутизация.