Добрый день!

Встал в тупик с вопросом применеия QoS к тунелю IPsec site-to-site.

В документации Cisco IPSec VPN QoS Design - ToS Byte Preservation (http://www.cisco.com/en/US/docs/solutions/Enterprise/WAN_and...) указана возможность копирования значения DSCP из заголовков IP пакетов трафика в заголовки пакетов GRE и затем - в заголовки IPsec.
На входе в тунель два потока -  VoIP и Data, классифицированные как EF и AF41 соответственно. Насколько я понимаю, я должен определить один потоков и классом этого потока будут таггироваться все пакеты туннеля? Или каждый из пакетов voip или data будет инкапсулироваться в отдельный пакет IPsec, который, в свою очередь, будет тагироваться согласно тагу "полезной нагрузки"?
Если последнее предположение верно, что происходит если при прохождении бекбона из за переполнения часть пакетов с низким приоритетом будет уничтожена? То есть если на маршрутизатор назначения IPsec придут только пакеты с содержимым voip, а пакеты с data будут уничтожены в пути, то не нарушит ли это последовательность пакетов и не помешает ли это извлечению voip трафика? Грубо говоря, будет ли работать IPsec тунель, если часть его пакетов будет утеряна? Я всегда полагал, что тунель может существовать и обрабатываться только как единый поток, а тут засомневался...

Имеет ли значение (в этом ключе), в каком режиме работат IPsec - в тунельном или транспортном моде?