сменить ключ ipsec с помощью «ip xfrm»

Разобрался:

ip xfrm state add ${DDIR} proto esp spi ${SPI2} reqid ${SPI} \
  mode transport auth sha256 ${SHAKEY2} enc aes ${AESKEY2}

На обоих узлах разрешить получение с новым SPI и связанным со СТАРЫМ требованием. Требование продолжает связывать этот SA с соответствующей «политикой».

Затем добавьте новый SPI и ключ для отправки. Node немедленно начнет использовать новый ключ.

ip xfrm state add ${SDIR} proto esp spi ${SPI2} reqid ${SPI} \
  mode transport auth sha256 ${SHAKEY2} enc aes ${AESKEY2}

Наконец, когда обе стороны используют новый ключ, прекратите использовать старый.

ip xfrm state del ${SDIR} proto esp spi ${SPI}
ip xfrm state del ${DDIR} proto esp spi ${SPI}