В случае, когда по какой-либо причине полностью отсутствует IPsec соединение, на маршрутизаторах Hub-Router и Spoke-Router будет динамически удалена информация о маршрутах через GRE туннели, и таким образом трафик, идущий из подсети центрального офиса в филиал (и наоборот) не будет инкапсулирован в GRE и будет направлен через маршруты по умолчанию, заданные на Hub-Router и Spoke-Router. В целях безопасности, на криптошлюзах следует заблокировать прохождение этого трафика.