Брандмауэр с дополнительной безопасностью. Не поднимаются SA
 

Прошу помощи.
Ситуация 2 хоста с белыми IP на MS Server 2008 r2. Пытаюсь настроить ipsec в транспортном режиме между хостами.
Добавил в корневые центры сертификации хостов свой CA. И на каждый хост сертификат. Настроил правила безопасности подключения. Где указал ip адреса узлов.
После включения правил, пакеты между узлами ходить перестают, т. е. политика ipsec применяется. Но, даже первая фаза не проходит.
В "наблюдении", в основном режиме пусто.
Та же самая конфигурация без проблем работает на server 2016.
Есть подозрение, что надо, что-то, где-то включить...