Hola Oscar,
Te comparto la solución:
Modifique la fragmentación de los paquetes antes del cifrado, de modo que el enrutador ajuste los paquetes originales a 1430 bytes, luego se agreguen 70 bytes después de la encapsulación GRE e IPSec, el paquete final sería de 1500 bytes y la fragmentación no es necesaria.
Configuración correspondiente
<Huawei>sy
[Huawei]ipsec df-bit clear
[Huawei]ipsec fragmentation before-encryption