Собсно проблема такая, есть Ipsec между 860 и 260 работает отлично, где 860 есть несколько vlan так вот внезапно из сети за 260 перестал видеться vlan
из правил в 260 в настройках ipsec в качестве удалённой сети указана группа из двух под сетей основной и vlan
lan_to_IPSec Allow lan lannet office group_net_office all_tcpudp
IPsec_to_lan Allow office group_net_office lan lannet all_tcpudp
на 860 разрешено общение между вланами проблем нету правила
IPsec_to_lan Allow Vladimir IPSec_remote_net_vladimir All_lan vlan_groupe all_tcpudp
lan_to_IPSec Allow All_lan vlan_groupe Vladimir IPSec_remote_net_vladimir all_tcpudp
при этом с 260 пингуется шлюз влана, но не устройства
где может быть касяк, приэтом из основной подсети видны устройства за ipsec и они пингуются и так далее

Всё вроде разобрался добавиль на 860 явные правила
IPsec_to_vlan_vladimir Allow vlan2 VLAN_NET Vladimir IPSec_remote_net_vladimir all_services
vlan_to_ipsec_vladimir Allow vlan2 VLAN_NET Vladimir IPSec_remote_net_vladimir all_services
и очнулись сети

Очевидно, косяк в том, что ICMP -- это не TCP и не UDP , а так первоначальных правил было бы достаточно.