When creating an interface group, the option Security/Transport Equivalent can be enabled (it is disabled by default). Enabling the option means that the group can be used as the destination interface in NetDefendOS rules where connections might need to be moved between two interfaces. For example, the interface might change with route failover or OSPF.
If a connection is moved from one interface to another within a group and Security/Transport Equivalent is enabled, NetDefendOS will not check the connection against the NetDefendOS rule sets with the new interface.
With the option disabled, a connection cannot be moved to another interface in the group and is instead dropped and must be reopened. This new connection is then checked against the NetDefendOS rule sets. In some cases, such as an alternative interface that is much slower, it may not be sensible to allow certain connections over the new interface.

2. Для Group_tunnels ставлю. И правильно ли я понял: тогда для локалки программы даже и не заметят этого переключения (в смысле если онин тунель откажет) и будут работать стабильно как будто бы и не было никакого переключения тунелей?

Проверил. Работает. Но не идеально. Если подключение установлено но не используется, то все ок (а вот без галочки даже здесь отваливается). А вот если соединение активно используется, то в момент переключения вылетает. Попробую поиграться с параметрами мониторинга.