Ну вот так без конкретики, на ум приходит только то что у вас не попадают в лист пакеты.
т.е. вешайте на local policy, в случае gre, сетку в которой прописан адрес tunnel source. В случае ipsec (site-to site ), белый адрес того, кто тунель строит с удаленным хостом.
Думаю так, если я правильно понял ваш вопрос.
Policy-based Routing (PBR), как основное назначение (Часть 2)