obliga a algunos compañeros a usar IPsec y permite que otros lo pasen por alto cuando llegan al mismo servidor

  

... permitir que el atacante omita la autenticación IPsec y la capa de aplicación tendría que tomar una decisión si el tráfico fue falsificado o no.

UDP es un protocolo de capa de transporte, mientras que IPSec es un protocolo de capa de red. Al contrario de los protocolos de seguridad de capa superior como TLS, la aplicación del servidor no podrá saber si los datos se enviaron a través de IPSec o sin formato, solo ve los datos de la aplicación. Para poder distinguir esto, es necesario tener diferentes puntos finales (dirección IP y / o puerto) para IPSec y tráfico normal.

  

... para algunos clientes, este servidor esperaría recibir este tráfico UDP encapsulado sobre IPsec. Mientras que para algunos otros ... sin usar ningún IPsec.

Con una configuración de red normal, solo debe haber una única ruta hacia el host del servidor, ya sea a través de la VPN (IPSec) o no. Por lo tanto, un cliente debería ser llevado fuera de la VPN para conectarse directamente al servidor o el servidor debe tener una segunda dirección que no esté en la ruta de la VPN.

Esto significa que el valor predeterminado probablemente haga lo que debería hacer. Pero uno tiene que cuestionar la decisión de permitir que todos los clientes se conecten de forma predeterminada sin cifrado. En su lugar, recomendaría permitir a los clientes locales (la misma red) sin cifrado, permitir la conexión de otros clientes a través de VPN y prohibir la conexión de todos los demás clientes.

Pero creo que a tu pregunta le faltan detalles suficientes para decidir si la configuración es segura o no. Creo que puede crear una configuración segura y una configuración insegura que coincidan con su descripción actual de la configuración.

El tráfico en texto claro y el tráfico a través de IPSEC son dos conceptos diferentes.  Según tengo entendido, la aplicación en el servidor debe ser capaz de recibir tráfico en un solo puerto y diferenciar entre texto claro y cifrado, o debe haber un puerto diferente para recibir tráfico IPSEC y luego procesarlo.

Espero que ayude.

Además de los puntos mencionados anteriormente, un factor importante a considerar aquí es sobre dónde se coloca el servidor. Si tiene un enrutador o servidor de seguridad delante del servidor, podemos hacer que el IPSEC (VPN) finalice en el dispositivo, que luego descifra el tráfico y envía el tráfico UDP / TCP al servidor.

Idealmente, depende de qué servicios están alojados y cuál es la topología de la red.

Espero que se aclare la duda