IPsecとspi, ファイアウォールの話ですが、

動的グローバルIPアドレスのルータ と 固定グローバルIPアドレス で
トンネルモード、aggressiveモードのIKE+IPsecを張る場合、
動的IPからセッションを張りに行くので、SPIを設定した動的IP側にはファイアウォールの設定は無い状態で、
運用はできているのですが、

マニュアルには、動的IP側にもudp dst port 500と、espのファイアウォールの指示が書かれています。
切断時などにkeepaliveが発生した場合、
直前の鍵でセッションを回復するために、固定IP側から上記パケットの新規セッションが来るということでしょうか？