sdwan 中 CPE 流量如何实现租户隔离？

核心骨干网已经搭建完成，全部基于 vxlan 进行转发，考虑到 cpe 设备可能存在在 nat 后，准备使用 ipsec 来连接 pe ，因为 ipsec 天然可以穿透 nat ，如果 ipsec 和远端的 pe 建立连接那么 pe 如何区分流量属于哪个租户的呢？

这个问题困扰了我许久，有没有做过的同学，希望能指导下。