Хороший вопрос, официально блок SoC называется IPsec Offload Engine.
Но, фактически, я думаю, что ESP encapsulation выполняет XFRM в ядре самостоятельно, а вот криптографические преобразования и аутентификация выполняется уже этим блоком, при условии поддержки требуемого алгоритма.