IPSEC & Certificates

Вот к примеру возьмём site-to-site IPSEC VPN построенный на двух VPN роутерах (не важно каких). На обоих роутерах есть некий одинаковый CA сертификат и индивидуальные сертификаты роутеров. Поднимаем VPN. (И ведь поднимается!). Но тут у меня возникает вопрос. Если взять третий роутер (на котором есть тот же CA сертификат и свой индивидуальный сертификат), то на сколько я понимаю, если поставить его вместо второго роутера, настроив его так же как второй роутер, то даже если у нас нет ключей (в частности приватного ключа) со второго роутера, первый роутер всё равно подключится к третьему. В итоге первый роутер подключен совсем не туда куда надо, как этого избежать? При использовании PSK такой вопрос не встаёт, т.к. левому роутеру не будет известен PSK отключенного второго роутера и подмену так просто уже не произвести. Это так или я чего-то недогоняю? Как в IPSEC производится взаимная авторизация роутеров? Есть стандартный метод или это вендор-специфично?