Это не бага, это "фича" устаревшего IKEv1.
В нем вы должны использовать ключ еще до того, как выясните идентификатор удаленной стороны. Потому нужно ставить any.
Или используйте IKEv2.
А насчет того, что не возвращается в заблокированный "any": @eralde, нужно бы подправить