どっちかのWANが動的アドレスでその動的アドレス側からトンネルをキープするための
パケットをSAのライフタイム以下のタイミングで送ってないんじゃない？
keepalive機能だけではダメ
IX側だったらネットワークモニタ（一定間隔でpingを飛ばす）とか
Ciscoの方はよく判らん

見当違いのレスだったらゴメン