IPsec 暗号化モードは、IP ネットワーク経由で送信されるデータ パケットを IPsec が保護する方法です。IPsec 暗号化には、トンネル モードとトランスポート モードという 2 つの主なモードがあります1。トンネル モードでは、元のヘッダーを含む IP パケット全体が暗号化され、暗号化と復号化を実行するセキュリティ ゲートウェイ (ルーター、ファイアウォール、または VPN サーバー) の送信元アドレスと宛先アドレスを含む新しい IP ヘッダーが追加されます2。トランスポート モードでは、IP パケットのペイロード (データ) のみが暗号化され、元のヘッダーはそのまま残り、データを生成および消費するエンドポイントの元の送信元アドレスと宛先アドレスが使用されます3。したがって、トランスポート モードは、元の IP ヘッダー情報が変更されないため、パケットの宛先がセキュリティ終端点と異なる場合に適しています。トンネル モードは、元の IP ヘッダー情報をより強力に保護するため、セキュリティ終端点がパケットの宛先でもある場合に適しています。

説明
ルータ 2 にはサブネット 10.10.13.128/25 のエントリがありません。10.10.13.0 から 10.10.13.127 までの範囲の 10.10.13.0/25 のエントリのみがあります。
https://study-ccna.com/administrative- distance-metric/

参照：
Cisco デバイス上の DHCP サーバーから IP アドレスを取得する場合は、「ip address dhcp」コマンドを使用できます。
注: コマンド「ip helper-address」を使用すると、ルータが DHCP リレー エージェントになることができます。