ipsec: add SA data-path API