Какова уязвимость данного подхода?
Поздравляю, вы изобрели "your own PFS" :)

В принципе, внутри нормально зашифрованного канала можно делать что угодно, хоть обменяться ключами и установить новое, на основе этих ключей, соединение - только зачем? Всякого рода IPSec-туннели и site-to-site впны для того и служат, чтобы можно было внутри них пускать нешифрованный трафик, если, например, протокол шифрования не умеет.
Имеется в виду не делать своё шифрование поверх UDP Здесь скорее всего главное не делать своё шифрование. UDP всего лишь транспорт, ему совершенно всё равно какую нагрузку он несёт. RH собирается реализовать поддержку икапсуляции протокола SCTP в UDP.  Ты можешь спокойно инкапсулировать TLS в UDP, если хочешь.