Em uma rede DMVPN usando GRE multiponto (mGRE), os spokes devem criptografar o tráfego destinado a outros spokes. Qual configuração única é necessária nos spokes para aplicar IPsec a túneis spoke-to-spoke baseados em mGRE?

A opção correta é usar 'tunnel protection ipsec profile' na interface do túnel mGRE. Esta configuração aplica um perfil IPsec dinamicamente aos túneis spoke-to-spoke, permitindo que os spokes estabeleçam sessões IPsec seguras entre si sem a necessidade de configurações estáticas complexas. Aplicar um crypto map à interface do túnel mGRE não é a abordagem correta para DMVPN, pois crypto maps são mais adequados para túneis IPsec estáticos ou VPNs baseadas em políticas. Configurar SAs IPsec estáticas por par de spoke seria impraticável e não escalável em uma rede DMVPN, que é projetada para conectividade dinâmica. Habilitar 'ip nhrp map multicast' no hub é importante para a replicação de multicast e broadcast na DMVPN, mas não tem relação direta com a criptografia IPsec dos túneis spoke-to-spoke.