Uma equipe de rede deve transportar tráfego IPv6 de forma segura por uma WAN somente IPv4. Qual design é a abordagem recomendada para tunelar e criptografar o tráfego IPv6 de ponta a ponta em roteadores IOS/IOS XE?

A opção correta é usar GRE (tunnel mode ipv6ip) com proteção IPsec. O GRE encapsula o tráfego IPv6 em pacotes IPv4, permitindo sua travessia pela WAN IPv4. A aplicação de um perfil IPsec (tunnel protection) à interface do túnel GRE garante a criptografia e a segurança de ponta a ponta do tráfego IPv6. A opção de IPsec baseado em política não é a ideal porque o IPsec nativo não encapsula IPv6 sobre IPv4 diretamente para transporte, e a ACL de criptografia seria complexa para gerenciar. Encapsular IPv6 em IPv4 usando IP-in-IP manual não oferece criptografia, deixando o tráfego vulnerável. L2TPv3 sobre IPv4 não é a solução padrão para criptografia de tráfego IPv6 e depender de MPLS para criptografia é uma abordagem diferente e mais complexa, não sendo a recomendada para tunelamento e criptografia de ponta a ponta em roteadores IOS/IOS XE.