某企业需要支持单个隧道端点后的多个远程网络，并希望在不重新配置加密 ACL 的情况下添加或更改远程子网。哪种 VPN 设计最能满足此要求？

基于路由的 IPsec（如 FlexVPN）使用隧道接口，通过路由协议（如 OSPF、EIGRP 或 BGP）动态学习和通告远程子网。当远程子网发生变化时，只需更新路由表，而无需修改加密 ACL，这大大简化了管理。 基于策略的 IPsec（带 ACL 选择器的加密映射）需要为每个受保护的流量流定义 ACL，当远程子网增减时，必须手动修改加密 ACL，管理复杂。不带 IPsec 的 GRE 不提供加密保护，不符合安全要求。每个远程子网的静态 GRE 隧道会造成隧道数量过多，管理复杂且扩展性差。