Ein Unternehmen muss viele Remote-Netzwerke hinter einem einzigen Tunnel-Endpunkt unterstützen und möchte Remote-Subnetze hinzufügen oder ändern, ohne die Krypto-ACLs neu konfigurieren zu müssen. Welches VPN-Design erfüllt diese Anforderung am besten?

Route-based IPsec, wie FlexVPN, verwendet Tunnelschnittstellen (z.B. Virtual Tunnel Interface - VTI), um den Datenverkehr zu verschlüsseln. Anstatt explizite Krypto-ACLs zu konfigurieren, die spezifische Subnetze definieren, wird der gesamte Datenverkehr, der über die Tunnelschnittstelle geroutet wird, automatisch verschlüsselt. Dies ermöglicht das Hinzufügen oder Ändern von Remote-Subnetzen, ohne die Krypto-Konfiguration anpassen zu müssen, da die Routing-Tabelle die Weiterleitung durch den Tunnel steuert. Policy-based IPsec erfordert die manuelle Aktualisierung der Krypto-ACLs bei jeder Änderung der Subnetze, was fehleranfällig und aufwendig ist. GRE ohne IPsec bietet keine Verschlüsselung und ist daher für sich allein keine sichere VPN-Lösung. Statische GRE-Tunnel für jedes Remote-Subnetz wären bei vielen Remote-Netzwerken nicht skalierbar und würden ebenfalls manuelle Konfigurationsänderungen erfordern.