Un ingegnere ha configurato una VPN site-to-site basata su policy con crypto map. Dopo aver aggiunto una nuova sottorete interna dietro il router locale, il traffico proveniente da tale sottorete non attraversa la VPN. Qual è l'unica causa principale che spiega questo comportamento per una VPN basata su policy?

Nelle VPN basate su policy, la crypto ACL (traffic selector) definisce specificamente quale traffico deve essere crittografato e inviato attraverso il tunnel VPN. Se una nuova sottorete viene aggiunta alla rete interna, ma non viene inclusa nella crypto ACL esistente, il traffico proveniente da quella sottorete non corrisponderà ai criteri definiti nella ACL. Di conseguenza, il router non tenterà di crittografare o incapsulare quel traffico per la VPN, e quindi non attraverserà il tunnel. Le VPN basate su policy possono gestire sottoreti aggiuntive, purché la configurazione della policy venga aggiornata. Le crypto map supportano sia IPv4 che IPv6. L'esenzione NAT è necessaria se il traffico VPN non deve essere sottoposto a NAT, ma non è la causa principale del mancato attraversamento del traffico attraverso il tunnel VPN se la crypto ACL non è configurata correttamente.