エンジニアがサイト間クリプトマップベースのポリシーVPNを設定しました。ローカルルーターの背後に新しい内部サブネットを追加した後、そのサブネットからのトラフィックがVPNを通過しません。ポリシーベースVPNでこの動作を説明する単一の根本原因は何ですか？

ポリシーベースのVPNでは、暗号化の対象となるトラフィックは、クリプトACL（トラフィックセレクター）によって明示的に定義されます。新しいサブネットが追加された場合、そのサブネットからのトラフィックは既存のクリプトACLの定義に含まれていないため、VPNトンネルを通過するための暗号化の対象として認識されません。したがって、このトラフィックはVPNを迂回するか、ドロップされます。 ポリシーベースVPNが追加のサブネットを処理できないという選択肢は誤りです。クリプトACLを適切に更新すれば、複数のサブネットを処理できます。新しいサブネットにIPv6が必要であるという選択肢も誤りです。クリプトマップはIPv4とIPv6の両方をサポートします。NAT除外テーブルはNATの動作に関連し、VPNの暗号化対象の定義とは直接関係ありません。