Een engineer heeft een site-to-site crypto map-gebaseerde policy VPN geconfigureerd. Na het toevoegen van een nieuw intern subnet achter de lokale router, wordt verkeer van dat subnet niet via de VPN geleid. Welke enkele hoofdoorzaak verklaart dit gedrag voor een policy-gebaseerde VPN?

Bij een policy-gebaseerde VPN definieert de crypto access list (ACL), ook wel 'traffic selector' genoemd, welk verkeer versleuteld moet worden. Als een nieuw intern subnet wordt toegevoegd en niet in deze ACL wordt opgenomen, zal het verkeer van dat subnet niet overeenkomen met de criteria voor encryptie en wordt het dus niet via de VPN-tunnel verzonden. Policy-gebaseerde VPN's kunnen wel degelijk extra subnets verwerken, mits de crypto ACL correct wordt bijgewerkt. IPv6 is geen vereiste en crypto maps ondersteunen zowel IPv4 als IPv6. Hoewel NAT exemption belangrijk kan zijn, is de primaire reden dat het verkeer niet versleuteld wordt, het ontbreken van het subnet in de crypto ACL.