Inżynier skonfigurował VPN typu site-to-site z polityką opartą na mapach kryptograficznych. Po dodaniu nowej podsieci wewnętrznej za routerem lokalnym, ruch z tej podsieci nie przechodzi przez VPN. Jaka jest pojedyncza przyczyna tego zachowania w przypadku VPN opartego na polityce?

Poprawna odpowiedź to: Lista kontroli dostępu kryptograficznego (selektor ruchu) nie zawiera nowej podsieci, więc ruch nie jest dopasowywany do szyfrowania. W VPN-ach opartych na polityce (policy-based VPNs), ruch przeznaczony do szyfrowania jest definiowany przez listę kontroli dostępu (ACL), która działa jako selektor ruchu. Jeśli nowo dodana podsieć nie zostanie uwzględniona w tej ACL, ruch z niej nie zostanie dopasowany do polityki szyfrowania i tym samym nie będzie przesyłany przez tunel VPN. Pozostałe opcje są nieprawidłowe: VPN-y oparte na polityce obsługują dodatkowe podsieci, pod warunkiem prawidłowej konfiguracji selektora ruchu. Obsługa IPv6 w mapach kryptograficznych zależy od wersji IOS i sprzętu, ale nie jest to domyślne ograniczenie, które uniemożliwiałoby działanie IPv4. Dodanie podsieci do tabeli wyłączeń NAT jest często wymagane, aby ruch VPN nie był poddawany NAT-owaniu, ale nie jest to bezpośrednia przyczyna braku szyfrowania przez mapę kryptograficzną.