Предприятию необходимо поддерживать множество удаленных сетей за одной конечной точкой туннеля, и оно хочет добавлять или изменять удаленные подсети без перенастройки криптографических ACL. Какой дизайн VPN лучше всего удовлетворяет этому требованию?

Route-based IPsec с использованием туннельного интерфейса (например, FlexVPN) является лучшим решением, поскольку он инкапсулирует весь трафик, направляемый в туннельный интерфейс, в IPsec. Это позволяет добавлять или изменять удаленные подсети без необходимости перенастраивать криптографические ACL, так как IPsec защищает весь трафик, проходящий через туннель, независимо от конкретных подсетей. Policy-based IPsec (crypto map с селекторами ACL) требует явного определения всех подсетей в криптографических ACL, что делает его негибким при изменениях. GRE без IPsec не обеспечивает шифрования и аутентификации, что является критическим недостатком для VPN. Статические GRE-туннели для каждой удаленной подсети не масштабируются и требуют значительных усилий по настройке при добавлении новых подсетей.