一位工程師設定了基於站點對站點加密對映策略的 VPN。在本地路由器後方新增內部子網路後，來自該子網路的流量無法通過 VPN。對於基於策略的 VPN，哪一個單一根本原因可以解釋這種行為？

基於策略的 VPN 依賴於加密存取控制列表 (ACL)，也稱為流量選擇器，來定義哪些流量應該被加密並通過 VPN 隧道傳輸。如果新增加的內部子網路沒有包含在現有的加密 ACL 中，那麼來自該子網路的流量將不會被視為需要加密的流量，因此無法通過 VPN。 基於策略的 VPN 確實可以處理多個子網路，只要它們都包含在加密 ACL 中。新的子網路不一定需要 IPv6，且加密對映支援 IPv4。雖然 NAT 豁免通常與 VPN 相關，但它本身並不是導致流量無法通過 VPN 的直接原因；根本問題在於加密 ACL 未能識別新子網路的流量。