某企業需要支援許多位於單一通道端點後方的遠端網路，並且希望在不重新設定 crypto ACL 的情況下新增或變更遠端子網路。哪種 VPN 設計最能滿足此要求？

基於路由的 IPsec（例如 FlexVPN）使用通道介面（如 VTI 或 GRE over IPsec），這讓路由協定能動態交換路由資訊。當遠端子網路新增或變更時，只需更新路由表，無需修改 crypto ACL，因此能滿足在不重新設定 crypto ACL 的情況下新增或變更遠端子網路的需求。 基於策略的 IPsec 需要在 crypto ACL 中明確定義所有受保護的流量，每次子網路變更都需要修改 ACL，不符合要求。不使用 IPsec 的 GRE 雖然忽略 ACL，但缺乏加密保護，不安全。每個遠端子網路使用靜態 GRE 通道會導致管理複雜，且同樣缺乏加密。