策略型与路由型
Cisco 的 IPsec 有两条部署路线。策略型用 crypto map 加 ACL：ACL 定义感兴趣的流量，匹配到才建立隧道，适合结构简单的站点互联。路由型用 VTI（虚拟隧道接口）：隧道接口本身就是选择符，可以像普通接口一样跑静态或动态路由、做 QoS 与组播，适合需要在隧道上运行动态路由的场景。
基本信息
| 策略型 | crypto map + ACL 匹配感兴趣流，没有独立接口 |
|---|---|
| 路由型 | VTI 隧道接口承载，选择符由接口决定 |
| 路由能力 | VTI 可运行静态或动态路由，策略型不直接支持 |
| QoS 与组播 | VTI 在接口级更直观，策略型受限 |
| 配置入口 | 策略型挂在物理接口，VTI 需要 Tunnel 接口与 ipsec profile |
典型使用场景
- 简单站点互联、只有少量网段互访：策略型更直接
- 需要在隧道上跑 OSPF 或 BGP：用 VTI 承载动态路由
- 需要按接口做 QoS 或承载组播：VTI 更合适
- 多分支拓扑：VTI 配合动态路由能自动适应链路变化
- 存量网络排障：先判断现网是策略型还是路由型，再定方向
两种写法
两种写法
# 策略型
crypto map CMAP 10 ipsec-isakmp
set peer 203.0.113.2
set transform-set TS
match address ACL-VPN
!
interface GigabitEthernet0/0
crypto map CMAP
!
# 路由型
interface Tunnel100
ip address 169.254.10.1 255.255.255.252
tunnel source 198.51.100.1
tunnel destination 203.0.113.2
tunnel protection ipsec profile PROF
!
show crypto map
show interfaces Tunnel100 | include line protocol两种风格对照
| 维度 | 策略型 crypto map | 路由型 VTI |
|---|---|---|
| 匹配方式 | ACL 定义感兴趣流 | 隧道接口即选择符 |
| 路由 | 无独立接口，靠静态路由或重分发 | 可运行静态与动态路由 |
| QoS | 策略受限，难以精细 | 接口级策略直观 |
| 组播 | 支持有限 | 由隧道接口承载更自然 |
判断现网风格最直接的方法是看配置：crypto map 挂在物理接口上的多为策略型，存在 Tunnel 接口并挂 ipsec profile 的为路由型。
VTI 场景排障要先看接口与路由：接口是否 Up、有没有经隧道可达的路由，之后再看 IPsec SA 状态，顺序反了容易在错误的层面打转。
两种风格在同一网络并存时很容易混淆，建议逐条隧道核对建立关系与流量走向，避免把策略型的 ACL 思路套到 VTI 上。