对照
| 维度 | 策略型 crypto map | 路由型 VTI |
|---|---|---|
| 匹配 | ACL 定义感兴趣流 | 隧道接口即选择符 |
| 路由 | 无独立接口 | 可运行静态/动态路由 |
| QoS | 策略受限 | 接口级策略直观 |
| 组播 | 支持有限 | 隧道接口支持更好 |
选择参考
选择参考
# 简单站点互联 → 策略型
# 需跨隧道跑路由或 QoS → VTI
show crypto map
show interfaces Tunnel0策略型与路由型（VTI）IPsec 对比
策略型（crypto map + ACL）按流量匹配建隧道；路由型（VTI）用隧道接口承载，路由与 QoS 处理更直观，适合承载动态路由协议。
易错点
- VTI 场景仍按 ACL 思路排查：先看接口与路由
- 两种风格并存未梳理：逐隧道核对建立关系
数据来源与参考
- Cisco: VTI 指南
- RFC 4301: 策略与隧道处理