Статические интерфейсы виртуальных туннелей поддерживают только одно сопоставление SA IPsec, присоединенную к интерфейсу VTI. Селектор трафика для SA IPsec всегда имеет вид «IP any any». Динамический интерфейс VTI является также интерфейсом «точка-точка», который поддерживает одно сопоставление SA IPsec, однако динамический VTI более гибок в том, что обеспечивает доступ к селекторам IPsec, предоставляемым инициатором. Прокси Статические интерфейсы VTI поддерживают только прокси вида «IP any any». Динамические интерфейсы VTI поддерживают только один прокси, который имеет вид «IP any any», или любое его подмножество. Формирование трафика QoS Формируемый трафик коммутируется по процессам.
Восстановление после отказа с отслеживанием состояния В интерфейсе VTI IPsec не поддерживается восстановление после отказа с отслеживанием состояния IPsec. Защита туннеля Ключевое слово shared не используется и не должно задаваться при использовании команды tunnel mode ipsec ipv4 в режиме IPv4 IPsec. Сравнение статических интерфейсов VTI и туннелей GRE Интерфейсы VTI с использованием IPsec ограничены одноадресным и мультиадресным IP-трафиком, в противоположность туннелям GRE, которые имеют более широкую схему применения для реализации IPsec.
Конфигурация IPsec с поддержкой VRF В конфигурациях IPsec с поддержкой маршрутизации и переадресации в виртуальных частных сетях (Virtual Private Network routing and forwarding, VRF) в статических или динамических интерфейсах VTI (dynamic VTI, DVTI) VRF не должен настраиваться в профиле протокола управления сопоставлениями безопасности и ключами в Интернете (Internet Security Association and Key Management Protocol, ISAKMP). Вместо этого VRF необходимо настраивать в туннельном интерфейсе статических интерфейсов VTI. В DVTI необходимо применить VRF к шаблону vtemplate с помощью команды ip vrf forwarding .
Сведения об интерфейсе виртуальных туннелей IPsec Использование виртуальных туннельных интерфейсов IPsec одновременно значительно упрощает процесс конфигурации в случае необходимости защиты удаленного доступа и обеспечивает более простую альтернативу использованию общей инкапсуляции маршрутов (generic routing encapsulation, GRE) или протоколов туннелирования уровня 2 (Layer 2 Tunneling Protocol, L2TP) для инкапсуляции и криптокарт IPsec. Основное преимущество, связанное с интерфейсом VTI IPsec состоит в том, что настройка не требует статического сопоставления сеансов IPsec с физическим интерфейсом. Конечная точка туннеля IPsec связывается с реальным (виртуальным) интерфейсом.
Поскольку в конечной точке туннеля имеется маршрутизируемый интерфейс, для туннеля IPsec можно применять множество общих возможностей интерфейса. Интерфейс VTI IPsec обеспечивает гибкость отправки и приема одноадресного и мультиадресного шифрованного трафика IP на любой физический интерфейс, например, в случае наличия множества путей. Трафик шифруется или дешифруется при пересылке в туннельный интерфейс или из него и управляется с помощью таблицы маршрутизации IP. Для