説明／参考資料：https://www.cisco.com/en/US/docs/security/ise/1.0/user_guide/ise10_prof_pol.html

参照：
https://www.cisco.com/c/en/us/td/docs/security/ise/2-0/ise_active_directory_integration/b_ISE_AD_integration_

説明
IPセキュリティ（IPsec）のステートフルフェイルオーバー機能により、計画的または突発的な障害発生後も、ルーターはIPsecパケットの処理と転送を継続できます。お客様は、アクティブ（プライマリ）ルーターが何らかの理由で接続を失った場合に、自動的にアクティブ（プライマリ）ルーターのタスクを引き継ぐバックアップ（セカンダリ）ルーターを使用します。このフェイルオーバープロセスはユーザーにとって透過的であり、リモートピアの調整や再設定は不要です。
IPsecのステートフルフェイルオーバーを実現するには、ネットワーク内にプライマリまたはセカンダリデバイスとして使用可能な、同一のルーターが2台必要です。両方のルーターは同じ種類のデバイスであり、同じCPUとメモリを搭載し、暗号化アクセラレータを搭載していないか、または同一の暗号化アクセラレータを搭載している必要があります。
IPsecのステートフルフェイルオーバーの前提条件
アクティブ デバイスとスタンバイ デバイスでの IPsec および IKE 構成の完全な複製 このドキュメントでは、IKE および IPsec 構成が完全に完了していることを前提としています。アクティブ デバイスで設定されている IKE および IPsec 構成は、スタンバイ デバイスにも複製する必要があります。つまり、インターネット セキュリティ アソシエーションおよびキー管理プロトコル (ISAKMP) ポリシー、ISAKMP キー (事前共有)、IPsec プロファイル、IPsec トランスフォーム セット、ステートフル フェイルオーバーに使用されるすべてのクリプト マップ セット、クリプト マップ セットのマッチ アドレス ステートメントで使用されるすべてのアクセス コントロール リスト (ACL)、暗号化に使用されるすべての AAA 構成、クライアント構成グループ、暗号化に使用される IP ローカル プール、および ISAKMP プロファイルに関して、暗号化構成が同一である必要があります。参照: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_conn_vpnav/configuration/15-mt/sec-vpnavailability-15-mt-book/sec-state-fail-ipsec.html 前提条件には「両方のルータが同じタイプのデバイスである必要があります」としか記載されていませんが、上記のリンクの「IPsec のステートフル フェイルオーバーの制限」セクションでは、「アクティブ デバイスとスタンバイ デバイスの両方で、Cisco IOS ソフトウェアの同一バージョンを実行する必要があります」と記載されているため、回答 E は回答 B よりも優れています。
このドキュメントは、IKEとIPsecの設定が完了していることを前提としています。
アクティブデバイスに設定されているIKEおよびIPsecの設定は、スタンバイデバイスにも複製する必要があります。
つまり、暗号化構成は、インターネットセキュリティアソシエーションおよびキー管理プロトコル（ISAKMP）ポリシー、ISAKMPキー（事前共有）、IPsecプロファイル、IPsec変換セット、ステートフルフェイルオーバーに使用されるすべてのクリプトマップセット、クリプトマップセットのマッチアドレスステートメントで使用されるすべてのアクセス制御リスト（ACL）、暗号化に使用されるすべてのAAA構成、クライアント構成グループ、暗号化に使用されるIPローカルプール、およびISAKMPプロファイルに関して同一である必要があります。
参照：
前提条件には「両方のルータは同じタイプのデバイスである必要があります」とだけ記載されていましたが、アクティブ デバイスとスタンバイ デバイスでの完全な複製 IPsec および IKE 構成では、このドキュメントでは IKE および IPsec 構成が完全に完了していることを前提としています。アクティブ デバイスで設定されている IKE および IPsec 構成は、スタンバイ デバイスにも複製する必要があります。つまり、インターネット セキュリティ アソシエーションおよびキー管理プロトコル (IS AKMP) ポリシー、ISAKMP キー (事前共有)、IPsec プロファイル、IPsec トランスフォーム セット、ステートフル フェイルオーバーに使用されるすべてのクリプト マップ セット、クリプト マップ セットのマッチ アドレス ステートメントで使用されるすべてのアクセス コントロール リスト (ACL)、暗号化に使用されるすべての AAA 構成、クライアント構成グループ、暗号化に使用される IP ローカル プール、および ISAKMP プロファイルに関して、暗号化構成は同一である必要があります。参照: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_conn_vpnav/configuration/15-mt/sec-vpnavailability-15-mt-book/sec-state-fail-ipsec.html 前提条件には「両方のルータが同じタイプのデバイスである必要があります」としか記載されていませんが、上記のリンクの「IPsec のステートフル フェイルオーバーの制限」セクションでは、「アクティブ デバイスとスタンバイ デバイスの両方で、Cisco IOS ソフトウェアの同一バージョンを実行する必要があります」と記載されているため、回答 E は回答 B よりも優れています。

GETVPNとIPsecはどちらも、ESP（Encapsulating Security Payload）を使用してデータパケットを暗号化および認証するVPN技術です。ただし、両者には以下の点で違いがあります。
GETVPNはグループIPSecセキュリティ方式を採用しており、グループメンバー全員が同じIPSec SA（セキュリティアソシエーション）を共有し、ポイントツーポイントトンネルを確立することなく相互に通信できます。一方、IPsecはペアワイズIPSecセキュリティ方式を採用しており、デバイスペアごとに独自のIPSec SAとトンネルをネゴシエートして維持する必要があります。
GETVPNは、鍵管理プロトコルとしてGDOI（Group Domain of Interpretation）を使用し、鍵サーバー（KS）が暗号化キーとポリシーをグループメンバー全員に配布できるようにします。IPsecは、鍵管理プロトコルとしてIKE（Internet Key Exchange）を使用し、IPSec SAを確立するために、デバイスペアごとに2段階のネゴシエーションを行います。
GETVPNは、パケットの元のIPヘッダーを保持するため、GRE（Generic Routing Encapsulation）トンネルを必要とせずにマルチキャストトラフィックをサポートします。IPsecはマルチキャストトラフィックをネイティブにサポートしていないため、マルチキャストパケットを新しいIPヘッダーでカプセル化するためにGREトンネルが必要です。
GETVPNはオーバーレイルーティングを作成しないため、暗号化されたパケットを宛先に配信するために基盤となるWANルーティングに依存します。IPsecはオーバーレイルーティングを作成するため、遅延や複雑さが増加する可能性があります。
参考文献 :
参考になりそうな例をいくつか挙げます。
* [Cisco Security Core Technologies (SCOR) v1.0 の実装と運用]、モジュール 6: セキュアな接続、レッスン 6.2: サイト間 VPN の実装、トピック 6.2.2: グループ暗号化トランスポート VPN
* グループ暗号化トランスポートVPN（GETVPN）
* GETVPN - Ciscoコミュニティ
* Cisco Get VPNとDMVPN：違いと比較
* GETVPNとIPsecの違いは何ですか？
Explanation:
ディフィー・ヘルマン（DH）は、秘密鍵と公開鍵のペアを使用して、通常は対称鍵である共有秘密を確立します。DHは対称アルゴリズムではなく、対称鍵アルゴリズムの共有秘密を確立するために使用される非対称アルゴリズムです。