本文共 5102 字，大约阅读时间需要 17 分钟。
在IPsecVPN范畴的VPN中，有多种形式的VPN，各形式的VPN因为架构和使用环境的不同而不同，但在IPsecVPN范畴内的各VPN中，都是以IPsec为基础的，在本小节中要讲到的是IPsecVPN之LAN-to-LANVPN，有时也被称为Site-to-SiteVPN，该形式的VPN是IPsecVPN中最简单的VPN，但并不代表该形式的VPN是最常用的。
在配置IPsecVPN范畴的VPN时，无论配置哪种形式，基本上需要如下几个重要步骤：
配置IKE（ISAKMP）策略
定义认证标识
配置IPsectransform
定义感兴趣流量
创建cryptomap
将cryptomap应用于接口
其中每步的具体内容为：
配置IKE（ISAKMP）策略
定义IKE PhaseOne中的一些策略，包括加密算法（Encryption），Hash算法（HMAC），密钥算法（Diffie-Hellman），认证方式（Authentication）等等
定义认证标识
无论前面定义了何种认证方式，都需要添加认证信息，如密码、数字证书等等。
配置IPsectransform
也就是定义PhaseTwo中一些加密算法以及HMAC算法，此transformset就是定义了VPN流量中的数据包是受到怎样的保护。
定义感兴趣流量
定义哪些流量需要通过VPN来传输，通过IPsec来保护；匹配流量的方法为定义ACL，建议使用ExtendedACL来匹配指定的流量，ACL中被permit匹配的的流量表示加密，而被deny匹配的流量则表示不加密。
注：在配置ACL定义感兴趣流量时需要格外注意的是ACL中不要使用any来表示源或者目标，否则会出问题。
创建cryptomap
将之前定义的ACL，加密数据发往的对端，以及IPsectransform结合在cryptomap中。
将cryptomap应用于接口
cryptomap配置后，是不会生效的，必须将cryptomap应用到接口上，目前还没有听说cryptomap对接口类型有任何要求，也就是正常接口都可以应用，当然必须是三层可路由接口。
因为目前Cisco产品中能够配置VPN的设备有许多，而目前较流行的设备有Router（路由器），PIX（防火墙），ASA（防火墙）
实验拓扑图如下：
1．配置基础网络环境
（1）配置R1：
r1(config)#intf0/0
r1(config-if)#ip add12.1.1.1 255.255.255.0
r1(config-if)#nosh
r1(config-if)#exit
r1(config)#intf0/1
r1(config-if)#ip add10.1.1.1 255.255.255.0
r1(config-if)#nosh
r1(config-if)#exit
r1(config)#ip route0.0.0.0 0.0.0.0 12.1.1.2
说明：配置R1的接口地址，并写默认路由指向Internet（路由器R2），地址12.1.1.2。
（2）配置R2：
r2(config)#intf0/0
r2(config-if)#ip add12.1.1.2 255.255.255.0
r2(config-if)#nosh
r2(config-if)#exit
r2(config)#intf0/1
r2(config-if)#ip add23.1.1.2 255.255.255.0
r2(config-if)#nosh
r2(config-if)#exit
说明：配置R2的接口地址，因为R2模拟Internet，R2只需要有公网路由12.1.1.0和23.1.1.0即可，所以R2不需要写任何路由，也不允许写任何路由。
（3）配置R3：
r3(config)#intf0/0
r3(config-if)#ip add192.168.1.3 255.255.255.0
r3(config-if)#nosh
r3(config-if)#exit
r3(config)#intf0/1
r3(config-if)#ip add23.1.1.3 255.255.255.0
r3(config-if)#nosh
r3(config-if)#exit
r3(config)#ip route0.0.0.0 0.0.0.0 23.1.1.2
说明：配置R3的接口地址，并写默认路由指向Internet（路由器R2），地址23.1.1.2。
3．配置LAN-to-LANVPN
（1）在R1上配置IKE（ISAKMP）策略:
r1(config)#crypto isakmppolicy 1 //定义第一阶段poliy策略,本地意义，默认已经有策略了，这是里自定义
r1(config-isakmp)#encryption3des //加密方式为3des
r1(config-isakmp)#hashsha //hash算法为sha
r1(config-isakmp)#authenticationpre-share //认证方式为Pre-SharedKeys
r1(config-isakmp)#group2 //密钥算法（Diffie-Hellman）为group2
r1(config-isakmp)#exit
说明：定义了ISAKMP policy1，加密方式为3des，hash算法为sha，认证方式为Pre-Shared Keys(PSK)，密钥算法（Diffie-Hellman）为group2。
（2）在R1上定义认证标识:
r1(config)#crypto isakmpkey 0 cisco123 address 23.1.1.3 //定义域共享秘钥，对方的ip地址
（3）在R1上配置IPsectransform:
r1(config)#crypto ipsectransform-set ccie esp-3des esp-sha-hmac //定义第二阶段的策略，也是默认就存在的,定义加密方式和哈希
r1(cfg-crypto-trans)#exit
说明：配置了transform-set为ccie，其中数据封装使用esp加3des加密，并且使用esp结合sha做hash计算，默认的IPsecmode为tunnel。
（4）在R1上定义感兴趣流量:
r1(config)#access-list100 permit ip 10.1.1.0 0.0.0.255 192.168.1.0 0.0.0.255 //定义感兴趣流，用扩展acl来定义，在另一边路由器上配置的源和目的必须颠倒，其他什么都要一样才行
说明：这里需要被IPsec保护传输的流量为上海公司至北京公司的流量，即10.1.1.0/24发往192.168.1.0/24的流量，切记不可使用any来表示地址。
（5）在R1上创建cryptomap:
r1(config)#crypto mapl2l(这个代表名字也是自定义的) 1ipsec-isakmp //系列号只具有本地意义，关联兴趣流
r1(config-crypto-map)#setpeer 23.1.1.3
r1(config-crypto-map)#settransform-set ccie
r1(config-crypto-map)#matchaddress 100
r1(config-crypto-map)#exit
说明：在R1上配置cryptomap为l2l，序号为1，即第1组策略，其中指定加密
数据发往的对端为23.1.1.3，即和23.1.1.3建立IPsec隧道，调用的IPsectransform为ccie，并且指定ACL100中的流量为被保护的流量。
（6）在R1上将cryptomap应用于接口:
r1(config)#intf0/0
r1(config-if)#crypto mapl2l
r1(config-if)#exit
r1(config)#
说明：将cryptomap应用在去往北京公司的接口F0/0上。
（7）使用相同方式配置R3的LAN-to-LANVPN:
r3(config)#crypto isakmppolicy 1
r3(config-isakmp)#encryption3des
r3(config-isakmp)#hashsha
r3(config-isakmp)#authenticationpre-share
r3(config-isakmp)#group2
r3(config-isakmp)#exit
r3(config)#crypto isakmpkey 0 cisco123 address 12.1.1.1
r3(config)#crypto ipsectransform-set ccie esp-3des esp-sha-hmac
r3(cfg-crypto-trans)#exit
r3(config)#access-list100 permit ip 192.168.1.0 0.0.0.255 10.1.1.0 0.0.0.255
r3(config)#crypto mapl2l 1 ipsec-isakmp
r3(config-crypto-map)#setpeer 12.1.1.1
r3(config-crypto-map)#settransform-set ccie
r3(config-crypto-map)#matchaddress 100
r3(config-crypto-map)#exit
r3(config)#
r3(config)#intf0/1
r3(config-if)#crypto mapl2l
r3(config-if)#
说明：R3与R1的IKE和IPsec策略必须保持一致。
c2#ping192.168.1.4
Sending 5, 100-byte ICMPEchos to 192.168.1.4, timeout is 2 seconds:
.!!!!
Success rate is 80percent (4/5), round-trip min/avg/max = 64/125/212 ms
说明：上海公司c2向北京公司c1发送的5个数据包，有4个成功穿越了Internet，说明该流量激活了IKESA，并且在双方应该成功建立了IPsec隧道，所以才实现了VPN的功能。
这是因为nat比vpn的优先级高，因此数据包的ip头部的ip首先被nat的感兴趣流匹配，进行地址转换，转换后就不匹配vpn感兴趣流，就不会被加密，撞击map，因为有缺省路由，从接口发送至互联网。所以互联网收到之后查看数据包，目的为私网地址，直接丢弃，因此不通
（4）删除R1上的NAT：
r1(config)#access-list 1deny 10.1.1.0 0.0.0.255
r1(config)#access-list 1permit any
r1#cle ip nattranslation *
说明：因为被NAT转换的流量不再是合法的IPsec流量，所以我们将需要被IPsec保护的从上海发往北京的流量，即10.1.1.0/24发往192.168.1.0/24的流量不被NAT转换。
（5）再次从上海公司c2向北京公司c1发送流量：
c2#ping192.168.1.4
Type escape sequence toabort.
Sending 5, 100-byte ICMPEchos to 192.168.1.4, timeout is 2 seconds:
!!!!!
说明：不被NAT转换的流量和之前一样再次通过IPsecVPN隧道穿越了Internet。
注意：内网有多少网段，感兴趣流就要建立多少条。
问题来了，因为ipsecvpn和nat是冲突的，然而在现实企业中有的电脑是即需要上外网又需要访问公司vpn内网，解决方案如下：在nat的感兴趣流配置中，deny掉通信点与通信点直接的流量，让匹配上这个流量不进行地址转换，具体命令见下篇博文中，持续讲解asa防火墙上的vpn。
本文转自 探花无情 51CTO博客，原文链接:http://blog.51cto.com/983865387/1858614
转载地址：http://xocix.baihongyu.com/