什么是VPN？
虚拟专用网：virtual private network，可简单理解为在网络上虚拟出来的一条链路，传输的数据更加安全。
案例
实验要求：
- 总公司客户端pc1可以通过vpn访问分公司的服务器pc3
- 总公司的客户端pc1可以访问internet上的pc2
推荐步骤
温馨提示：这里用路由器模拟三台PC
一、基本配置
1、BEIJING路由器的配置
BEIJING(config)# int f0/0
BEIJING(config-if)# ip add 192.168.1.1 255.255.255.0
BEIJING(config-if)# no sh
BEIJING(config-if)# int f1/0
BEIJING(config-if)# ip add 100.1.1.1 255.255.255.252
BEIJING(config-if)# no sh
BEIJING(config)#ip route 0.0.0.0 0.0.0.0 100.1.1.2
nat配置
配置ACL
BEIJING(config)#access-list 110 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
BEIJING(config)#access-list 110 permit ip any any
BEIJING(config)#ip nat inside source list 110 int f1/0 overload
BEIJING(config)#int f0/0
BEIJING(config-if)#ip nat inside
BEIJING(config-if)# int f1/0
BEIJING(config-if)#ip nat outside
2.ISP路由器的配置
ISP(config)#int f1/0
ISP(config-if)#ip add 100.1.1.2 255.255.255.252
ISP(config-if)#no sh
ISP(config-if)#int f0/0
ISP(config-if)# ip add 11.1.1.1 255.255.255.0
ISP(config-if)#no sh
ISP(config-if)#int f2/0
ISP(config-if)#ip add 200.1.1.1 255.255.255.252
ISP(config-if)#no sh
3.SHANGHAI路由器配置
SHANGHAI(config)#int f1/0
SHANGHAI(config-if)#ip add 200.1.1.2 255.255.255.252
SHANGHAI(config-if)#no sh
SHANGHAI(config-if)#int f0/0
SHANGHAI(config-if)#ip add 192.168.2.1 255.255.255.0
SHANGHAI(config-if)#no sh
SHANGHAI(config-if)#ip route 0.0.0.0 0.0.0.0 200.1.1.1
4.pc1的配置
PC1(config)#int f0/0
PC1(config-if)#ip add 192.168.1.2 255.255.255.0
PC1(config-if)#no sh
PC1(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.1.1
5.pc2的配置
PC2(config)#int f0/0
PC2(config-if)#ip add 11.1.1.2 255.255.255.0
PC2(config-if)#no sh
PC2(config-if)#ip route 0.0.0.0 0.0.0.0 11.1.1.1
启用telnet服务，用于测试
PC2(config)#line vty 0 4
PC2(config-line)#pass cisco
PC2(config-line)#login
6.pc3的配置
PC3(config)#int f0/0
PC3(config-if)#ip add 192.168.2.2 255.255.255.0
PC3(config-if)#no sh
PC3(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.2.1
二、vpn的配置
1.路由器(BEIJING)的配置
1）阶段一：配置ISAKMP策略
BEIJING(config)#crypto isakmp policy 1
BEIJING(config-isakmp)#encryption aes
BEIJING(config-isakmp)#hash sha
BEIJING(config-isakmp)#authentication pre-share
BEIJING(config-isakmp)#group 1
BEIJING(config-isakmp)#lifetime 10000
beijing(config-isakmp)#exit
BEIJING(config)#crypto isakmp key 123456 address 200.1.1.2
2）阶段二的配置
配置感兴趣的数据流（需要通过vpn传输的流量）
BEIJING(config)#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
定义传输集，用以定义保护数据的安全协议
BEIJING(config)#crypto ipsec transform-set BEIJING esp-aes esp-sha-hmac
mode tunnel //可选
3)创建map，将第一阶段和第二阶段的配置结合起来。并将其应用在接口上
BEIJING(config)#crypto map BEIJING 1 ipsec-isakmp
会出现提示信息
BEIJING(config-crypto-map)#set peer 200.1.1.2
BEIJING(config-crypto-map)#set transform-set BEIJING
BEIJING(config-crypto-map)#match address 100
BEIJING(config-crypto-map)#exit
BEIJING(config)#int f1/0
BEIJING(config-if)#crypto map BEIJING
提示：ISAKMP策略开关，打开
2.SHANGHAI端的配置
1）阶段一的配置
SHANGHAI(config)#crypto isakmp policy 1
SHANGHAI(config-isakmp)#encryption aes
SHANGHAI(config-isakmp)#hash sha
SHANGHAI(config-isakmp)#authentication pre-share
SHANGHAI(config-isakmp)#group 1
SHANGHAI(config-isakmp)#exit
SHANGHAI(config)#crypto isakmp key 123456 address 100.1.1.1
2）阶段二的配置
配置感兴趣的数据流（需要通过vpn传输的流量）
SHANGHAI(config)#access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
定义传输集，用以定义保护数据的安全协议
SHANGHAI(config)#crypto ipsec transform-set shanghai esp-aes esp-sha-hmac
3)创建map，将第一阶段和第二阶段的配置结合起来。并将其应用在接口上
SHANGHAI(config)#crypto map shanghai 1 ipsec-isakmp
SHANGHAI(config-crypto-map)#match address 100
SHANGHAI(config-crypto-map)#set peer 100.1.1.1
SHANGHAI(config-crypto-map)#set transform-set shanghai
SHANGHAI(config-crypto-map)#exit
SHANGHAI(config)#int f1/0
SHANGHAI(config-if)#crypto map shanghai
SHANGHAI(config-if)#
测试：
1.在pc1上ping pc3 注意：实验环境，需要多等一会，配置才能生效，否则，配置无误但验证不成功
2.在pc1 上telnet pc2Telnet则不用等，直接会成功。
