0010.IOS Easy VPN - 配置基本的EasyVPN和Windows EasyVPN客户端

标题：IOS Easy VPN - 配置基本的EasyVPN和Windows EasyVPN客户端
日期：2009-7-5
记录：stanley.wang
邮件：stanley.wy@
拓扑：
备注：
IPsec VPN有两种类型，一种为L2L，另外一种为Remote VPN。

本实验演示如何在Cisco路由器上配置Remote VPN，也称为EasyVPN。

需要在12.2（8）T或更高的版本上才能实现。

EasyVPN能够有效的解决IPsec VPN配置复杂特点，通常在PC客户端安装EasyVPN Client软件，并且简单的配置即可完成。

EasyVPN在常规的IPsec VPN基本上增加了阶段1.5的配置，即用户名和密码和客户端相关IP 参数（Mode Configuration）配置。

阶段1.5可以进一步的增加VPN安全性。

Pix1配置
aaa new-model
!---配置console不进行认证，以避免配置出错，无法登录路由器
aaa authentication login myConsole none
line console 0
login authention myConsole
!---配置easy vpn使用本地帐号密码数据库进行登录认证
aaa authentication login ezvpn_login local
!---配置帐号和密码
username stanley password wangyuan
!---配置easy vpn使用本地策略进行网络授权
aaa authorization network ezvpn_net local
!---配置IKE阶段一的策略，需要注意应使用group 2
crypto isakmp policy 10
hash md5
authentication pre-share
group 2
!---配置客户端拔入后为其分配的地址段
ip local pool ezvpn_pool 10.10.10.1 10.10.10.100
!---配置客户端的隧道分离，如果不配置，那么客户端拔入，则不能访问到Internet !---在Windows客户端可以使用route print查看分离的路由
ip access-list extended ezvpn_split
permit ip 192.168.1.0 0.0.0.255 any
!---配置阶段1.5的组策略
!---配置阶段一的预共享密钥
!---配置客户端的DNS服务器
!---配置客户端的Domain域名
!---配置客户端使用的地址池
!---配置隧道分离ACL
crypto isakmp client configuration group mygroup-1
key wangyuan
dns 192.168.1.2
domain
pool ezvpn_pool
acl ezvpn_split
!---配置阶段二策略
crypto ipsec transform-set myset esp-des esp-md5-hmac
!---配置动态MAP，调用阶段二策略
!---配置反向路由注入，用于生成到达客户端IP地路由
crypto dynamic-map mydymap 10
set transform-set myset
reverse-route
!---配置静态MAP调用动态的MAP
!---EasyVPN认证所使用的AAA列表
! -- EasyVPN授权所使用的AAA列表
!---向应客户端的地址请求
crypto map mymap client authentication list ezvpn_login crypto map mymap isakmp authorization list ezvpn_net crypto map mymap client configuration address respond crypto map mymap 10 ipsec-isakmp dynamic mydymap
!---应用到具体接口
interface serial 1/2
crypto map mymap
图示：
Router0的Easy VPN Client配置
crypto ipsec client ezvpn myezvpn
connect auto
group mygroup-1 key wangyuan
mode client
peer 202.103.1.2
username stanley password wangyuan
interface loopback 0
crypto ipsec client ezvpn myezvpn inside
interface fa0/0
crypto ipsec client ezvpn myezvpn outside ip route 0.0.0.0 0.0.0.0 fastethernet0/0。