IPSec VPN配置总结
路由器IPSecVPN配置实验详解
路由器IPSecVPN配置实验详解一、实验目的本实验的目的是详细介绍路由器IPSecVPN配置的过程，使读者能够准确配置并建立IPSecVPN连接。
二、实验环境1·路由器型号：[路由器型号]2·路由器固件版本：[固件版本]3·电脑操作系统：[操作系统版本]三、实验步骤1·确定VPN连接类型a·了解IPSecVPN的工作原理b·确定使用的IPSecVPN连接类型（例如：站点到站点、站点到客户端等）2·升级路由器固件a·检查当前路由器固件版本b·如果需要升级，最新的固件版本并进行升级3·配置VPN隧道a·登录路由器管理界面b·导航到VPN设置页面c·选择创建新VPN隧道d·填写VPN隧道的相关配置信息，如隧道名称、本地和远程子网等e·配置隧道加密算法、认证方式等参数4·配置VPN策略a·在VPN设置页面，选择配置新的VPN策略b·输入策略名称、本地和远程子网等信息c·配置策略的加密和认证方式5·配置网络路由a·在VPN设置页面，选择配置路由b·添加需要通过VPN隧道访问的远程子网的路由信息6·测试VPN连接a·保存路由器配置，并让其生效b·确认本地和远程路由器连接状态正常c·通过ping命令测试本地和远程子网之间的连通性四、附件本文档涉及以下附件：1·VPN隧道配置截图（文件名：vpn_config·png）2·VPN策略配置截图（文件名：policy_config·png）3·路由配置截图（文件名：route_config·png）五、法律名词及注释1·IPSecVPN：Internet协议安全性（IPSec）虚拟私人网络（VPN）是一种通过Internet连接远程网络的安全通信方式。
IPSecVPN配置总结
IPSecVPN配置总结IPSec VPN配置总结近段时间，笔者完成了⼀些IPSec VPN的配置，有站点到站点固定公⽹IP地址的IPSec VPN，有站点到站点使⽤固定公⽹IP地址的EZVPN，有⽹络中⼼点是固定公⽹IP地址，⽽分⽀机构是动态地址的DMVPN，有路由器和防⽕墙之间互联的IPSec VPN，也有不同⼚商的设备之间互联的IPSec VPN。
通过这些项⽬的锻炼，笔者感到对IPSec VPN的了解⼜增进了⼀步，以前⼀些模糊的地⽅，经过这次项⽬的实践之后也越来越清晰，以下就是笔者对IPSec VPN配置的总结和配置实例。
⼀、理解IPSec VPNVPN是利⽤公共⽹络建⽴⼀条专⽤的通道来实现私有⽹络的连接，IPSec VPN 就是利⽤IPSec协议框架实现对VPN通道的加密保护。
IPSec⼯作在⽹络层，它能在IP层上对数据提供加密、数据完整性、起源认证和反重放保护等功能。
加密的作⽤就是通过将数据包加密，保证数据的安全，即使数据包被⼈监听获取到，也⽆法阅读数据内容。
IPSec使⽤的数据加密算法是对称密钥加密系统。
⽀持的加密算法主要有：DES、3DES、MD5和SHA加密算法，这种加密算法需要⼀个共享的密钥执⾏加密和解密，共享的密钥是通过通信两端交换公钥，然后⽤公钥和各⾃的私钥进⾏运算，就得到了共享的密钥，这样就需要⼀个公钥交换的算法。
DH密钥协议就是⼀种公钥交换⽅法。
DH密钥交换协议有组1到组7的⼏种不同的算法。
DES和3DES⽀持组1和2，AES⽀持组2和5，因此如果选⽤了不同的加密算法，就需要选择相应的DH密钥交换算法。
数据完整性的作⽤就是保证数据包在传输的过程当中没有被篡改。
为了保证数据的完整性，给每个消息附加⼀个散列数，通过验证发送的散列数和接收的散列数是否匹配来判断消息是否被修改。
散列消息验证代码（HMAC）主要有两种算法：HMAC-MD5和HMAC-SHA-1，MD5使⽤128位的共享密钥，⽽SHA使⽤160位密钥，因此HMAC-SHA-1⽐HMAC-MD5的加密强度要更⾼⼀些。
2024版Cisco IPSec VPN配置详解
•IPSec VPN 基本概念与原理•Cisco 设备IPSec VPN 配置准备•IKE 协商过程详解•IPSec 数据传输过程详解•Cisco 设备IPSec VPN 高级配置技巧•故障诊断与排除方法分享•总结与展望目录01IPSec VPN基本概念与原理IPSec VPN定义及作用定义作用密钥管理技术通过IKE （Internet Key Exchange ）协议进行密钥的协商和管理，确保密钥的安全性和一致性。
工作原理IPSec VPN 通过在IP 层实现加密和认证，为上层应用提供透明的安全通信服务。
它使用AH （认证头）和ESP （封装安全载荷）两种协议来提供安全保护。
加密技术通过对数据进行加密，确保数据在传输过程中的机密性。
认证技术通过对数据和通信实体进行认证，确保数据的完整性和来源的合法性。
工作原理与关键技术0102AH （Authenti…ESP （Encapsu…IKE （Interne…SA （Security…SPD （Securit…030405相关术语解析02Cisco设备IPSec VPN配置准备根据实际需求选择支持IPSec VPN 功能的Cisco 路由器或防火墙设备，如ASA 5500系列、ISR G2系列等。
路由器/防火墙确保设备具备足够的处理能力和内存，以支持VPN 隧道的建立和数据加密/解密操作。
处理器与内存为设备配置足够的存储空间，用于保存配置文件、日志等信息。
存储根据网络拓扑和连接需求，选择适当的接口类型和数量，如以太网接口、串行接口等，并配置相应的模块。
接口与模块设备选型与硬件配置软件版本及许可证要求软件版本确保Cisco设备上运行的软件版本支持IPSec VPN功能，并建议升级到最新的稳定版本。
许可证某些高级功能可能需要额外的许可证支持，如高级加密标准（AES）等。
在购买设备时，请确认所需的许可证是否已包含在内。
软件更新与补丁定期从Cisco官方网站下载并安装软件更新和补丁，以确保设备的稳定性和安全性。
TP-link-vpn-IPSec-配置(子网to子网的配置说明)
TP-link vpn IPSec 配置（子网to子网的配置说明）TL-ER6110/6120,TL-WVR300是TP-LINK专为企业应用而开发的VPN路由器，具备强大的数据处理能力，并且支持丰富的软件功能，包括VPN、IP/MAC 地址绑定、常见攻击防护、访问控制列表、QQ/MSN/迅雷/金融软件限制、IP带宽控制、连接数限制及电子公告等功能，适合企业、小区、酒店等组建安全、高效、易管理的网络。
需求介绍某公司总公司位于，在、、三地有分公司，现需要组建一个网络，要现分公司都能够安全的访问公司部服务器和文件服务器，本文将通过一个实例来展示TL-ER6120的解决方案和配置过程。
网络规划总公司局域网网段为“192.168.0.0/24”；分公司为“192.168.1.0/24”；分公司为“192.168.2.0/24”；分公司为“192.168.3.0/24”。
拓扑如下：注意：不同分支机构部局域网需位于不同网段，否则网间无法实现互访。
设置步骤：一）、基本设置：1、设置路由器的WAN口模式：基本设置→WAN口设置，进入“WAN口模式”标签页，根据需求设置WAN口数量，此处我们选择为“单WAN口”，保存。
2、设置WAN口网络参数：基本设置→WAN口设置，“WAN1设置”标签页，设置WAN口网络参数以及该线路的上下行带宽值。
注意：请如实填写线路的上行与下行带宽值。
二）、IPsec VPN设置：此处以配置分公司与总公司间的IPsec VPN为例，首先配置分公司的TL-ER6120：（1）、配置IKE安全提议：VPN→IKE，进入“IKE安全提议”标签页，选择合适的验证、加密算法以及DH组。
（2）、配置IKE安全策略：VPN→IKE，进入“IKE安全策略”标签页。
◆协商模式：主模式（Main mode）适用于对身份保护要求较高的场合；野蛮模式（Aggressive mode）适用于对身份保护要求较低的场合，推荐使用主模式。
H3C-ER系列路由器IPSEC-VPN的典型配置
H3C-ER系列路由器IPSEC-VPN的典型配置H3CER 系列路由器 IPSECVPN 的典型配置在当今数字化的时代，企业对于数据安全和远程访问的需求日益增长。
IPSECVPN 作为一种常用的安全通信技术，能够为企业提供可靠的数据加密和远程接入服务。
H3CER 系列路由器以其出色的性能和丰富的功能，成为了实现 IPSECVPN 的理想选择。
接下来，我们将详细介绍 H3CER 系列路由器 IPSECVPN 的典型配置过程。
一、前期准备在进行配置之前，我们需要明确一些基本信息和准备工作：1、确定两端路由器的公网 IP 地址，这是建立 VPN 连接的关键。
2、规划好 IPSECVPN 的参数，如预共享密钥、IKE 策略、IPSEC 策略等。
3、确保两端路由器能够正常连接到互联网，并且网络连接稳定。
二、配置步骤1、配置 IKE 策略IKE（Internet Key Exchange，互联网密钥交换）策略用于协商建立IPSEC 安全联盟所需的参数。
在 H3CER 系列路由器上，我们可以按照以下步骤进行配置：（1）进入系统视图：｀｀｀systemview｀｀｀（2）创建 IKE 安全提议：｀｀｀ike proposal 1｀｀｀（3）设置加密算法和认证算法：｀｀｀encryptionalgorithm aescbc-128authenticationalgorithm sha1｀｀｀（4）创建 IKE 对等体：｀｀｀ike peer peer1｀｀｀（5）设置对等体的预共享密钥：｀｀｀presharedkey simple 123456｀｀｀（6）指定对等体使用的 IKE 提议：｀｀｀ikeproposal 1｀｀｀（7）指定对等体的对端 IP 地址：｀｀｀remoteaddress ＿___｀｀｀2、配置 IPSEC 策略IPSEC 策略用于定义数据的加密和认证方式。
以下是配置步骤：（1）创建 IPSEC 安全提议：｀｀｀ipsec proposal proposal1｀｀｀（2）设置封装模式和加密算法：｀｀｀encapsulationmode tunneltransform espesp encryptionalgorithm aescbc-128esp authenticationalgorithm sha1｀｀｀（3）创建 IPSEC 策略：｀｀｀ipsec policy policy1 1 isakmp｀｀｀（4）指定引用的 IKE 对等体和 IPSEC 安全提议：｀｀｀ikepeer peer1proposal proposal1｀｀｀（5）指定需要保护的数据流：｀｀｀security acl 3000｀｀｀（6）创建访问控制列表，定义需要保护的数据流：｀｀｀acl advanced 3000rule 0 permit ip source 19216810 000255 destination 19216820 000255｀｀｀3、在接口上应用 IPSEC 策略完成上述配置后，需要在相应的接口上应用 IPSEC 策略，以启用VPN 功能：｀｀｀interface GigabitEthernet0/1ipsec apply policy policy1｀｀｀三、配置验证配置完成后，我们可以通过以下方式进行验证：1、查看 IKE 安全联盟状态：｀｀｀display ike sa｀｀｀2、查看 IPSEC 安全联盟状态：｀｀｀display ipsec sa｀｀｀3、从一端向另一端发送测试数据，检查数据是否能够正常加密传输。
H3C华为-IPsecVPN配置教程
H3C华为-IPsecVPN配置教程H3C&华为-IPsecVPN配置教程第⼀篇：⽹关对⽹关IPSec-VPN⼀、H3C路由1、型号：MER5200；软件版本： version 7.1.064, Release 0809P07；固定外⽹IP；2、添加静态路由添加⾄对端公⽹和对端私⽹路由两条，如下图：3、创建IPsecVPN3.1 “虚拟专⽹”---“IPsecVPN”---新建-如下图：3.2 名称----⾃⾏编辑；接⼝---选择外⽹出⼝，组⽹⽅式---分⽀节点；对端⽹关---对端外⽹IP；认证⽅式---预共享密钥；预共享密钥要与对端路由⼀致；3.3 保护流配置H3C路由器下有个内⽹段需要与对端通信，就添加⼏个。
本例172.16.10.0/24与10.10.11.0/24为本地内⽹，172.24.0.0/24为对端内⽹。
注：H3C设备不需要单独再做NAT配置。
4、显⽰⾼级配置4.1 ike配置：主模式、本地外⽹、对端外⽹，关闭对等体检测，算法组推荐。
如下图：4.2 IPsec配置：按照默认配置即可。
5、监控信息待对端华为路由配置完成且正确后，监控会显⽰如下信息。
6、命令⾏检查[H3C]dis acl allDis ike saDis ipsec sa⼆、华为路由1、型号：AR1220-S，软件版本：[V200R007C00SPC900]，固定外⽹IP。
2、添加静态路由添加⾄对端公⽹和对端私⽹路由两条，如下图：2、配置⾼级ACL2.1 新建“nonat”，添加⽬的地址10.10.11.0/24,172.16.10.0/24不做NAT转换两条，其他允许NAT转换；如下图2.2 新建“nj-g”,i添加本地内⽹172.24.0.0/24⾄⽬的内⽹10.10.11.0/24,172.16.10.0/24的acl，此路由⾛IPsec。
如下图2.3 创建“⽣效时间”3、NAT应⽤⾼级acl“ip业务”--“NAT”---“外⽹访问”---编辑----ACL名称选择“nonat”。
路由器IPSecVPN配置实验详解
路由器IPSecVPN配置实验详解路由器IPSecVPN配置实验详解⒈简介IPSec（Internet Protocol Security）是一种常用于保护网络通信安全的协议。
本文将详细介绍如何在路由器上配置IPSec VPN。
⒉准备工作在开始配置IPSec VPN之前，需要确保以下准备工作已经完成： - 路由器已经正确连接到互联网。
- 已经获得有效的公网IP地质。
- 已经了解所需的VPN参数，如IPSec协议、加密算法、预共享密钥等。
⒊路由器配置⑴确定路由器型号首先要确认所使用的路由器型号，以便在后续的配置步骤中给出具体指导。
⑵登录路由器管理界面使用浏览器访问路由器的管理界面，并输入正确的用户名和密码进行登录。
⑶创建VPN隧道在路由器管理界面中，找到VPN设置选项，并选择创建一个新的VPN隧道。
⑷配置VPN参数根据实际需求和VPN提供商的要求，配置以下参数：- VPN类型：选择IPSec VPN。
- 加密算法：选择合适的加密算法，如AES、3DES等。
- 预共享密钥：输入预先共享的密钥，以确保VPN连接的安全性。
- 客户端配置：指定允许连接的客户端IP地质范围。
⑸确定本地和远程子网配置本地和远程子网的IP地质和子网掩码，这样VPN连接后，这两个子网间可以互相访问。
⑹保存并启用配置在完成所有配置后，保存设置，并启用IPSec VPN。
⒋VPN连接测试在配置完成后，可尝试使用VPN客户端连接到路由器所创建的IPSec VPN。
验证连接是否成功，并确保本地和远程子网之间可以正常通信。
⒌附件本文档附带以下附件供参考：- VPN配置示意图：包含配置IPSec VPN时所需的网络拓扑图。
- VPN参数表：列出了常见的VPN参数及其取值范围。
⒍法律名词及注释在本文中，涉及以下法律名词及其注释：- IPSec（Internet Protocol security）：一种用于保护IP通信安全的协议。
- VPN（Virtual Private Network）：虚拟私有网络，用于在公共网络上建立私密连接的技术。
Cisco IPSec VPN 配置详解
Cisco IPSec VPN 配置详解VPN作为一项成熟的技术，广泛应用于组织总部和分支机构之间的组网互联，其利用组织已有的互联网出口,虚拟出一条“专线”,将组织的分支机构和总部连接起来，组成一个大的局域网。
IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能。
IPsec的协商分为两个阶段:第一阶段：验证对方，协商出IKE SA ,保护第二阶段IPSEC Sa协商过程第二阶段：保护具体的数据流Cisco IPSec VPN 配置详解配置IPSec VPN 常规的步骤如下（建议复制下来)：启用IKE配置第一阶段策略//crypto isakmp policy xx配置Pre Share Key //crypto isakmp key配置第二阶段策略//crypto ipsec transfor-set定义感兴趣流（利用扩展的ACL）定义map应用map注意事项:两端的加密点必须要有去往对方的路由（可通讯）配置如下:ISP的配置ISP#conf tISP（config）＃int f0/0ISP（config-if)＃ip add 202。
1.1.1 255。
255.255.252ISP（config—if）#no shISP（config-if)#int f0/1ISP（config—if）#ip add 61。
1.1.1 255.255.255。
252ISP(config—if)＃no shCQ（左边路由器）的配置：CQ＃conf tCQ(config)#int f0/0CQ(config-if)＃ip add 202。
1。
1.2 255.255。
255.252CQ（config-if)#no shCQ（config—if）#int lo 0CQ（config-if）＃ip add 1。
1。
1。
1 255。
255.255。
0CQ（config-if)＃no shCQ（config-if）＃exitCQ(config）#ip route 0.0。
IPsec-VPN配置文档(锐捷与锐捷设备)
一、适用场景
总部与分支都为静态IP地址，总部或分部有一端为动态地址。
二、配置说明
两端的参数要保持一致，本案例选择的参数如下：
认证方式：预共享密钥，密钥为88888888
IKE算法：3DES-MD5，group 2
IPSec协商交互方案：esp(3des-MD5)
三、配置步骤
（一）配置总部的IPSEC
1、点击【网络】-【VPN配置】，选择“我在总部”
2、选择IPsec，点击下一
步；
3、进行IPSEC VPN配置，填写好参数，点击下一步；
4、总部IPSec配置成功；
2、配置routeB（分部）IPSEC
1）点击【网络】-【VPN配置】，选择"我在分支机构
2）VPN类型选择，勾选”IPSec“，点击下一
3）下一步进行“分支机构配置”;
4）点击下一步，配置完成；
四、配置验证
在VPN配置---VPN监视器中查看，具体修改配置可点击【表格】-【管理本地配置】-【修改配置】
1）Router查看总部
2）Router B 查看分支
3）测试是否可以互访
五、配置注意点
1、确保两端在设置VPN之前能够正常上网。
2、两端的配置参数一致，否则会导致vpn无法建立成功。
3、感兴趣流地址为两端互通的内网地址。
ipsec vpn实验报告
ipsec vpn实验报告IPsec VPN实验报告引言：虚拟私人网络（VPN）是一种通过公共网络建立安全连接的技术，可以在不安全的网络上创建一个私密的通信通道。
IPsec（Internet Protocol Security）是一种用于实现VPN的协议套件，提供了数据加密、数据完整性和身份验证等安全功能。
本实验旨在探索IPsec VPN的配置和使用，以及评估其性能和安全性。
一、实验环境搭建为了进行IPsec VPN实验，我们需要搭建一个实验环境。
首先，我们选择了两台互联网连接的计算机作为实验主机，一台作为VPN服务器，另一台作为VPN 客户端。
为了模拟真实的网络环境，我们将两台主机连接到同一局域网中。
然后，我们安装了适当的操作系统和相关软件，以支持IPsec VPN的配置和使用。
二、IPsec VPN配置在实验环境搭建完成后，我们开始配置IPsec VPN。
首先，我们在VPN服务器上生成了公钥和私钥，并将公钥复制到VPN客户端。
然后，我们分别在服务器和客户端上配置了IPsec协议，包括选择加密算法、身份验证方法和密钥交换协议等。
最后，我们启动了IPsec服务，并确保VPN服务器和客户端之间可以互相通信。
三、IPsec VPN性能评估为了评估IPsec VPN的性能，我们进行了一系列的测试。
首先，我们测试了VPN的连接速度。
通过测量数据包的往返时间和带宽利用率，我们可以得出VPN的延迟和吞吐量。
结果显示，IPsec VPN在保证数据安全的同时，具有较低的延迟和较高的吞吐量。
接下来，我们测试了VPN的可靠性。
我们模拟了网络中断的情况，并观察了VPN的恢复时间。
结果显示，IPsec VPN能够在网络中断后快速恢复，并且不会丢失数据。
这表明IPsec VPN具有良好的可靠性，适用于需要稳定连接的应用场景。
此外，我们还测试了IPsec VPN的安全性。
我们使用网络嗅探工具来截取VPN 传输的数据包，并尝试解密其中的内容。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
IPSec VPN配置总结近段时间，笔者完成了一些IPSec VPN的配置，有站点到站点固定公网IP 地址的IPSec VPN，有站点到站点使用固定公网IP地址的EZVPN，有网络中心点是固定公网IP地址，而分支机构是动态地址的DMVPN，有路由器和防火墙之间互联的IPSec VPN，也有不同厂商的设备之间互联的IPSec VPN。
通过这些项目的锻炼，笔者感到对IPSec VPN的了解又增进了一步，以前一些模糊的地方，经过这次项目的实践之后也越来越清晰，以下就是笔者对IPSec VPN配置的总结和配置实例。
一、理解IPSec VPNVPN是利用公共网络建立一条专用的通道来实现私有网络的连接，IPSec VPN就是利用IPSec协议框架实现对VPN通道的加密保护。
IPSec工作在网络层，它能在IP层上对数据提供加密、数据完整性、起源认证和反重放保护等功能。
加密的作用就是通过将数据包加密，保证数据的安全，即使数据包被人监听获取到，也无法阅读数据内容。
IPSec使用的数据加密算法是对称密钥加密系统。
支持的加密算法主要有：DES、3DES、MD5和SHA加密算法，这种加密算法需要一个共享的密钥执行加密和解密，共享的密钥是通过通信两端交换公钥，然后用公钥和各自的私钥进行运算，就得到了共享的密钥，这样就需要一个公钥交换的算法。
DH密钥协议就是一种公钥交换方法。
DH密钥交换协议有组1到组7的几种不同的算法。
DES 和3DES支持组1和2，AES支持组2和5，因此如果选用了不同的加密算法，就需要选择相应的DH密钥交换算法。
数据完整性的作用就是保证数据包在传输的过程当中没有被篡改。
为了保证数据的完整性，给每个消息附加一个散列数，通过验证发送的散列数和接收的散列数是否匹配来判断消息是否被修改。
散列消息验证代码（HMAC）主要有两种算法：HMAC-MD5和HMAC-SHA-1，MD5使用128位的共享密钥，而SHA使用160位密钥，因此HMAC-SHA-1比HMAC-MD5的加密强度要更高一些。
起源认证的作用就是保证发送数据包的源站点是可信的。
起源认证用来在建立隧道时验证隧道两端的对等体是否是可信的。
主要有预共享密钥，RSA签名、RSA-加密nonces三种方法。
其中预共享密钥配置起来最简单，但安全性和扩展性也相对来说要差一些。
预共享密钥就是在每个对等体上都预先配置好相同的密钥，经过运算之后发送到远端的对等体，由于每个对等体的密钥相同，因此就能够通过起源认证。
另外两种认证方法配置较为复杂，需要和证书服务器配合起来使用，笔者没有这方面的实践，因此后面的配置实例中都是采用的预共享密钥的配置。
反重放保护的作用就是保证数据包的唯一性，确定数据包在传输过程中没有被复制。
在IPSec的数据包中含有一个32位的序列数，并且是不能重复的，接收方通过检查序列数是否是唯一的来执行反重放保护功能。
IPSec协议簇主要包括两种协议：AH（认证头）和ESP（封装安全有效载荷）。
其中AH不提供加密功能，而ESP两者都提供。
当使用ESP进行加密和认证的时候，执行顺序是先加密再认证。
将这两种协议应用到IP数据包时有两种模式，分别是隧道模式和传输模式。
隧道模式将一个新的IP头附加在已加密的数据包之前，为整个数据包提供安全性；而传输模式下原数据包的IP头不变，保持明文，只对数据包的内容提供安全性。
IPSec的建立有两个阶段，第一个阶段主要是认证对等体，并协商策略。
如确定建立IPSec隧道所需用到的安全参数，主要有加密的算法、对等体的认证、保证消息完整性的散列算法和密钥交换的算法，在协商成功后建立一条安全通道。
第二个阶段主要是协商IPSec的参数和IPSec变换集，如确定使用AH还是ESP协议，使用传输模式还是隧道模式。
协商成功后建立IPSec SA（安全关联），保护IPSec隧道的安全。
在笔者所配置的IPSec VPN中，都统一采用下列参数：阶段一：加密算法采用3DES；保证数据完整性的算法采用HMAC-SHA-1；起源认证采用预共享密钥；密钥交换采用DH组2；阶段二：采用ESP协议提供对整个数据包的保护，并同时使用加密和认证，加密算法采用3DES，认证算法采用HMAC-SHA-1使用模式采用隧道模式。
二、配置实例及说明1.用路由器实现站点到站点的IPSec VPN以笔者单位的网络拓扑结构为例来说明使用路由器实现站点到站点的IPSec VPN的配置。
本例中总部和三个分公司都具有固定的公网IP地址，路由器型号为Cisco3845，拓扑如图一所示：图1总部路由器阶段一的配置：ZB(config)#crypto isakmp policy 10 //建立一个新的密钥交换策略，优先级为10，优先级号是从1到100000，1的优先级最高ZB(config-isakmp)#encryption 3des //使用3DES的加密算法ZB(config-isakmp)#authentication pre-share //使用预共享密钥认证对等体ZB(config-isakmp)#hash sha //使用SHA 散列算法，这一条配置命令可不用配置，因为默认的就是采用的这种散列算法ZB(config-isakmp)#group 2 //密钥交换算法采用DH密钥协议组2的算法由于采用的是预共享密钥的方式认证对等体，因此需要回到全局配置模式下，指定对等体的密钥：ZB(config)#crypto isakmp key cjgsvpn add 58.216.222.106 //密钥为cjgsvpn，然后分别指定三个分公司的路由器公网接口的IP地址ZB(config)#crypto isakmp key cjgsvpn add 218.22.189.82ZB(config)#crypto isakmp key cjgsvpn add 218.75.208.74总部路由器阶段二的配置：ZB(config)#crypto ipsec transform-set cjgsset esp-3des esp-sha-hmac //定义IPSec的转换集，转换集的名字为cjgsset，并指定采用ESP协议提供对整个数据包的加密和认证，加密采用3DES算法，认证采用SHA算法ZB(cfg-crypto-trans)#mode tunnel //使用隧道模式，这条配置命令也可以不用配置，默认就是采用隧道模式IPSec的两个阶段配置完成后，接下来定义需要保护的数据类型，定义加密映射，并将加密映射映射到路由器的公网接口上：ZB(config)#ip access-list extended cz //这里的几条访问列表定义要被保护的数据，即总部访问三个分公司的数据流。
172.19.0.0/18是总部的地址段，172.19.64.0/18是株洲分公司的地址段，172.19.128.0/19是铜陵分公司的地址段，172.19.160.0/19是常州分公司的地址段ZB(config-ext-nacl)#permit ip 172.19.0.0 0.0.63.255 172.19.160.0 0.0.31.255ZB(config-ext-nacl)#exitZB(config)#ip access-list ext tl //总部到铜陵分公司的流量ZB(config-ext-nacl)#permit ip 172.19.0.0 0.0.63.255 172.19.128.0 0.0.31.255ZB(config-ext-nacl)#exitZB(config)#ip access-list ext zz //总部到株洲分公司的流量ZB(config-ext-nacl)#permit ip 172.19.0.0 0.0.63.255 172.19.64.0 0.0.63.255 ZB(config)#crypto map cjgsmap 10 ipsec-isakmp //建立优先级为10，名字为cjgsmap的加密映射，并使用ISAKMP（即阶段一协商的参数）来自动建立IPSec SAZB(config-crypto-map)#match add cz //匹配加密映射需要保护的流量，这里是匹配到常州分公司的流量ZB(config-crypto-map)#set transform-set cjgsset //使用cjgsset变换集定义的IPSec参数ZB(config-crypto-map)#set peer 58.216.222.106 //定义对等体的地址，即常州分公司路由器公网接口的IP地址ZB(config-crypto-map)#exitZB(config)#crypto map cjgsmap 20 ipsec-isakmp //定义优先级为20的加密映射ZB(config-crypto-map)#match add tl //匹配到铜陵分公司的流量ZB(config-crypto-map)#set transform-set cjgssetZB(config-crypto-map)#set peer 218.22.189.82 //铜陵分公司路由器公网接口的IP地址ZB(config-crypto-map)#exitZB(config)#crypto map cjgsmap 30 ipsec-isakmp //定义优先级为30的加密映射ZB(config-crypto-map)#match add zz //匹配到株洲分公司的流量ZB(config-crypto-map)#set tran cjgssetZB(config-crypto-map)#set peer 218.75.208.74 //株洲分公司路由器公网接口的IP地址加密映射的策略定义完成后，将加密映射应用到总部路由器的公网接口上：ZB(config)#int fa0/0ZB(config-int)crypto map cjgsmap至此总部路由器上的配置即完成。
分公司的配置以铜陵分公司为例，阶段一和阶段二的参数必须采用和先前定义的一致，否则总部和分公司之间就不能建立加密的安全通道，具体的配置命令与总部路由器上的一样，配置结果如下：crypto isakmp policy 100 //建立优先级为100的密钥交换策略encr 3des //采用3DES加密authentication pre-share //采用预共享密钥认证group 2 //采用DH 组2的密钥交换算法crypto isakmp key cjgsvpn address 59.175.234.100 //建立预共享密钥，必须和总部的配置一致crypto ipsec transform-set tl esp-3des esp-sha-hmac //建立IPSec转换集，使用ESP协议，采用3DES算法加密，SHA算法认证，并使用隧道模式crypto map zbvpn 100 ipsec-isakmp //建立优先级为100的加密策略，使用ISAKMP自动生成SA，策略名为zbvpn set peer 59.175.234.100 //设定总部的路由器的公网口地址set transform-set tl //使用名称为tl的转换集和IPSec参数match address zb //匹配铜陵分公司到总部的流量interface FastEthernet0/0ip address 218.22.189.82 255.255.255.248crypto map zbvpn //将加密策略应用到接口ip access-list extended zbpermit ip 172.19.128.0 0.0.31.255 172.19.0.0 0.0.63.255 //定义铜陵分公司到总部的流量其他分公司的配置与此类似，就不再重复了。